Sentencia Civil 701/2025 Audiencia Provincial Civil de Araba/Álava nº 1, Rec. 112/2025 de 25 de junio del 2025

PRIMERO.-En la demanda inicial del proceso el Sr. Gaspar reclama a la entidad bancaria demandada 23.140'15 euros que considera como perjuicio sufrido a consecuencia del uso fraudulento por terceros de sus claves y códigos de acceso a la cuenta bancaria con ella contratada. Considera que la demandada como proveedor de servicios de pago incumplió sus obligaciones. Cita la Directiva 2015/2366 del Parlamento y Consejo Europeo, de 25/11/2015, sobre servicios de pago en el mercado interior, arts. 64 y ss; el Reglamento Delegado UE 2018/389, de 27/11/2017 por el que se complementa la Directiva anterior en lo relativo a las normas técnicas de regulación para la autenticación reforzada de clientes y unos estándares de comunicación abiertos comunes y seguros, arts. 4 a 8, 42, 45 y ss. y el RDL 19/2018, de 23/11/2018, de servicios de pago y otras medidas urgentes en materia financiera, arts. 41 a 46.

Los hechos expuestos en la demanda sustancialmente no cuestionados, sin perjuicio de lo que más adelante se razona, son los siguientes:

-a mediados de febrero de 2022 el demandante recibe en su móvil una llamada telefónica de la empresa financiera Coindek.com., que le ofrece invertir pequeñas cantidades de dinero de 250 euros y obtener a cambio un rendimiento económico.

-le solicitaron sus datos personales, que facilitó, y número de tarjeta. Le enviaron un enlace al móvil para que se bajara una aplicación y así iniciar dicha inversión con la primera cantidad, lo cual se verificó el 15/2/2022 con un cargo de 250 euros en la cuenta suscrita con la demandada, Laboral Kutxa, con número terminado en ... NUM000.

-el 22/2/2022, le fue reintegrado en esa cuenta el mismo importe de inversión.

-el 28/2/2022 consta otro cargo de 227,37 euros, concepto: coindek.com. como los anteriores movimientos (índice electrónico, IE 4).

-alega el demandante que 26/3/2022 al ir al cajero para sacar dinero comprobó que en su cuenta bancaria:

El 24/3/22 se había cargado una transferencia de 1.000 euros con la referencia "Spain" con destino desconocido, que él no había ordenado.

El día siguiente, viernes 25/3/22, se formalizó con LABORAL KUTXA, sin su consentimiento, un préstamo personal por importe de 20.304,19 euros (nº NUM001) a su nombre que se abonó de inmediato en esa cuenta.

Y el mismo día 25/3/22, tras el abono de dicho préstamo, se habían realizado también sin su consentimiento los siguientes cargos bancarios: 479,86 euros de un seguro de vida asociado al préstamo y un total de 13.967 euros, en 7 transferencias de alrededor de 2.000 euros cada una, con la referencia "Spain" con destino a cuentas desconocidas.

-el demandante al sospechar de todo ello, sacó parte del dinero de su cuenta por el cajero el mismo sábado 26/3/22, por valor de 1.000 euros y de 800 euros el domingo 27/3/22 (IE 5).

-el lunes 28/3/22, sobre la 13.08 horas, se personó en la comisaría de la Ertzaintza y presentó denuncia por los hechos anteriores (IE 6).

-igualmente, a continuación se dirigió a la sucursal bancaria de Alegría-Dulantzi a pedir explicaciones de todo lo acontecido, diciéndole allí que lo investigarían pero que parecía un fraude, sin que con posterioridad hubiera ninguna novedad por parte del Banco, salvo la retrocesión del importe del seguro de vida (479,66 euros el 1/4/22) y que también se le indicó por el Banco que volviera a ingresar en la cuenta el importe total de sus dos retiradas de cajero del fin de semana (1.800 euros), lo que verificó el 6/4/22, ya que le dijeron que no podían anular el citado préstamo.

-el 6/4/22 amortizó 5.602,86 euros del préstamo con parte del propio saldo existente en esa cuenta y para evitar más salidas de dinero

-procedió a cancelar dicha cuenta el día 11/4/22 y abrir otra nueva ese mismo día en la misma entidad, cuenta con número terminado en ... NUM002, a la que transfirió el remanente del saldo, 1.823,68 euros (IE 7 y 8).

-procedió a dar de baja su tarjeta Visa Electron acabada en 0022 con fecha 11/4/22 y a dar de alta el día 12/4/22 una nueva acabada en ...7002 (IE 9).

-igualmente, en esas fechas procedió a desinstalar y borrar la aplicación de Coindeck.com que tenía en su teléfono móvil, pues sospechaba de la misma, a pesar de que dicha empresa estaba operativa en esos instantes (2022) pues cerró en 2023 (IE 10).

-también en la nueva cuenta acabada en ... NUM002, y a lo largo de 6 meses, se produjeron las siguientes transacciones fraudulentas, realizadas sin su consentimiento:

- 20/4/22: transferencia de 500 euros ("Spain").

- 20/4/22: comisión de la anterior transferencia por 3,50 euros.

- 22/4/22: transferencia de 510 euros ("Spain").

- 13/6/22: transferencia de 600 euros (" NUM003").

- 14/6/22: cargo de 250 euros ("Coindeck.com").

- 14/6/22: transferencia de 600 euros ("TRANSF: NUM004").

- 15/6/22: transferencia de 593 euros ("TRANSF: NUM005").

- 21/6/22: abono de 250 euros ("Coindeck.com").

- 28/10/22: cargo de 624 euros sin referencia alguna.

- 28/10/22: transferencia de 1.624 euros ("Para mi prima María Purificación")

Alega el demandante que cada vez que observaba un cargo de los anteriores, lo comunicaba a su sucursal bancaria para que lo arreglaran, pero lo cierto es que no fueron capaces de solucionar dicha situación, ni devolverle los importes ni de prevenir que se siguieran produciendo.

Sí le solucionó el banco retrocederle el total de un segundo préstamo fraudulento (nº NUM006) que se había pedido y abonado en su cuenta, sin su consentimiento, el 28/10/22 por importe de 20.376,16 euros junto con el seguro de vida asociado al mismo por valor de 376,16 euros.

Todos los anteriores movimientos constan en el historial de la cuenta acabada en ... NUM002 desde su apertura hasta el presente (IE 11).

La sentencia de primera instancia desestima la demanda. La Juzgadora considera que: ... no puede decirse que CAJA LABORAL haya incurrido en ninguna infracción, o dejación de sus obligaciones de impedir actividades fraudulentas, sino que ha quedado acreditado que fue D. Gaspar quien, víctima de un engaño de un tercero, incurrió en una grave negligencia al facilitar sus claves bancarias y propiciar con ello una salida de capital que el Banco no pudo evitar.

D. Gaspar no comunicó lo indebido de la operación de préstamo en un plazo suficiente para que pudiera ser revertido por la entidad bancaria, ya que los fondos habían salido ya de la cuenta; y en el caso de otras salidas de dinero, ni siquiera lo comunicó.

Frente a la sentencia el demandante interpuso recurso de apelación. Como motivos alega los siguientes: Error en la valoración de la prueba; responsabilidad del banco por falta de diligencia en la gestión de las operaciones de pago; e, inexistencia de negligencia grave en el actor.

SEGUNDO.-En el presente caso nos encontramos ante la realidad de un fraude conocido como phishing,referido a las técnicas mediante las cuales se inducen la revelación o exposición de información confidencial y de seguridad bancaria provocando ejecutar un click en un enlace o la descarga de una determinada aplicación, mediante el engaño a una persona, cliente o usuario de servicios de pago del banco, ganando su confianza y suplantando su identidad ante un tercero, en este caso la entidad bancaria (proveedor de los servicios de pago) lo que da lugar a que se lleven a cabo por el defraudador unas acciones que no fueron realmente autorizados por el cliente, ni conocidas hasta su consumación, y que la entidad bancaria materializó de forma inmediata.

Está acreditado que las operaciones bancarias antes expuestas no fueron autorizadas por el titular de la tarjeta y de la cuenta de autos. No existe indicio alguno de fraude en su proceder. Es más, consta acreditado que tras descubrir los movimientos extraños en la cuenta el viernes 26 de marzo y retirar su dinero de la cuenta para evitar riesgos, el lunes siguiente, 28 de marzo, acude a denunciar los hechos a la comisaría de la Ertzaintza y a la sucursal de la entidad bancaria donde operaba habitualmente, sin que conste ninguna acción concreta del personal empleado para prevenir que continuara el uso fraudulento de la cuenta.

TERCERO.-Sentados los precedentes hechos, como ya pusimos de relieve entre otras en la sentencia de esta Audiencia Provincial dictada en el rollo 533/24, solo en caso de "negligencia grave" cabría repercutir en el cliente usuario del servicio de pago las pérdidas consecuentes a un fraude realizado con engaño por un tercero. Así resulta de lo establecido en el art. 46 del RDL 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, conforme al cual:

"El ordenante soportará todas las pérdidas derivadas de operaciones de pago no autorizadas si el ordenante ha incurrido en tales pérdidas por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41. En esos casos, no será de aplicación el importe máximo contemplado en el párrafo primero."

En un supuesto de phisingsemejante al de autos la SAP Valladolid, sección 3ª de 19 de octubre del 2022, consideraba, en la misma línea que otras audiencias, a tenor de la normativa aplicable, "que la entidad bancaria no había desplegado otra actuación que la advertencia del posible riesgo de captura de datos por terceros más información estereotipada que consta en pagina web, y en dicho supuesto, y a tenor de la diligencia que es exigible a la entidad bancaria, que debe de aumentar las medidas de seguridad específicas ante este tipo de prácticas delictivas, consideró que no basta con medidas genéricas de protección o avisos estereotipados, sino que la seguridad de este tipo de operaciones bancarias precisa de soluciones tecnológicas avanzadas a los efectos de garantizar la autenticidad como la integridad y confidencialidad de datos."

Dicha sentencia se apoya en la diligencia exigible a la entidad bancaria:

"... En cuanto a la diligencia exigible a la entidad bancaria, que de manera incuestionable se beneficia de la extensión generalizada de este tipo de servicios de banca on line evitando los costes asociados a la atención de sus clientes en la red comercial mediante oficinas y personal, el art. 12 bis de la ley 34/02, de Servicios de la Sociedad de la información y de Comercio Electrónico obliga al proveedor de dichos servicios a realizar una información a sus clientes permanente, fácil, directa y gratuita sobre niveles de seguridad, restricción de correos no solicitados, y filtrado de servicios de Internet no deseados.

Tratándose, como es el caso, de un contrato de cuenta corriente la doctrina interpretativa viene apreciando un deber de diligencia de la entidad depositaria y gerente del servicio de caja que se corresponde con la exigible a la de un "comerciante experto" y no la de un buen padre de familia.

En este sentido, cabe citar la STS de 12 de mayo de 2016 , que declaró que "conforme a la naturaleza y función del contrato de cuenta corriente bancaria, el cercioramiento o comprobación de la veracidad de la firma del ordenante constituye un presupuesto de la diligencia profesional exigible a la entidad bancaria con relación a sus obligaciones esenciales de gestión y custodia de los fondos depositados por el titular de la cuenta, cuyo incumplimiento da lugar a la indemnización de daños y perjuicios, conforme a lo dispuesto en los artículos 1101 y 1106 del Código Civil ".

La realidad de prácticas delictivas como el referido phisinghace exigible aumentar las medidas de seguridad específicas, como recuerda la SAP de Barcelona, 7 de marzo de 2013, pues el banco no puede ofrecer un sistema on linesin adoptar las medidas de seguridad necesarias, en el mismo sentido que hizo la ya citada sentencia de la Audiencia Provincial de Alicante, de 12 de marzo de marzo, aplicando los criterios que expresaba la STS de 18 de marzo de 2016 , que imponía ponderar, en este tipo de supuestos, factores tales como la causa del evento dañoso, la concurrencia de un déficit de la seguridad que legítimamente cabía esperar y la facilidad probatoria correspondiente a cada una de las partes.

Como se afirma en dicha sentencia, no basta con medidas genéricas de protección o avisos estereotipados de cuidado, sino que "la seguridad de las operaciones bancarias precisa de soluciones tecnológicas avanzadas a los efectos de garantizar tanto la autenticidad como la integridad y confidencialidad de los datos", sin que se repute suficiente los avisos genéricos de los bancos, a través de su web, que ostentarían la calificación de " formulas predispuestas", vacías de contenido."

Estos fundamentos son reiteradamente recogidos en otras sentencias de las Audiencias Provinciales, como la SAP Navarra, sección 3ª de 9 de marzo del 2023, SAP Rioja de 17 de febrero del 2023, de Málaga, sección 5ª de 23 de mayo del 2023 o de Madrid, sección 10 de 13 de enero del 2023 (que califica como responsabilidad cuasiobjetiva para la entidad financiera la prevista en la legislación ya expuesta salvo prueba de culpa grave del ordenante).

La reciente S.TS. 571/25, de 9 de abril, señala que en supuestos de phishing la controversia radica en determinar quién debe responder por las operaciones de pago no autorizadas, en tanto que realizadas por un tercero que, utilizando las credenciales del usuario que ha obtenido por cualquier medio, suplanta su identidad y accede electrónicamente a su cuenta sin su consentimiento. Delimita qué debe entenderse por «operaciones de pago no autorizadas», si, en general, las que han sido realizadas por un tercero sin el consentimiento del usuario titular de la cuenta, o, exclusivamente, las efectuadas sin seguir el procedimiento legal y contractualmente fijado. En el caso, nos encontramos, de un lado, ante una conducta diligente del titular de la cuenta, que informó, inmediata y reiteradamente, al personal de la entidad de lo que estaba sucediendo, cumpliendo la obligación que expresamente le imponía la normativa comunitaria y nacional; y, de otro lado, ante un servicio que se presta defectuosamente por el proveedor, tanto por no tomar en consideración la información recibida pese a su gravedad, como por omitir la adopción de medidas que posibilitaran la detección de eventuales maniobras fraudulentas. En caso de que el usuario niegue haber autorizado una operación de pago ya autorizada, el cumplimiento de las obligaciones relativas a la autenticación, registro y contabilización de la operación de pago fue autenticada, no exime de responsabilidad al proveedor de servicio.

En concreto, la referida S.TS. señala:

Con arreglo a la normativa comunitaria y nacional aplicable y a la jurisprudencia comunitaria recaída en interpretación de la regulación de la que trae causa la primera, podemos concluir:

1.º El usuario de servicios de pago debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, tan pronto tenga conocimiento de ello.

2.º En caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.

3.º Cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.

4.º El mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave.

Y matiza que ... la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo y que la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital- y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta.

Finalmente resalta que ... la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante.

En definitiva y en relación con el supuesto de autos, la demandada no acredita que la conducta de la demandante incurriera en "negligencia grave" a efectos de eludir la responsabilidad de la entidad bancaria con relación a las operaciones no autorizadas realizadas fraudulentamente por terceros. Como se ha expuesto el demandante acudió a la sucursal bancaria y denunció los hechos en cuanto tuvo conocimiento de los movimientos extraños en su cuenta y si bien facilitó sus datos, lo hizo inducido por un engaño y la instalación de una aplicación, AnyDesk,supuestamente para hacer pequeñas inversiones, que en realidad y sin su conocimiento encerraba un acceso libre en remoto al dispositivo móvil y a sus claves bancarias.

La demandada no solo no hizo uso de sistemas de detección de fraudes más sofisticados y accesibles, cual es el seguimiento de movimientos extraños, no habituales del cliente, como la suscripción de un préstamo on linesin otro control y los extraños movimientos inmediatos con un el destino asimismo extraño de siete transferencia el mismo día, sino que tampoco consta una intervención inmediata y eficaz en cuanto el cliente denunció los hechos, como sería el bloqueo inmediato de las cuentas y tarjetas, así como la revisión y detección o desactivación de los sistemas o aplicaciones que permitían a los defraudadores el acceso a la cuenta del demandante. De hecho, pese a las acciones de éste cancelando la cuenta y tarjeta y dando de alta una nueva, el fraude y las operaciones no autorizadas continuó produciéndose, sin ninguna advertencia o acción de la entidad bancaria, hasta el punto de que ante la fraudulenta suscripción de un nuevo préstamo el banco deshizo la operación.

Responsabilidad de la demandada que no se reduce al mero ámbito de la responsabilidad contractual, sino a otra de tipo legal prevista en el mencionado RDL 19/2018 de servicios de pago, conforme a lo establecido los arts. 43 y ss.

Por todo ello podemos considerar razonablemente que el demandante no incurrió en una negligencia grave, mientras la demandada sí omitió controles o comprobación más razonables y adaptadas al perfil del cliente, y no actuó con la eficacia y prontitud que le es exigible una vez constatado el fraude.

CUARTO.-En la demanda se cuantifica el daño en 23.140'15 euros. La demandada al contestar a la demanda manifestó que, en cualquier caso, de estimarse la demanda la cantidad reclamada no está debidamente calculada. En concreto, hace mención a que el perjuicio derivado del préstamo debe calcularse sobre la base del coste que tuvo para el demandante, 22.461'14 euros, y la cantidad que hizo suya del préstamo, 6.512'86 euros. En total 22.230'45 euros y no los 23.140'15 euros.

En la demanda se reclama en concepto de amortizaciones del préstamo fraudulento realizadas en la cuenta acabada en NUM002 desde abril 2022 a mayo 2023: 4.902,49 euros; y, por el coste del préstamo solicitado en mayo 2023 a Kutxabank para cancelar el remanente del préstamo fraudulento: 11.955,79 euros.

Previamente, el 6/4/22 amortizó 5.602,86 euros del préstamo. Cantidad que se debe considerar compensada con el remanente del préstamo no defraudado y que quedó en la cuenta, 6.512Ž86 euro. Con ello resta esa diferencia en el saldo de la cuenta no contabilizada al liquidar el coste total real del préstamo para el demandante, cantidad que el demandante no justifica perdiera en algún otro concepto o fuera asimismo apropiada por el defraudador. En definitiva, se debe corregir el importe de la demanda y restar 910 euros a la cantidad reclamada, no acreditados como perjuicio.

La cantidad objeto de condena devengará, conforme a los arts. 1100 y 1108 del Código Civil, los intereses correspondientes al tipo del legal desde el 23 de junio de 2023, fecha de entrega del requerimiento de pago extrajudicial (IE 16).

QUINTO.-Costas.

La estimación sustancial del recurso y de la demanda, en cuanto la diferencia es meramente cuantitativa, no cualitativa, y representa escasamente 4% de la cantidad reclamada, son razón suficiente para imponer las costas de la primera instancia a la demandada, sin especial declaración sobre las causadas con el recurso, todo ello conforme a lo establecido en los arts. 394 y 398 LEC.

Vistos los artículo citados y demás disposiciones de general y pertinente aplicación