Una de las situaciones más habituales cuando estamos ante un fraude bancario digital es que la entidad bancaria rechace el reembolso de las cantidades sustraídas alegando que el cliente actuó con negligencia grave. Pero ¿qué significa realmente ese concepto?
La reciente jurisprudencia del Tribunal Supremo ha elevado notablemente el umbral para apreciar esa negligencia, dejando claro que ser víctima de un engaño sofisticado no equivale, por sí solo, a haber actuado de forma gravemente negligente.
La reciente STS 571/2025, 9 abril constituye una resolución de referencia en la delimitación del concepto de negligencia grave. Esta importante resolución fija los siguientes criterios:
- El simple hecho de que un tercero acceda a las claves del cliente no implica, por sí solo, que este haya incurrido en negligencia grave.
- La negligencia grave exige una conducta calificable como inexcusable. No basta con un simple error humano frente a un engaño sofisticado, porque hoy en día las técnicas de phishing son extraordinariamente elaboradas y pueden engañar incluso a usuarios cautelosos.
- El grado de diligencia exigible al proveedor de servicios de pago no es el del buen padre de familia del art. 1104 CC, sino el de un ordenado y experto comerciante.
- No bastan las alegaciones genéricas por parte de la entidad bancaria, que es a quién corresponde demostrar con datos concretos, el registro de la operación y que el cliente actuó con negligencia grave.
Teniendo en cuenta la sentencia de nuestro Alto Tribunal es interesante examinar los pronunciamientos de nuestras Audiencias Provinciales. Veremos a continuación cómo la jurisprudencia más reciente recuerda una idea esencial: ser víctima de un engaño no equivale a actuar con negligencia grave. La negligencia grave exige algo más: una conducta claramente inexcusable, como por ejemplo actuar de forma precipitada, poco reflexiva y excesivamente confiada.
NO concurre negligencia grave
- La negligencia grave surge por iniciativa del usuario y no como consecuencia del engaño de un tercero. AP Soria, Sec. 1.ª, 27/2026, de 5 de febrero. La ausencia de negligencia grave del usuario inducido por engaño profesional y su actuación diligente tras detectar las transferencias excluyen su responsabilidad en operaciones no autorizadas.
- La negligencia grave NO puede presumirse por el hecho de haber sido engañado mediante una estafa sofisticada. AP Girona, Sec. 1.ª, 1298/2025, de 22 de diciembre. No concurre negligencia grave en la usuaria que actuó de buena fe, y que fue víctima de un engaño sofisticado. Responsabilidad del banco ante su falta de diligencia, pues no implementó mecanismos para evitar las operaciones sospechosas.
- La negligencia grave debe reservarse para aquellos casos en los que la conducta de la víctima roza lo inexcusable. AP Asturias, Oviedo, Sec. 6.ª, 158/2024, de 18 de marzo. La operación de phishing tenía apariencia de verdadera y alertaba al cliente de un fallo de seguridad, por lo que no se incurrió en negligencia grave, que debe reservarse para conductas que rozan lo inexcusable.
- Suplantación de identidad y dificultad del usuario medio de detectar el engaño. AP Asturias, Oviedo, Sec. 6.ª, 461/2025, de 15 de octubre. La actuación del cliente tras recibir un SMS integrado en un hilo real del banco no implica negligencia grave; la transferencia fraudulenta se atribuye a un fallo de seguridad de la entidad, que debe restituir las cantidades defraudada.
- Fraude verosímil. AP Jaén, Sec. 1.ª, 133/2026, de 29 de enero. La entidad bancaria debe responder al no probar la inexistencia de fallos de seguridad ni la negligencia grave de la usuaria, quien actuó inducida por un fraude verosímil vía SMS y llamada suplantando a la entidad y denunció de inmediato.
- Facilitar claves mediante engaño. AP Cáceres, Sec. 1.ª, 30/2026, de 27 de enero.
No concurre negligencia grave del usuario al facilitar claves bajo engaño de tercero, es exigible un nivel de pericia técnica que excede la diligencia media para detectar el fraude y desplazar la responsabilidad al cliente.
Supuestos en los que SÍ se aprecia que el cliente actuó con negligencia grave
Actuar de forma precipitada: AP A Coruña, Sec. 3.ª, 377/2024, de 17 de julio. Negligencia del usuario que actuó de forma precipitada, poco reflexiva y excesivamente confiada.
Ignorar advertencias del banco. AP Barcelona, Sec. 14.ª, 140/2026, de 9 de marzo.
El usuario responde por negligencia grave al atender un SMS burdo y activar enlaces fraudulentos pese a las advertencias bancarias y múltiples avisos posteriores, actuando con grave impericia y falta de diligencia.
No aportar SMS. AP Cantabria, Sec. 4.ª, 220/2026, de 14 de abril. Es negligente el usuario que no aporta el SMS con el enlace fraudulento al no poder examinarse su apariencia. Tampoco se acreditó que se hubiera recibido la llamada desde el número real de la entidad bancaria.
Entrega de códigos. AP Pontevedra, Sec. 1.ª, 437/2025, de 19 de septiembre. La negligencia grave del usuario al facilitar claves OTP y datos de verificación excluye la responsabilidad del proveedor de servicios de pago cuando éste aplicó medidas de autenticación reforzada adecuadas.
Diligencia lectura mensajes: SAP Cantabria, Sec. 2.ª, 497/2023, de 10 de octubre. No se aprecia responsabilidad del banco pues ha sido la propia negligencia del afectado lo que ha provocado el traspaso de dinero desde su cuenta corriente, al no haber observado la diligencia mínima de leer el mensaje de autorización recibido.
Es importante conocer esta tendencia jurisprudencial dado que en los litigios sobre ciberfraudes la cuestión clave suele residir en determinar si el cliente incurrió o no en negligencia grave.
A la vista de estos pronunciamientos queda claro que el listón de la negligencia grave se sitúa en un nivel alto, reservado a conductas verdaderamente inexcusables, y en la inmensa mayoría de los casos de phishing sofisticado, el riesgo y la responsabilidad siguen recayendo sobre la entidad bancaria.
Phishing y fraude bancario: claves del éxito para el abogado
