Dar tus claves bancarias a un estafador no significa automáticamente que tengas que asumir todo el dinero que te robe. La Audiencia Provincial de Tarragona ha confirmado una condena contra Deutsche Bank para que devuelva 11.482 euros, más intereses, a un cliente víctima de una estafa telefónica. El gran matiz está en que este siguió instrucciones de los delincuentes y utilizó sus propias contraseñas durante el engaño.
La sentencia va a traer cola en los próximos años en España. Cuando todo parecía una negligencia del cliente por proporcionar sus contraseñas del banco a los estafadores, la justicia ha dictaminado lo contrario: los mecanismos técnicos de autenticación del banco funcionaron correctamente, permitiendo doce operaciones anómalas por 11.482 euros en apenas 27 minutos.
Le llamaron haciéndose pasar por su banco y terminó autorizando el acceso
Los hechos se remontan al 28 de febrero de 2024. Un hombre recibió una llamada desde un móvil de una persona que decía llamar desde el Deutsche Bank. El supuesto empleado le advirtió de que se estaban realizando movimientos fraudulentos en su cuenta y le confirmó que había que hacer una serie de pasos para evitarlos.
La víctima siguió las instrucciones, accedió al sistema de seguridad del banco y terminó siendo redirigida a una web fraudulenta. Al poco tiempo recibió un correo avisándole de que su contraseña había sido restablecida y dejó de poder acceder a la aplicación.
Entre las 11:41 y las 12:08 horas se realizaron doce transacciones fraudulentas por un total de 11.482 euros. El dinero pasaba de la cuenta corriente a la tarjeta de crédito y posteriormente se utilizaba para realizar compras en Internet.
Deutsche Bank defendió que el cliente había autorizado las operaciones
La entidad recurrió la sentencia inicial argumentando que sus sistemas habían funcionado correctamente, además de que había sido una negligencia grave del cliente al utilizar sus propias claves para validar el acceso. La Audiencia da la razón al banco en que no hubo un fallo técnico de autenticación, en esa parte tiene razón.
Sin embargo, una operación técnicamente autenticada no equivale necesariamente a una operación realmente consentida. La normativa de pagos obliga a analizar más cosas, por ejemplo, si el usuario actuó deliberadamente o con una negligencia suficientemente grave como para trasladarle las pérdidas.
El banco tenía que demostrar una negligencia grave, no simplemente un error
La Audiencia recuerda que cuando el usuario niega haber autorizado unas operaciones no es suficiente con que el banco demuestre que el sistema registró correctamente la autenticación. La entidad financiera debe ser capaz de acreditar fraude o una conducta gravemente negligente del cliente para quedar exonerada.
El propio tribunal se apoya en la doctrina del Tribunal Supremo, concretamente en la sentencia 571/2025, que define la responsabilidad de los proveedores de servicios de pago como cuasi objetiva en este tipo de operaciones no autorizadas.
Deutsche Bank alegó que había advertido reiteradamente a sus usuarios de que nunca solicitaría información confidencial ni llamaría para realizar determinadas operaciones. Ya sabes, los típicos correos y SMS que te llegan cada dos por tres, sin olvidar los mensajes emergentes al acceder a la banca online.
Sin embargo, la Audiencia considera que estas advertencias genéricas sobre los riesgos de ataques informáticos son insuficientes. Además, el banco tampoco pudo confirmar la frecuencia con la que el cliente utilizaba banca online, su edad o unos conocimientos financieros especiales.
La justicia define al afectado como la víctima típica de un fraude de ingeniería social. Es decir, una persona que recibe una advertencia urgente sobre su dinero, confía en que quien llama lo hace desde la entidad y actúa bajo presión pensando que está evitando un fraude, que es precisamente lo que está ocurriendo, pero al contrario.
Otro punto importante de la sentencia está en que 12 operaciones en 27 minutos en un sábado por cantidades elevadas y siguiendo patrones poco habituales en el cliente, debieron hacer saltar las alarmas. Algunas de las operaciones incluso superaban los límites de la tarjeta de crédito del cliente.
En resumen, tras conocer la Sentencia 222/2026 de la Sección Primera de la Audiencia Provincial de Tarragona, de 25 de marzo y el recurso 1027/2025, con ECLI ES:APT:2026:460, Deutsche Bank deberá devolver 11.482 euros, junto con los intereses legales correspondientes.