Sentencia Civil 384/2026 Audiencia Provincial Civil nº 8 de Valencia/València, Rec. 347/2025 de 14 de abril del 2026

PRIMERO.- Antecedentes y planteamiento del recurso.- 1.-Por la mercantil demandante PUZZLE KIT SL se formuló demanda de juicio verbal en el que se reclamaba la cantidad de 4.984 € en concepto de daños y perjuicios contra la entidad bancaria BANCO BILBAO VIZCAYA ARGENTARIA (BBVA). La demanda se fundamenta en una estafa cibernética tipo "phishing", de la que fue objeto el 27 de abril de 2022 cuando la apoderada de la empresa detectó un cargo no autorizado tras acceder a su cuenta bancaria. Alegaba que a pesar de que el banco reconoció el problema y bloqueó la cuenta, no ha indemnizado a la empresa, pese a las múltiples reclamaciones realizadas. Se argumenta que el banco tiene una responsabilidad cuasi objetiva por el mal funcionamiento de sus servicios de banca electrónica y un deber de vigilancia que le obliga a indemnizar a la empresa por los fondos sustraídos. La demanda se apoya en el Real Decreto-Ley 19/2018 de Servicios de Pago, que establece la responsabilidad del proveedor de servicios de pago en caso de operaciones no autorizadas. Sostiene en síntesis que el banco debe demostrar que la operación fue autenticada y no afectada por fallos técnicos o fraudes, y añade que el incumplimiento de las medidas de seguridad puede dar lugar a una responsabilidad por "culpa in vigilando". Además, en la demanda se hacía referencia a la obligación de las entidades bancarias de contar con un departamento de atención al cliente para resolver quejas y reclamaciones, así como a la necesidad de implementar medidas de seguridad adecuadas para prevenir fraudes. La demanda concluía solicitando que se declarara la responsabilidad del banco y se le condenara al pago de la cantidad reclamada, más los intereses correspondientes.

2.-Emplazada la entidad bancaria demandada, solicitó la desestimación de la demanda, ya que no habría incumplido ninguna obligación legal ni ha causado daño al demandante. Sostiene que la operación fue autorizada por el apoderado de PUZZLE, quien utilizó un sistema de seguridad que incluía un código "token", y que la demandante no ha demostrado haber sido víctima de un ciberataque. BBVA argumenta que la responsabilidad de la operación recae en el apoderado, quien actuó con negligencia al facilitar sus datos de acceso a un tercero. Además, expone que BBVA actuó con la diligencia debida, cumpliendo con los protocolos de seguridad y autenticación requeridos. Menciona que, al tener conocimiento de la falta de reconocimiento de la transferencia por parte de PUZZLE, contactó a la entidad receptora para solicitar la devolución del importe, aunque ésta no fue posible. También aborda la carga de la prueba, indicando que corresponde a la demandante demostrar la falta de autorización de la operación. En conclusión, BBVA solicita la desestimación de la demanda, argumentando que las operaciones fueron correctamente autenticadas y que no se puede imputar responsabilidad a la entidad bancaria por la actuación negligente del apoderado de PUZZLE.

3.-La sentencia de instancia desestimó la demanda imponiendo las costas a la parte actora, al considerar que no pueden encuadrarse la actuación fraudulenta de que fue objeto la parte demandante dentro del denominado "phishing"; concluye que el ordenador de la entidad denunciante fue infectado por un virus; que tuvo que reiniciar al parecerle extraño el estado de la pantalla, y que fue entonces cuando accedió a la web de la entidad, sin que se haya acreditado que haya sufrido ningún tipo de ataque cibernético cuando al introducir la clave de acceso permitió al virus acceder a su cuenta bancaria, por lo que no se podría exigir responsabilidad civil a la entidad bancaria demandada ya que no hubo actuación negligente por su parte, ya que no nos encontraríamos ante una operación de phishing en sentido estricto sino en presencia de una infección previa del terminal de la empresa que permitió al defraudador acceder a la cuenta bancaria y conocer las claves de la misma.

4.- a.-)Contra dicha sentencia interpone recurso de apelación la representación procesal de PUZZLE KIT SL en el que argumenta que la sentencia no aplica adecuadamente la legislación pertinente, singularmente el Real Decreto-Ley 19/2018 sobre servicios de pago, que establece la responsabilidad del banco en operaciones no autorizadas, y la Directiva 2015/2366 sobre servicios de pago, que exige medidas de seguridad adecuadas. Expone la cronología de los hechos que llevaron a la transferencia no autorizada, destacando que el demandante no había realizado transferencias inmediatas en 25 años y que su ordenador estaba libre de virus, lo que contradice la alegación de negligencia por parte del banco. Además, menciona que la demandante fue víctima de un fraude conocido y que la entidad bancaria no cumplió con su obligación de resolver la reclamación en el plazo establecido. Se argumenta que la responsabilidad del banco es cuasi-objetiva y que debe asumir las consecuencias de los fallos de seguridad en su sistema, así como la necesidad de implementar tecnología antiphishing. Concluye solicitando la revocación de la sentencia y la restitución del importe de la operación no autorizada, argumentando que la carga de la prueba recae sobre la entidad bancaria.

b.-)Conferido traslado del recurso a la entidad BBVA, en su oposición sostiene que la apelación debe ser desestimada, argumentando que la actora actuó de manera negligente al no proteger adecuadamente sus credenciales de seguridad y al no notificar la transferencia no autorizada de manera oportuna. Además, BBVA argumenta que la introducción de un documento nuevo en esta alzada relativo al antivirus instalado en el ordenador por parte de la apelante es improcedente, ya que los hechos que pretende acreditar no son nuevos. Se menciona que la normativa aplicable, en particular la Ley de Servicios de Pago, según la cual el cliente debe asumir las pérdidas derivadas de operaciones no autorizadas si actúa con negligencia grave. BBVA defiende que cumplió con sus obligaciones de diligencia al autorizar la transferencia mediante un sistema de doble autenticación y que adoptó medidas antifraude adecuadas. En conclusión, BBVA solicita que se confirme la sentencia de instancia y se desestime el recurso de apelación con imposición de costas.

SEGUNDO.- Normativa y jurisprudencia aplicables.- 1.-Los argumentos impugnatorios de la mercantil demandante se centran fundamentalmente en cuestionar la afirmación de la sentencia impugnada que desestimó su demanda al no haber acreditado ser víctima de phishing, sino que su ordenador fue infectado por un virus, sin que conste dispusiera de los mecanismos necesarios para evitar este tipo de infecciones, incurriendo por ello en negligencia grave, por lo que según concluye el juez a quo, no se podría exigir responsabilidad alguna a la entidad bancaria demandada.

2.- a.-)La resolucion del recurso requiere necesariamente traer a colación la normativa y jurisprudencia aplicables en la materia, y al respecto cabe comenzar resaltando que el incremento exponencial del uso instrumentos telemáticos de pago y su generalización en los últimos años ha supuesto la progresiva desaparición de la banca presencial en busca de una reducción de costes e incremento de beneficios, lo que implica también un aumento del riesgo que en especial afecta a personas poco familiarizadas con la realización de pagos electrónicos y la prestación de servicios "on line", lo que ha propiciado la multiplicación fraudes informáticos mediante el empleo de técnicas de ingeniería social a menudo muy sofisticadas, que crean situaciones de urgencia, curiosidad o miedo para manipular al usuario induciéndole inconscientemente para que realice una acción no deseada, y para ello se emplean programas informáticos maliciosos prácticamente imposibles de detectar ( SAP Lleida sec 2 núm. 395/2025 de 16 de mayo)

El Considerando 7 de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, que derogó la Directiva 2007/64 /CE, describe la indicada situación cuando señala:

"En los últimos años, han aumentado los riesgos de seguridad de los pagos electrónicos, debido a la mayor complejidad técnica de estos, el incesante incremento del volumen de pagos electrónicos en todo el mundo y los nuevos tipos de servicios de pago. Disponer de servicios de pago fiables y seguros es condición esencial para el buen funcionamiento del mercado de servicios de pago, por lo que los usuarios de esos servicios deben gozar de la debida protección frente a tales riesgos. Los servicios de pago son esenciales para el mantenimiento de actividades económicas y sociales de vital importancia".

Precisamente la finalidad de dicha Directiva (UE) 2015/2366 -y antes de la derogada Directiva 2007/64 CE- ha sido la de garantizar seguridad del tráfico bancario telemático generando un entorno más seguro y fiable, promoviendo la confianza en el uso de los instrumentos electrónicos de pago, reforzando la protección de los consumidores (que es en definitiva el eslabón más débil) y reduciendo al máximo responsabilidad del usuario u ordenante, potenciando la innovación servicios de pago a través del móvil y de internet, y una de las principales novedades de dichas Directivas es que, para el cumplimiento de sus objetivos, introdujeron un sistema de responsabilidad cuasi objetiva o "por riesgo", partiendo de la premisa de que las entidades bancarias proveedoras de los servicios de pago son las principales beneficiarias del uso de tarjetas y demás instrumentos de pago telemáticos, y por ello diseñan y ofrecen el sistema "on line" potenciando los pagos electrónicos que ahorran costes y generan negocio, servicios que además se ofrecen al consumidor o usuario como seguros, por lo que el legislador comunitario parte de que las entidades financieras deben responder de las grietas y fallos del sistema si ofrecen un producto sin alertas suficientes, poco seguro, lo que implica una obligación de actuación proactiva de las entidades financieras para proporcionar sistemas de seguridad eficientes, fiables y seguros dentro de los conocidos ( arts. 1104 Código civil diligencia extraordinaria y 1258 Código civil los contratos obligan a todas sus consecuencias con arreglo a la buena fe).

En suma, como señala la reciente SAP Zaragoza sec 4 núm. 312/2025 16 julio, la ley traslada a las entidades de crédito el riesgo por órdenes de pago aparentes cuya autenticidad digital ha sido suplantada por terceros defraudadores, por lo que el proveedor de servicios debe proporcionar seguridad y responde de los riesgos del uso de la banca on line. Y en este sentido señala la SAP Badajoz sec 2 núm. 647/2025 de 3 de octubre, que "son necesarios sistemas fiables, comunicaciones seguras, más formación y más inversión en seguridad, pues el cliente tiene derecho a la indemnidad de sus ahorros, ya que confía que están seguros en el banco, cuya custodia y tutela le corresponde ( art. 307 Cco y 1766 Código civil )".

Por tanto, la normativa comunitaria impone a los bancos, como proveedores de los servicios de pago, un deber de diligencia extraordinaria, siendo responsables de los fallos de seguridad salvo culpa grave del usuario, o lo que es lo mismo, se les atribuye una responsabilidad por insuficiencia de las medidas de seguridad cuando las mismas fallan, pues no sería justo que las consecuencias de tales deficiencias se trasladaran a los clientes (en esta línea se pronuncian la SAP Madrid Sección 11ª, 74/22, la SAP Salamanca, Sección 1ª, 428/2021 y la SAP Zaragoza, Sección 4ª, 44/2023, de 17 de febrero, entre otras).

b.-)En el ámbito interno, y este contexto, el RD-Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera derogó la Ley 16/2009, de 13 de noviembre, de servicios de pago, norma que ha incorporado parcialmente a nuestro Derecho, la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65 /CE, 2009/110/CE y 2013/36/ UE y el Reglamento (UE) núm. 1093/2010 y que derogó la Directiva 2007/64/CE (DF 11ª), que introduce y refuerza el mencionado sistema de responsabilidad objetiva.

La Ley parte de que toda operación debe contar con el consentimiento efectivo del usuario u ordenante ( art. 36 LSP) entendido como consentimiento no viciado, y a falta de consentimiento la operación se entiende como no autorizada, por tanto se presume la falta de autorización si el titular lo niega, teniendo en cuenta que el mero uso del instrumento de pago o que la operación haya sido debidamente registrada o autenticada no implica que la operación esté autorizada, e incorpora como decimos el sistema el responsabilidad cuasi objetiva antes dicho (que ha sido además recientemente confirmado en la TS 571/2025 de 9 de abril, a la que aludiremos a continuación), y en este sentido se pronuncian la SAP Murcia sec. 1 núm. 18/2023 de 16 de enero, SsAP de Alicante (8ª) 107/18, de 12 de marzo; Pontevedra (6ª) 539/21, de 21 de diciembre; Madrid (11ª) 74/22, de 28 de febrero; Madrid (20ª) 184/22, de 20 de mayo; Valencia (6ª) 254/22, de 13 de junio; Oviedo sec. 5, núm 236/2023 de 26 junio, SAP Zaragoza sec 4 núm 114/2023 de 10 marzo, SAP Vizcaya sec 3 núm 429/2016 de 10 noviembre, Badajoz (3ª) 159/22, de 16 de junio; o Granada (5ª) 212/22, de 20 de junio.

Ello significa que el usuario queda eximido de demostrar una falta o negligencia del banco (STJUE 2 septiembre 2021) ya que se produce una inversión carga de la prueba, de suerte que el banco responde de cualquier anomalía del sistema de banca "on line" salvo que acredite una actuación fraudulenta por parte del ordenante o que implique una negligencia grave.

Como señala la SAP Murcia sec. 1 núm. 18/2023 de 16 de enero, existe una abundante jurisprudencia menor en lo relativo al régimen jurídico correspondiente a estos servicios de pago, y cita a tal efecto, y como resoluciones que han analizado la responsabilidad de la entidad de crédito emisora, las SsAP de Alicante (8ª) 107/18, de 12 de marzo; Pontevedra (6ª) 539/21, de 21 de diciembre; Madrid (11ª) 74/22, de 28 de febrero; Madrid (20ª) 184/22, de 20 de mayo; Valencia (6ª) 254/22, de 13 de junio; Badajoz (3ª) 159/22, de 16 de junio; o Granada (5ª) 212/22, de 20 de junio, y la conclusión común de estas resoluciones, como señala esta última sentencia, es que con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi objetiva, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso, y tal conclusión se alcanza como consecuencia del régimen jurídico aplicable, que en este caso lo constituía el RD Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (que derogó la Ley 16/2009, de 13 de noviembre, de servicios de pago) norma que incorpora parcialmente, a nuestro Derecho, la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65 /CE, 2009/110/CE y 2013/36/ UE y el Reglamento (UE) núm. 1093/2010 y se deroga la Directiva 2007/64/CE (DF 11ª), en cuya virtud salvo actuación fraudulenta, incumplimiento deliberado o negligencia grave del ordenante la responsabilidad será del proveedor del servicio de pago ( art. 46), lo que supone que a él le corresponde la carga de la prueba de que la orden de pago no se vea afectada por un fallo técnico o cualquier otra deficiencia. Por tanto, la responsabilidad contemplada en esta Ley es cuasi objetiva, es decir, se trata de una responsabilidad de la entidad que presta servicios de pago que sólo permite exonerarse mediante la prueba de la culpa grave del ordenante. En base a todos estos criterios cabe concluir que la Ley de los Servicios de Pago establece un sistema de responsabilidad cuasi objetiva para la entidad financiera, previendo que en caso de disposiciones fraudulentas el proveedor de servicios de pago deberá devolver de inmediato el importe de la operación no autorizada, quedando exento de esta obligación solo en el caso de que la operación no autorizada sea fruto de la actuación fraudulenta del cliente o del incumplimiento, deliberado o por negligencia grave, de una o varias de sus obligaciones. Además, la Ley prevé una inversión de la carga de la prueba en tanto es el proveedor de los servicios, quien debe probar que la operación fue debidamente autenticada, cuando el usuario de los servicios lo niegue (art. 44).

c.-) Por tanto, lo que procede seguidamente es delimitar el concepto de "negligencia grave" como causa de exoneración de responsabilidad de las entidades bancarias proveedoras de los servicios de pago; y al respecto, la propia Directiva 2015/2366 nos ofrece una pista, al dar un concepto muy restrictivo, ya en su Considerando 72 señala:

"Si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia".

Y analizadas la últimas sentencias de las Audiencias Provinciales en aplicación del RD-Ley 19/2028, se constata que existe una clara tendencia a dotar de una mayor protección al usuario, restringiendo el concepto de "negligencia grave" como causa de exoneración de responsabilidad de la entidad bancaria, y en este sentido se ha venido reiterando que no cabe hablar de "negligencia "grave" si el usuario ha sido víctima de una sofisticada estafa y fallaron todos los controles por parte del banco ( sentencia de esta misma Sala núm. 244/2024 de 29 mayo), al margen de la consabida doctrina de la Sala de lo Penal de Tribunal Supremo ( STS Sala 2ª sec. 1ª , nº 51/2020, de 17 de febrero de 2020, entre otras), según la cual no se puede desplazar sobre el perjudicado la responsabilidad de comportamientos en los que la intención de engañar es manifiesta. Por tanto, debe tratarse de una falta de diligencia evidente, palmaria, clamorosa, y sobre todo, por iniciativa propia y no como consecuencia de un engaño al que haya sido inducido como víctima de un delito de estafa por un delincuente profesional, lo que es difícilmente detectable por su complejidad o grado de perfección ( SAP Madrid sec 20 de 2 diciembre 2024). En suma, con carácter general el mero hecho de ser engañado no supone una negligencia grave, pues nadie es responsable de ser víctima de un engaño salvo que sea grosero o burdo. En este sentido la SAP de Pontevedra, 177/2023, de 23 de marzo requiere «una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional».

En fin, la jurisprudencia menor ha dictado numerosas resoluciones con diferentes definiciones y así se ha considerado que el usuario incurre en "negligencia grave" en caso de "inobservancia de las normas más esenciales de cuidado", o de una "actuación gravemente descuidada o injustificable", o en una "dejadez importante", o bien en la "omisión de elementales normas de seguridad" o de las "precauciones más elementales de la vida". En suma, la "negligencia grave" implica la más grave falta de diligencia, en su máximo nivel de imprevisión. En este sentido la SAP Almeria 690/2025 de 15 de julio, define la negligencia grave como la que implica una "actuación totalmente imprudente que excede del comportamiento que pudiera esperarse de una persona razonablemente atenta",mientras que la SAP A Coruña sec. 6 núm. 86/2023 de 29 marzo alude a la "falta de la diligencia más elemental que consiste en no hacer lo que todos hacen".

d.-)Por tanto, hay que estar a las circunstancias personales, de tiempo y de lugar, de cada caso concreto, teniendo en cuenta la cada vez mayor sofisticación de las actuaciones fraudulentas que imitan a la perfección incluso páginas web del banco, y al respecto cabe destacar también que no eximen de responsabilidad los meros avisos genéricos sin medidas de seguridad eficaces, por lo que si fallan los controles, ello significa que el sistema no es totalmente seguro y entonces responde la entidad bancaria, porque no se estaría ofreciendo un producto fiable.

En resumen, corresponde al proveedor de servicios de pago (arts. 42, 44 y 46), garantizar que las credenciales no sean accesibles a terceros, impedir la utilización del instrumento una vez comunicada la sustracción o extravío y demostrar en caso de notificación de un uso no autorizado del instrumento de pago que no se debió a un fallo técnico u otra deficiencia del servicio, partiendo de que la mera utilización del instrumento no implica que la operación fuera autorizada; y también y sobre todo, le incumbe acreditar que el usuario incurrió en la operación en fraude o negligencia grave, y fuera de este supuesto, debe proceder a devolver de inmediato, y a lo más tardar al día siguiente hábil, el importe de la operación no autorizada, si le ha sido comunicada sin demora la operación no autorizada ( arts. 43 y 45 LSP), restituyendo la cuenta de pago en la que se haya producido el adeudo a la situación inmediatamente anterior a la que se encontraba de no haberse producido la operación no autorizada.

En este sentido la sentencia de AP Madrid sec. 20 núm. 2 de diciembre de 2024, recapitulando lo anteriormente expuesto, se pronuncia en los siguientes términos:

"....., es preciso aludir a la postura mayoritaria de las Audiencias Provinciales en torno a la responsabilidad de las entidades bancarias ante fraudes conocidos como phishing, en interpretación del artículo 41 y ss. del Real Decreto-ley 19/2018, de 23 de noviembre , de servicios de pago y otras medidas urgentes en materia financiera. En base a dicha normativa, se aprecia una responsabilidad cuasi-objetiva de la entidad bancaria que presta servicios de pago que tan solo cesa si acredita que el cliente actuó fraudulentamente o con negligencia grave a la hora de aplicar los medios razonables de protección de seguridad personalizados de que haya sido provisto, o en el caso de que no haya comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Ello implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta incumba a la entidad. En este sentido se pronuncian, entre otras muchas, las SSAP Cádiz (Sec. 2ª) núm. 473/2023, de 23 de noviembre ; Huelva (Sec. 2ª) núm. 643/2023, de 16 de octubre ; Pontevedra (Sec. 3ª) núm. 447/2023, de 18 de septiembre ; Oviedo (Sec. 5ª) núm. 236/2023, de 22 de junio ; Cuenca núm. 125/2023, de 16 de mayo ; Zaragoza (Sec. 4ª) núm. 117/2023, de 10 de marzo ; La Rioja núm. 49/2023, de 17 de febrero ; Madrid (Sec. 10ª) núm. 24/2023, de 13 de enero ; Almería (Sec. 1ª) núm. 99/2023, de 31 de enero ; Jaén (Sec. 1ª) núm. 1355/2022, de 14 de diciembre ; Madrid (Sec. 11ª) núm. 74/2022, de 28 de febrero ; Bizcaia (Sec. 3ª) núm. 429/2016, de 10 de noviembre , que cita la SAP de Madrid (Sec. 9ª) núm. 178/2015, de 4 de mayo 2015 . Criterio coincidente con el que mantiene este tribunal expresado en la sentencia núm. 184/2022, de 20 de mayo , entre otras. Por otra parte, partiendo del admitido criterio de responsabilidad cuasi objetiva en la prestación del servicio de banca virtual respecto a operaciones de pago como la transferencia, se descarta exonerar a la entidad bancaria sobre la base de una eventual culpa del cliente, víctima de un phishing por el que se suplanta la identidad de la entidad para obtener información sobre sus claves y/o credenciales de acceso a la banca online. Así lo apuntamos en la sentencia núm. 184/2022 , antes mencionada, en los siguientes términos: Como se indica en la Directiva 2015/2036 la negligencia que le hace responder al cliente, es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que ha sido inducido por un delincuente profesional. Tampoco puede calificarse como grave dicho comportamiento conforme a la normativa del código civil, pues siendo exigible al demandante la diligencia que exija la naturaleza de la obligación y correspondan a las circunstancias de las personas, tiempo y lugar ( art. 1.104 del ccc ) el método fraudulento empleado - phishing- es de una complejidad y grado de perfección, difícilmente detectable por un cliente de las características del demandante ... En esas circunstancias, era preciso ser un experto en la materia para poder detectar que la comunicación obedecía a una estafa o fraude. Es cierto que dicho comportamiento no puede considerarse diligente, pero para hacer soportar al cliente las consecuencias, aún parciales como se concluye en la sentencia apelada, es preciso apreciar en él una negligencia y que además sea grave, que en la normativa europea antes referida se equipara a la comisión de un fraude, actuación en la que no se ha acreditado incurriese el demandante, por el hecho de haber pinchado el link que se le ofrecía y facilitar los datos y clave de la tarjeta. En estos mismos términos se pronuncia la SAP de Pontevedra (Sec. 3ª) núm. 177/2023, de 23 de marzo , con cita de la sentencia de 21 de diciembre de 2021 dictada por la Sección 6ª de esa misma Audiencia , y de las sentencias de la AP de Valencia (Sec. 6ª) 13 de junio de 2022 ; de Granada (Sec. 5ª) 20 de junio de 2022 , y de Badajoz (Sec. 3ª) 21 de junio de 2022 . Asimismo, como puso de manifiesto la SAP de Alicante (Sec. 8ª) de 12 de marzo de 2018 : La responsabilidad en estos supuestos no puede atribuirse directamente al supuesto ordenante de la transferencia por entenderse ésta autorizada al haberse realizado de acuerdo con los sistemas de autenticación del banco. Los sistemas de autenticación se establecen por los proveedores de servicios de pago y si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable, pues es el banco quien tiene responsabilidad respecto del buen funcionamiento y la seguridad del mismo. Como concluye la SAP de Madrid (Sec. 10ª) núm. 24/2023 , antes citada: [...] no podemos calificar la posible negligencia de la demandante en la conservación de sus claves como "grave" en ningún caso. Estamos ante un tipo de fraude muy específico del que es fácil ser víctima, sin que ello implique una actuación negligente del cliente, dado lo bien articulada en su ejecución que está esta modalidad de fraude."

d.-)Finalmente es de obligada cita la reciente STS 571/2025 de 9 de abril que tras un detallado análisis de la normativa comunitaria y nacional, antes aludida, viene a apuntalar la anterior doctrina, y sienta varias conclusiones importantes en la materia, a saber:

1.- En cuanto a la protección credenciales y notificación sin demora a la proveedora de servicios de pago, subraya que el usuario debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, "sin demora" tan pronto tenga conocimiento de ello.

2.- En lo relativo a la obligación reintegro, establece que en caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.

3.- La indicada sentencia señala que se presume la falta de autorización, de modo que cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.

4.- Por otro lado el Tribunal Supremo precisa que el mero uso del instrumento de pago no implica autorización, ni negligencia grave, sino que debe probarse, de modo que "el mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave."

5.- Pero sobre todo, el Tribunal Supremo confirma que la normativa comunitaria establece un sistema de responsabilidad objetiva, y lo hace en un doble sentido: En primer lugar, señala que la entidad bancaria debe responder si el usuario ha notificado sin demora la operación no autorizada, salvo fraude o negligencia grave del mismo, y en segundo término, en cuanto corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Y precisa que existe una deficiencia derivada de la "prestación defectuosa" y que existe una mala praxis cuando el banco no ofrece sistemas de seguridad eficaces que detecten indicios reveladores de posible fraude de forma automática y generen una alerta o bloqueo temporal en caso de que se den determinadas circunstancias como lo son la reiteración transferencias, el horario en que se producen, su importe, su reiteración, los antecedentes en el uso de la cuenta, etc...

Y sobre esta concreta cuestión señala al respecto:

"El grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/ consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante".

Y concluye:

"Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo".

En suma, según el Tribunal Supremo las entidades bancarias no sólo están obligadas a rastrear las páginas web que suplantan su identidad, sino también a realizar un análisis de riesgo de las operaciones y a implementar medidas de seguridad acorde a los riesgos presentes.

En fin, los bancos deben incorporar sus propios sistemas de seguridad para detectar y anticipar cuando puede estar teniendo lugar una estafa e intervenir de forma inmediata, obligación que por cierto impone el Reglamento Delegado 2018/389 y que implica realizar un análisis de riesgos en tiempo real para detectar cuándo una orden de pago es fraudulenta.

TERCERO.- Examen de los motivos del recurso. Revisión de la valoración de la prueba. Aplicación de la normativa expuesta. Revocación de la sentencia impugnada- 1.-En el presente caso las circunstancias en que se produjo el fraude informático no han quedado del todo aclaradas, pues la prueba es bastante confusa al respecto. Tanto en su demanda, como en la denuncia formulada ante la guardia civil (documento 1 de la demanda), la parte demandante refirió la existencia de un virus en su ordenador, que según alegó en la demanda confirmaron posteriormente los empleados del banco, sin que se disponga de más datos al respecto; y en su declaración en juicio la apoderada de la mercantil actora Sra. Belen afirmó que le extrañó que la pantalla de su ordenador apareciera "en negro" o como si estuviera "difuminada", y añadió que salió de la web, reinició el ordenador y entró de nuevo en la misma, y entonces le solicitó la clave o "token", que introdujo, percatándose a continuación que se había realizada una transferencia con cargo a la cuenta de la empresa por importe de 4.982 €. Por su parte según el informe aportado por BBVA (elaborado por sus propios servicios informáticos), el acceso se realizó introduciendo la mercantil actora las claves del Sr. Miguel Ángel, apoderado de la empresa.

2.-Ciertamente como afirma la sentencia impugnada, la mecánica descrita difiere del tradicional "phishing" a que alude la parte apelante y que generalmente consiste en el envío de un enlace a través de correo electrónico o SMS aparentemente remitido por la entidad bancaria, mediante el que se induce a engaño a usuario, que accede a una página web "clonada" (en apariencia idéntica a la de la entidad bancaria), operando en la misma en la creencia de que se trata de la banca "on line" de la web oficial del banco, facilitando en consecuencia sus datos, claves de acceso y/o credenciales.

3.-Ahora bien, se trate o no de un supuesto de phishing, y a diferencia de lo que se afirma en la sentencia combatida, no corresponde a la parte atora acreditar si la entidad bancaria incurrió en negligencia, como se sostiene erróneamente en la sentencia impugnada, teniendo en cuenta que nos hallamos en un régimen de responsabilidad cuasi objetiva o por riesgo, sino si el usuario de los servicios de pago ha incurrido en fraude o negligencia grave que exima al banco de su responsabilidad, que es cuestión radicalmente distinta. Y ello aclarado, no se comparte este tribunal que la entidad apelante haya incurrido en negligencia "grave" por el mero hecho de no disponer de un programa antivirus, como afirma la sentencia impugnada, pues aparte de tratarse de un dato que carece del necesario respaldo probatorio en autos (y en el que se basa fundamentalmente la sentencia como argumento central para desestimar la demanda (pese a que esta circunstancia debería ser probada por la propia entidad bancaria ex art. 44 LSP y no al revés), de ser cierto tal dato, únicamente permitiría valorar el mayor o menor grado de diligencia por parte de la mercantil demandante, pero no permite concluir la existencia de una negligencia "grave" como lo hace la sentencia impugnada (en similares términos se pronuncia la fuente SAP Murcia sec 1ª núm. 638/2025 de 16 de diciembre), a lo sumo una cierta falta de cautela (por tanto una negligencia leve), ya que dispusiera o no de dichos programas antivirus, ello no es en absoluto obligatorio, máxime cuando numerosos terminales los incorporan, y como ya se ha indicado, la ausencia de prueba sobre este particular es total (sin que tampoco pueda tenerse en consideración el documento extemporáneamente aportado por la actora en esta alzada en cuanto que que no se ajusta a los supuestos de los arts. 270 y 460 LEC).

Como señala la SAP de Navarra, secc 3ª, de 25 de noviembre de 2024:

"De esta forma, "grave" sería la negligencia de quien toma la iniciativa a la hora de desproteger sus credenciales, o la negligencia de quien hace entrega de los datos y credenciales a un tercero que se muestra claramente como tal, como ajeno a la entidad bancaria mediante signos y evidencias suficientes de tal ajenidad. Pero no ostenta la misma "gravedad" relevante la negligencia de quien no actúa por iniciativa propia sino arrastrado por comportamiento fraudulento de tercero, mediante un mecanismo de fraude muy específico y complejo, y de difícil detección, en el que es fácil ser víctima de un engaño ante la apariencia y creencia de oficialidad de la entidad, sin embargo, fraudulentamente aparentada por suplantación, sin que se aprecie en ello una cualificada negligencia".

4.-Dicho lo cual, en este caso la prueba practicada pone de manifiesto, de forma evidente, que la empresa apelante fue víctima de un fraude informático y así se desprende del contenido del atestado aportado a los autos y del procedimiento penal que finalmente fue incoado (diligencias previas 407/2023 del Juzgado de Instrucción nº 5 de Alzira), estando incluso identificada la titular de la cuenta beneficiaria de la suma fraudulentamente apropiada, dado que las gestiones realizadas por la guardia civil dieron resultado positivo, sin que como hemos visto pueda deducirse la existencia de una negligencia grave por el mero hecho de que la mercantil actora haya sido víctima de un delito cometido por un extraño que tuvo acceso a su ordenador induciéndole a introducir sus claves, pues lo que es indiscutible es que el sistema de banca on linefalló en cuanto a las exigibles garantías de seguridad.

5.-Por tanto, lo realmente relevante es que la transferencia de la suma objeto de reclamación se produjo precisamente en el contexto de la comisión de un delito de estafa por el que se incoó el correspondiente procedimiento penal, ilícito penal del que la parte actora habría sido víctima, y cuyo elemento nuclear radica precisamente en una conducta desarrollada por el sujeto activo dirigida a producir engaño en el sujeto pasivo mediante ardides que le llevan a torcer su voluntad induciéndole a realizar un acto de disposición patrimonial en su perjuicio, en ocasiones con maniobras muy complejas, especialmente en el ámbito informático, y con un modus operandi que conlleva una llamativa sofisticación que implica incluso el uso de técnicas de ingeniería social, siendo un hecho notorio ( art. 281.4º LEC) la proliferación de este tipo de conductas delictivas en los últimos tiempos, por lo que no puede la entidad bancaria descargar toda la responsabilidad en una conducta "gravemente negligente" del propio cliente, pues es evidente es la empresa fue víctima de un fraude electrónico, y el fallo de control se produjo, sobre todo y especialmente, debido a una evidente deficiencia en la seguridad del sistema informático de banca "on line" que la entidad bancaria puso a su disposición y cuya escasa fiabilidad se evidenció precisamente con dicha operación fraudulenta, ya que como se ha indicado, un tercero pudo acceder a su cuenta bancaria consiguiendo transferir una importante suma de dinero a otra cuenta.

En suma, es claro que se empleó un sofisticado sistema de fraude electrónico, y que la entidad bancaria no fue capaz de detectarlo de forma automática y en tiempo real, pues no se generó alerta alguna ni se bloqueó la cuenta, a pesar de lo anómalo de la operación y de su elevada cuantía, medidas que eran exigibles a la entidad bancaria de acuerdo con la normativa y doctrina jurisprudencial expuesta.

6.-Como señala la reciente SAP de Zaragoza sec. 4 núm. 87/2025 de 4 de marzo, que en estos casos atribuye la responsabilidad a la entidad bancaria: "Un fallo de seguridad del sistema técnico empleado por la demandada pudo permitir la operativa fraudulenta, lo que solo es reprochable a esa parte, al no haber demostrado ninguna otra deficiencia o explicación técnica que pudiera exonerarle de responsabilidad, pese a que sobre ella recae la carga de demostrarlo, como ha quedado dicho".

Esta interpretación ha sido además avalada por la ya citada sentencia del Tribunal Supremo 571/2025, de 9 de abril, que desestimó el recurso de casación interpuesto por la entidad bancaria, que alegaba que la responsabilidad de la entidad se ciñe a sus propios sistemas informáticos y no a los dispositivos propiedad del usuario, que es quien debería velar y garantizar la seguridad tanto de su ordenador como de su dispositivo móvil y añadía que es al cliente al que se le sustraen los datos a quien corresponde la obligación de guarda y custodia de las claves de usuario, por lo que, concluye el banco, el «robo o sustracción de las claves suponen una clara negligencia del usuario» y, finalmente, afirma la entidad bancaria que cumplió con el deber de diligencia al enviar a sus clientes, de forma personalizada, comunicaciones con advertencias, avisos y consejos sobre el modo en que deben actuar en el uso de la banca on linepor lo que en caso de phishing o fraudes similares la responsabilidad debe recaer en el usuario que se ha apartado consciente y voluntariamente de las indicaciones dadas por la entidad en tales comunicaciones.

El Tribunal Supremo rechazó tales argumentos y concluyó que el hecho de que las operaciones hubiesen sido correctamente autenticadas, registradas con exactitud y contabilizadas, no es suficiente para eximir de responsabilidad a la entidad bancaria pues ésta ha de probar que la operación no resultó afectada por un fallo técnico u otra deficiencia del servicio prestado y el hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de la obligación de responder, ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente, debe acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario.

7.-Y es que tal y como se desprende de la doctrina antes expuesta, atendido el régimen de responsabilidad cuasi objetiva que establece la normativa comunitaria, y la nacional que la incorpora, es la entidad bancaria proveedora de los servicios de pago la responsable del buen funcionamiento y la seguridad del sistema de acceso y autentificación en las operaciones de "banca on line", sin que pueda la misma eximirse de responsabilidad descargándola en el cliente o usuario, salvo que se demuestre que éste ha incurrido en negligencia grave, en este caso no acreditada, pues lo sucedido revela que el sistema de "banca on line" proporcionado presentaba deficiencias y no era totalmente seguro y de hecho no permitió evitar la actuación fraudulenta, de lo que debe responder la entidad bancaria en cuanto que no se estaría ofreciendo un producto seguro, debiendo asumir los fallos del sistema, y ello ya se trate de un fallo técnico o de cualquier otra deficiencia, dado que no se han eliminado los riesgos derivados de su utilización por los usuarios, que no pueden verse perjudicados por su uso salvo supuestos excepcionales de fraude o negligencia grave.

8.-Finalmente, es de destacar que la operación tuvo lugar el 27 de abril de 2022 y que la empresa perjudicada comunicó el hecho a la entidad bancaria tras formular la oportuna denuncia ante la guardia civil, en cuanto tuvo conocimiento de los hechos, concretamente el día 4 de mayo de 2022 (documento 1 de la demanda), al margen de la posterior reclamación al banco ante su reticencia a reintegrar la suma fraudulentamente dispuesta (documento 2), por lo que actuó diligentemente cumpliendo los parámetros que exige la jurisprudencia (singularmente STJUE 1 de agosto de 2025, C-665/23 caso "Veracash").

9.-En suma, no habiéndose acreditado que la empresa demandante incurriera en negligencia "grave", y comunicada por ésta sin demora la operación de pago no autorizada o ejecutada incorrectamente, la entidad bancaria debió proceder a su rectificación, y al reintegro inmediato el importe defraudado ( arts. 43 y 45 LSP), y al no hacerlo incumplió los deberes que como como entidad proveedora de servicios de pago le incumbían, de acuerdo con la normativa comunitaria y nacional citadas y la doctrina jurisprudencial expuesta, por lo que procede estimar el recurso y revocar la sentencia impugnada estimando la reclamación formulada.

CUARTO.- Costas procesales.-Dada la estimación del recurso y la consiguiente estimación de la demanda, procede imponer a la entidad bancaria demandada las costas procesales causadas en primera instancias sin que proceda especial imposición de las causadas en esta alzada ( arts. 394 y 398 LEC).

Vistos los artículos citados y demás de general y pertinente aplicación la Sala constituida en órgano unipersonal pronuncia el siguiente

PRIMERO.- Antecedentes y planteamiento del recurso.- 1.-Por la mercantil demandante PUZZLE KIT SL se formuló demanda de juicio verbal en el que se reclamaba la cantidad de 4.984 € en concepto de daños y perjuicios contra la entidad bancaria BANCO BILBAO VIZCAYA ARGENTARIA (BBVA). La demanda se fundamenta en una estafa cibernética tipo "phishing", de la que fue objeto el 27 de abril de 2022 cuando la apoderada de la empresa detectó un cargo no autorizado tras acceder a su cuenta bancaria. Alegaba que a pesar de que el banco reconoció el problema y bloqueó la cuenta, no ha indemnizado a la empresa, pese a las múltiples reclamaciones realizadas. Se argumenta que el banco tiene una responsabilidad cuasi objetiva por el mal funcionamiento de sus servicios de banca electrónica y un deber de vigilancia que le obliga a indemnizar a la empresa por los fondos sustraídos. La demanda se apoya en el Real Decreto-Ley 19/2018 de Servicios de Pago, que establece la responsabilidad del proveedor de servicios de pago en caso de operaciones no autorizadas. Sostiene en síntesis que el banco debe demostrar que la operación fue autenticada y no afectada por fallos técnicos o fraudes, y añade que el incumplimiento de las medidas de seguridad puede dar lugar a una responsabilidad por "culpa in vigilando". Además, en la demanda se hacía referencia a la obligación de las entidades bancarias de contar con un departamento de atención al cliente para resolver quejas y reclamaciones, así como a la necesidad de implementar medidas de seguridad adecuadas para prevenir fraudes. La demanda concluía solicitando que se declarara la responsabilidad del banco y se le condenara al pago de la cantidad reclamada, más los intereses correspondientes.

2.-Emplazada la entidad bancaria demandada, solicitó la desestimación de la demanda, ya que no habría incumplido ninguna obligación legal ni ha causado daño al demandante. Sostiene que la operación fue autorizada por el apoderado de PUZZLE, quien utilizó un sistema de seguridad que incluía un código "token", y que la demandante no ha demostrado haber sido víctima de un ciberataque. BBVA argumenta que la responsabilidad de la operación recae en el apoderado, quien actuó con negligencia al facilitar sus datos de acceso a un tercero. Además, expone que BBVA actuó con la diligencia debida, cumpliendo con los protocolos de seguridad y autenticación requeridos. Menciona que, al tener conocimiento de la falta de reconocimiento de la transferencia por parte de PUZZLE, contactó a la entidad receptora para solicitar la devolución del importe, aunque ésta no fue posible. También aborda la carga de la prueba, indicando que corresponde a la demandante demostrar la falta de autorización de la operación. En conclusión, BBVA solicita la desestimación de la demanda, argumentando que las operaciones fueron correctamente autenticadas y que no se puede imputar responsabilidad a la entidad bancaria por la actuación negligente del apoderado de PUZZLE.

3.-La sentencia de instancia desestimó la demanda imponiendo las costas a la parte actora, al considerar que no pueden encuadrarse la actuación fraudulenta de que fue objeto la parte demandante dentro del denominado "phishing"; concluye que el ordenador de la entidad denunciante fue infectado por un virus; que tuvo que reiniciar al parecerle extraño el estado de la pantalla, y que fue entonces cuando accedió a la web de la entidad, sin que se haya acreditado que haya sufrido ningún tipo de ataque cibernético cuando al introducir la clave de acceso permitió al virus acceder a su cuenta bancaria, por lo que no se podría exigir responsabilidad civil a la entidad bancaria demandada ya que no hubo actuación negligente por su parte, ya que no nos encontraríamos ante una operación de phishing en sentido estricto sino en presencia de una infección previa del terminal de la empresa que permitió al defraudador acceder a la cuenta bancaria y conocer las claves de la misma.

4.- a.-)Contra dicha sentencia interpone recurso de apelación la representación procesal de PUZZLE KIT SL en el que argumenta que la sentencia no aplica adecuadamente la legislación pertinente, singularmente el Real Decreto-Ley 19/2018 sobre servicios de pago, que establece la responsabilidad del banco en operaciones no autorizadas, y la Directiva 2015/2366 sobre servicios de pago, que exige medidas de seguridad adecuadas. Expone la cronología de los hechos que llevaron a la transferencia no autorizada, destacando que el demandante no había realizado transferencias inmediatas en 25 años y que su ordenador estaba libre de virus, lo que contradice la alegación de negligencia por parte del banco. Además, menciona que la demandante fue víctima de un fraude conocido y que la entidad bancaria no cumplió con su obligación de resolver la reclamación en el plazo establecido. Se argumenta que la responsabilidad del banco es cuasi-objetiva y que debe asumir las consecuencias de los fallos de seguridad en su sistema, así como la necesidad de implementar tecnología antiphishing. Concluye solicitando la revocación de la sentencia y la restitución del importe de la operación no autorizada, argumentando que la carga de la prueba recae sobre la entidad bancaria.

b.-)Conferido traslado del recurso a la entidad BBVA, en su oposición sostiene que la apelación debe ser desestimada, argumentando que la actora actuó de manera negligente al no proteger adecuadamente sus credenciales de seguridad y al no notificar la transferencia no autorizada de manera oportuna. Además, BBVA argumenta que la introducción de un documento nuevo en esta alzada relativo al antivirus instalado en el ordenador por parte de la apelante es improcedente, ya que los hechos que pretende acreditar no son nuevos. Se menciona que la normativa aplicable, en particular la Ley de Servicios de Pago, según la cual el cliente debe asumir las pérdidas derivadas de operaciones no autorizadas si actúa con negligencia grave. BBVA defiende que cumplió con sus obligaciones de diligencia al autorizar la transferencia mediante un sistema de doble autenticación y que adoptó medidas antifraude adecuadas. En conclusión, BBVA solicita que se confirme la sentencia de instancia y se desestime el recurso de apelación con imposición de costas.

SEGUNDO.- Normativa y jurisprudencia aplicables.- 1.-Los argumentos impugnatorios de la mercantil demandante se centran fundamentalmente en cuestionar la afirmación de la sentencia impugnada que desestimó su demanda al no haber acreditado ser víctima de phishing, sino que su ordenador fue infectado por un virus, sin que conste dispusiera de los mecanismos necesarios para evitar este tipo de infecciones, incurriendo por ello en negligencia grave, por lo que según concluye el juez a quo, no se podría exigir responsabilidad alguna a la entidad bancaria demandada.

2.- a.-)La resolucion del recurso requiere necesariamente traer a colación la normativa y jurisprudencia aplicables en la materia, y al respecto cabe comenzar resaltando que el incremento exponencial del uso instrumentos telemáticos de pago y su generalización en los últimos años ha supuesto la progresiva desaparición de la banca presencial en busca de una reducción de costes e incremento de beneficios, lo que implica también un aumento del riesgo que en especial afecta a personas poco familiarizadas con la realización de pagos electrónicos y la prestación de servicios "on line", lo que ha propiciado la multiplicación fraudes informáticos mediante el empleo de técnicas de ingeniería social a menudo muy sofisticadas, que crean situaciones de urgencia, curiosidad o miedo para manipular al usuario induciéndole inconscientemente para que realice una acción no deseada, y para ello se emplean programas informáticos maliciosos prácticamente imposibles de detectar ( SAP Lleida sec 2 núm. 395/2025 de 16 de mayo)

El Considerando 7 de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, que derogó la Directiva 2007/64 /CE, describe la indicada situación cuando señala:

"En los últimos años, han aumentado los riesgos de seguridad de los pagos electrónicos, debido a la mayor complejidad técnica de estos, el incesante incremento del volumen de pagos electrónicos en todo el mundo y los nuevos tipos de servicios de pago. Disponer de servicios de pago fiables y seguros es condición esencial para el buen funcionamiento del mercado de servicios de pago, por lo que los usuarios de esos servicios deben gozar de la debida protección frente a tales riesgos. Los servicios de pago son esenciales para el mantenimiento de actividades económicas y sociales de vital importancia".

Precisamente la finalidad de dicha Directiva (UE) 2015/2366 -y antes de la derogada Directiva 2007/64 CE- ha sido la de garantizar seguridad del tráfico bancario telemático generando un entorno más seguro y fiable, promoviendo la confianza en el uso de los instrumentos electrónicos de pago, reforzando la protección de los consumidores (que es en definitiva el eslabón más débil) y reduciendo al máximo responsabilidad del usuario u ordenante, potenciando la innovación servicios de pago a través del móvil y de internet, y una de las principales novedades de dichas Directivas es que, para el cumplimiento de sus objetivos, introdujeron un sistema de responsabilidad cuasi objetiva o "por riesgo", partiendo de la premisa de que las entidades bancarias proveedoras de los servicios de pago son las principales beneficiarias del uso de tarjetas y demás instrumentos de pago telemáticos, y por ello diseñan y ofrecen el sistema "on line" potenciando los pagos electrónicos que ahorran costes y generan negocio, servicios que además se ofrecen al consumidor o usuario como seguros, por lo que el legislador comunitario parte de que las entidades financieras deben responder de las grietas y fallos del sistema si ofrecen un producto sin alertas suficientes, poco seguro, lo que implica una obligación de actuación proactiva de las entidades financieras para proporcionar sistemas de seguridad eficientes, fiables y seguros dentro de los conocidos ( arts. 1104 Código civil diligencia extraordinaria y 1258 Código civil los contratos obligan a todas sus consecuencias con arreglo a la buena fe).

En suma, como señala la reciente SAP Zaragoza sec 4 núm. 312/2025 16 julio, la ley traslada a las entidades de crédito el riesgo por órdenes de pago aparentes cuya autenticidad digital ha sido suplantada por terceros defraudadores, por lo que el proveedor de servicios debe proporcionar seguridad y responde de los riesgos del uso de la banca on line. Y en este sentido señala la SAP Badajoz sec 2 núm. 647/2025 de 3 de octubre, que "son necesarios sistemas fiables, comunicaciones seguras, más formación y más inversión en seguridad, pues el cliente tiene derecho a la indemnidad de sus ahorros, ya que confía que están seguros en el banco, cuya custodia y tutela le corresponde ( art. 307 Cco y 1766 Código civil )".

Por tanto, la normativa comunitaria impone a los bancos, como proveedores de los servicios de pago, un deber de diligencia extraordinaria, siendo responsables de los fallos de seguridad salvo culpa grave del usuario, o lo que es lo mismo, se les atribuye una responsabilidad por insuficiencia de las medidas de seguridad cuando las mismas fallan, pues no sería justo que las consecuencias de tales deficiencias se trasladaran a los clientes (en esta línea se pronuncian la SAP Madrid Sección 11ª, 74/22, la SAP Salamanca, Sección 1ª, 428/2021 y la SAP Zaragoza, Sección 4ª, 44/2023, de 17 de febrero, entre otras).

b.-)En el ámbito interno, y este contexto, el RD-Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera derogó la Ley 16/2009, de 13 de noviembre, de servicios de pago, norma que ha incorporado parcialmente a nuestro Derecho, la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65 /CE, 2009/110/CE y 2013/36/ UE y el Reglamento (UE) núm. 1093/2010 y que derogó la Directiva 2007/64/CE (DF 11ª), que introduce y refuerza el mencionado sistema de responsabilidad objetiva.

La Ley parte de que toda operación debe contar con el consentimiento efectivo del usuario u ordenante ( art. 36 LSP) entendido como consentimiento no viciado, y a falta de consentimiento la operación se entiende como no autorizada, por tanto se presume la falta de autorización si el titular lo niega, teniendo en cuenta que el mero uso del instrumento de pago o que la operación haya sido debidamente registrada o autenticada no implica que la operación esté autorizada, e incorpora como decimos el sistema el responsabilidad cuasi objetiva antes dicho (que ha sido además recientemente confirmado en la TS 571/2025 de 9 de abril, a la que aludiremos a continuación), y en este sentido se pronuncian la SAP Murcia sec. 1 núm. 18/2023 de 16 de enero, SsAP de Alicante (8ª) 107/18, de 12 de marzo; Pontevedra (6ª) 539/21, de 21 de diciembre; Madrid (11ª) 74/22, de 28 de febrero; Madrid (20ª) 184/22, de 20 de mayo; Valencia (6ª) 254/22, de 13 de junio; Oviedo sec. 5, núm 236/2023 de 26 junio, SAP Zaragoza sec 4 núm 114/2023 de 10 marzo, SAP Vizcaya sec 3 núm 429/2016 de 10 noviembre, Badajoz (3ª) 159/22, de 16 de junio; o Granada (5ª) 212/22, de 20 de junio.

Ello significa que el usuario queda eximido de demostrar una falta o negligencia del banco (STJUE 2 septiembre 2021) ya que se produce una inversión carga de la prueba, de suerte que el banco responde de cualquier anomalía del sistema de banca "on line" salvo que acredite una actuación fraudulenta por parte del ordenante o que implique una negligencia grave.

Como señala la SAP Murcia sec. 1 núm. 18/2023 de 16 de enero, existe una abundante jurisprudencia menor en lo relativo al régimen jurídico correspondiente a estos servicios de pago, y cita a tal efecto, y como resoluciones que han analizado la responsabilidad de la entidad de crédito emisora, las SsAP de Alicante (8ª) 107/18, de 12 de marzo; Pontevedra (6ª) 539/21, de 21 de diciembre; Madrid (11ª) 74/22, de 28 de febrero; Madrid (20ª) 184/22, de 20 de mayo; Valencia (6ª) 254/22, de 13 de junio; Badajoz (3ª) 159/22, de 16 de junio; o Granada (5ª) 212/22, de 20 de junio, y la conclusión común de estas resoluciones, como señala esta última sentencia, es que con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi objetiva, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso, y tal conclusión se alcanza como consecuencia del régimen jurídico aplicable, que en este caso lo constituía el RD Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (que derogó la Ley 16/2009, de 13 de noviembre, de servicios de pago) norma que incorpora parcialmente, a nuestro Derecho, la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65 /CE, 2009/110/CE y 2013/36/ UE y el Reglamento (UE) núm. 1093/2010 y se deroga la Directiva 2007/64/CE (DF 11ª), en cuya virtud salvo actuación fraudulenta, incumplimiento deliberado o negligencia grave del ordenante la responsabilidad será del proveedor del servicio de pago ( art. 46), lo que supone que a él le corresponde la carga de la prueba de que la orden de pago no se vea afectada por un fallo técnico o cualquier otra deficiencia. Por tanto, la responsabilidad contemplada en esta Ley es cuasi objetiva, es decir, se trata de una responsabilidad de la entidad que presta servicios de pago que sólo permite exonerarse mediante la prueba de la culpa grave del ordenante. En base a todos estos criterios cabe concluir que la Ley de los Servicios de Pago establece un sistema de responsabilidad cuasi objetiva para la entidad financiera, previendo que en caso de disposiciones fraudulentas el proveedor de servicios de pago deberá devolver de inmediato el importe de la operación no autorizada, quedando exento de esta obligación solo en el caso de que la operación no autorizada sea fruto de la actuación fraudulenta del cliente o del incumplimiento, deliberado o por negligencia grave, de una o varias de sus obligaciones. Además, la Ley prevé una inversión de la carga de la prueba en tanto es el proveedor de los servicios, quien debe probar que la operación fue debidamente autenticada, cuando el usuario de los servicios lo niegue (art. 44).

c.-) Por tanto, lo que procede seguidamente es delimitar el concepto de "negligencia grave" como causa de exoneración de responsabilidad de las entidades bancarias proveedoras de los servicios de pago; y al respecto, la propia Directiva 2015/2366 nos ofrece una pista, al dar un concepto muy restrictivo, ya en su Considerando 72 señala:

"Si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia".

Y analizadas la últimas sentencias de las Audiencias Provinciales en aplicación del RD-Ley 19/2028, se constata que existe una clara tendencia a dotar de una mayor protección al usuario, restringiendo el concepto de "negligencia grave" como causa de exoneración de responsabilidad de la entidad bancaria, y en este sentido se ha venido reiterando que no cabe hablar de "negligencia "grave" si el usuario ha sido víctima de una sofisticada estafa y fallaron todos los controles por parte del banco ( sentencia de esta misma Sala núm. 244/2024 de 29 mayo), al margen de la consabida doctrina de la Sala de lo Penal de Tribunal Supremo ( STS Sala 2ª sec. 1ª , nº 51/2020, de 17 de febrero de 2020, entre otras), según la cual no se puede desplazar sobre el perjudicado la responsabilidad de comportamientos en los que la intención de engañar es manifiesta. Por tanto, debe tratarse de una falta de diligencia evidente, palmaria, clamorosa, y sobre todo, por iniciativa propia y no como consecuencia de un engaño al que haya sido inducido como víctima de un delito de estafa por un delincuente profesional, lo que es difícilmente detectable por su complejidad o grado de perfección ( SAP Madrid sec 20 de 2 diciembre 2024). En suma, con carácter general el mero hecho de ser engañado no supone una negligencia grave, pues nadie es responsable de ser víctima de un engaño salvo que sea grosero o burdo. En este sentido la SAP de Pontevedra, 177/2023, de 23 de marzo requiere «una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional».

En fin, la jurisprudencia menor ha dictado numerosas resoluciones con diferentes definiciones y así se ha considerado que el usuario incurre en "negligencia grave" en caso de "inobservancia de las normas más esenciales de cuidado", o de una "actuación gravemente descuidada o injustificable", o en una "dejadez importante", o bien en la "omisión de elementales normas de seguridad" o de las "precauciones más elementales de la vida". En suma, la "negligencia grave" implica la más grave falta de diligencia, en su máximo nivel de imprevisión. En este sentido la SAP Almeria 690/2025 de 15 de julio, define la negligencia grave como la que implica una "actuación totalmente imprudente que excede del comportamiento que pudiera esperarse de una persona razonablemente atenta",mientras que la SAP A Coruña sec. 6 núm. 86/2023 de 29 marzo alude a la "falta de la diligencia más elemental que consiste en no hacer lo que todos hacen".

d.-)Por tanto, hay que estar a las circunstancias personales, de tiempo y de lugar, de cada caso concreto, teniendo en cuenta la cada vez mayor sofisticación de las actuaciones fraudulentas que imitan a la perfección incluso páginas web del banco, y al respecto cabe destacar también que no eximen de responsabilidad los meros avisos genéricos sin medidas de seguridad eficaces, por lo que si fallan los controles, ello significa que el sistema no es totalmente seguro y entonces responde la entidad bancaria, porque no se estaría ofreciendo un producto fiable.

En resumen, corresponde al proveedor de servicios de pago (arts. 42, 44 y 46), garantizar que las credenciales no sean accesibles a terceros, impedir la utilización del instrumento una vez comunicada la sustracción o extravío y demostrar en caso de notificación de un uso no autorizado del instrumento de pago que no se debió a un fallo técnico u otra deficiencia del servicio, partiendo de que la mera utilización del instrumento no implica que la operación fuera autorizada; y también y sobre todo, le incumbe acreditar que el usuario incurrió en la operación en fraude o negligencia grave, y fuera de este supuesto, debe proceder a devolver de inmediato, y a lo más tardar al día siguiente hábil, el importe de la operación no autorizada, si le ha sido comunicada sin demora la operación no autorizada ( arts. 43 y 45 LSP), restituyendo la cuenta de pago en la que se haya producido el adeudo a la situación inmediatamente anterior a la que se encontraba de no haberse producido la operación no autorizada.

En este sentido la sentencia de AP Madrid sec. 20 núm. 2 de diciembre de 2024, recapitulando lo anteriormente expuesto, se pronuncia en los siguientes términos:

"....., es preciso aludir a la postura mayoritaria de las Audiencias Provinciales en torno a la responsabilidad de las entidades bancarias ante fraudes conocidos como phishing, en interpretación del artículo 41 y ss. del Real Decreto-ley 19/2018, de 23 de noviembre , de servicios de pago y otras medidas urgentes en materia financiera. En base a dicha normativa, se aprecia una responsabilidad cuasi-objetiva de la entidad bancaria que presta servicios de pago que tan solo cesa si acredita que el cliente actuó fraudulentamente o con negligencia grave a la hora de aplicar los medios razonables de protección de seguridad personalizados de que haya sido provisto, o en el caso de que no haya comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Ello implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta incumba a la entidad. En este sentido se pronuncian, entre otras muchas, las SSAP Cádiz (Sec. 2ª) núm. 473/2023, de 23 de noviembre ; Huelva (Sec. 2ª) núm. 643/2023, de 16 de octubre ; Pontevedra (Sec. 3ª) núm. 447/2023, de 18 de septiembre ; Oviedo (Sec. 5ª) núm. 236/2023, de 22 de junio ; Cuenca núm. 125/2023, de 16 de mayo ; Zaragoza (Sec. 4ª) núm. 117/2023, de 10 de marzo ; La Rioja núm. 49/2023, de 17 de febrero ; Madrid (Sec. 10ª) núm. 24/2023, de 13 de enero ; Almería (Sec. 1ª) núm. 99/2023, de 31 de enero ; Jaén (Sec. 1ª) núm. 1355/2022, de 14 de diciembre ; Madrid (Sec. 11ª) núm. 74/2022, de 28 de febrero ; Bizcaia (Sec. 3ª) núm. 429/2016, de 10 de noviembre , que cita la SAP de Madrid (Sec. 9ª) núm. 178/2015, de 4 de mayo 2015 . Criterio coincidente con el que mantiene este tribunal expresado en la sentencia núm. 184/2022, de 20 de mayo , entre otras. Por otra parte, partiendo del admitido criterio de responsabilidad cuasi objetiva en la prestación del servicio de banca virtual respecto a operaciones de pago como la transferencia, se descarta exonerar a la entidad bancaria sobre la base de una eventual culpa del cliente, víctima de un phishing por el que se suplanta la identidad de la entidad para obtener información sobre sus claves y/o credenciales de acceso a la banca online. Así lo apuntamos en la sentencia núm. 184/2022 , antes mencionada, en los siguientes términos: Como se indica en la Directiva 2015/2036 la negligencia que le hace responder al cliente, es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que ha sido inducido por un delincuente profesional. Tampoco puede calificarse como grave dicho comportamiento conforme a la normativa del código civil, pues siendo exigible al demandante la diligencia que exija la naturaleza de la obligación y correspondan a las circunstancias de las personas, tiempo y lugar ( art. 1.104 del ccc ) el método fraudulento empleado - phishing- es de una complejidad y grado de perfección, difícilmente detectable por un cliente de las características del demandante ... En esas circunstancias, era preciso ser un experto en la materia para poder detectar que la comunicación obedecía a una estafa o fraude. Es cierto que dicho comportamiento no puede considerarse diligente, pero para hacer soportar al cliente las consecuencias, aún parciales como se concluye en la sentencia apelada, es preciso apreciar en él una negligencia y que además sea grave, que en la normativa europea antes referida se equipara a la comisión de un fraude, actuación en la que no se ha acreditado incurriese el demandante, por el hecho de haber pinchado el link que se le ofrecía y facilitar los datos y clave de la tarjeta. En estos mismos términos se pronuncia la SAP de Pontevedra (Sec. 3ª) núm. 177/2023, de 23 de marzo , con cita de la sentencia de 21 de diciembre de 2021 dictada por la Sección 6ª de esa misma Audiencia , y de las sentencias de la AP de Valencia (Sec. 6ª) 13 de junio de 2022 ; de Granada (Sec. 5ª) 20 de junio de 2022 , y de Badajoz (Sec. 3ª) 21 de junio de 2022 . Asimismo, como puso de manifiesto la SAP de Alicante (Sec. 8ª) de 12 de marzo de 2018 : La responsabilidad en estos supuestos no puede atribuirse directamente al supuesto ordenante de la transferencia por entenderse ésta autorizada al haberse realizado de acuerdo con los sistemas de autenticación del banco. Los sistemas de autenticación se establecen por los proveedores de servicios de pago y si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable, pues es el banco quien tiene responsabilidad respecto del buen funcionamiento y la seguridad del mismo. Como concluye la SAP de Madrid (Sec. 10ª) núm. 24/2023 , antes citada: [...] no podemos calificar la posible negligencia de la demandante en la conservación de sus claves como "grave" en ningún caso. Estamos ante un tipo de fraude muy específico del que es fácil ser víctima, sin que ello implique una actuación negligente del cliente, dado lo bien articulada en su ejecución que está esta modalidad de fraude."

d.-)Finalmente es de obligada cita la reciente STS 571/2025 de 9 de abril que tras un detallado análisis de la normativa comunitaria y nacional, antes aludida, viene a apuntalar la anterior doctrina, y sienta varias conclusiones importantes en la materia, a saber:

1.- En cuanto a la protección credenciales y notificación sin demora a la proveedora de servicios de pago, subraya que el usuario debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, "sin demora" tan pronto tenga conocimiento de ello.

2.- En lo relativo a la obligación reintegro, establece que en caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.

3.- La indicada sentencia señala que se presume la falta de autorización, de modo que cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.

4.- Por otro lado el Tribunal Supremo precisa que el mero uso del instrumento de pago no implica autorización, ni negligencia grave, sino que debe probarse, de modo que "el mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave."

5.- Pero sobre todo, el Tribunal Supremo confirma que la normativa comunitaria establece un sistema de responsabilidad objetiva, y lo hace en un doble sentido: En primer lugar, señala que la entidad bancaria debe responder si el usuario ha notificado sin demora la operación no autorizada, salvo fraude o negligencia grave del mismo, y en segundo término, en cuanto corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Y precisa que existe una deficiencia derivada de la "prestación defectuosa" y que existe una mala praxis cuando el banco no ofrece sistemas de seguridad eficaces que detecten indicios reveladores de posible fraude de forma automática y generen una alerta o bloqueo temporal en caso de que se den determinadas circunstancias como lo son la reiteración transferencias, el horario en que se producen, su importe, su reiteración, los antecedentes en el uso de la cuenta, etc...

Y sobre esta concreta cuestión señala al respecto:

"El grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/ consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante".

Y concluye:

"Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo".

En suma, según el Tribunal Supremo las entidades bancarias no sólo están obligadas a rastrear las páginas web que suplantan su identidad, sino también a realizar un análisis de riesgo de las operaciones y a implementar medidas de seguridad acorde a los riesgos presentes.

En fin, los bancos deben incorporar sus propios sistemas de seguridad para detectar y anticipar cuando puede estar teniendo lugar una estafa e intervenir de forma inmediata, obligación que por cierto impone el Reglamento Delegado 2018/389 y que implica realizar un análisis de riesgos en tiempo real para detectar cuándo una orden de pago es fraudulenta.

TERCERO.- Examen de los motivos del recurso. Revisión de la valoración de la prueba. Aplicación de la normativa expuesta. Revocación de la sentencia impugnada- 1.-En el presente caso las circunstancias en que se produjo el fraude informático no han quedado del todo aclaradas, pues la prueba es bastante confusa al respecto. Tanto en su demanda, como en la denuncia formulada ante la guardia civil (documento 1 de la demanda), la parte demandante refirió la existencia de un virus en su ordenador, que según alegó en la demanda confirmaron posteriormente los empleados del banco, sin que se disponga de más datos al respecto; y en su declaración en juicio la apoderada de la mercantil actora Sra. Belen afirmó que le extrañó que la pantalla de su ordenador apareciera "en negro" o como si estuviera "difuminada", y añadió que salió de la web, reinició el ordenador y entró de nuevo en la misma, y entonces le solicitó la clave o "token", que introdujo, percatándose a continuación que se había realizada una transferencia con cargo a la cuenta de la empresa por importe de 4.982 €. Por su parte según el informe aportado por BBVA (elaborado por sus propios servicios informáticos), el acceso se realizó introduciendo la mercantil actora las claves del Sr. Miguel Ángel, apoderado de la empresa.

2.-Ciertamente como afirma la sentencia impugnada, la mecánica descrita difiere del tradicional "phishing" a que alude la parte apelante y que generalmente consiste en el envío de un enlace a través de correo electrónico o SMS aparentemente remitido por la entidad bancaria, mediante el que se induce a engaño a usuario, que accede a una página web "clonada" (en apariencia idéntica a la de la entidad bancaria), operando en la misma en la creencia de que se trata de la banca "on line" de la web oficial del banco, facilitando en consecuencia sus datos, claves de acceso y/o credenciales.

3.-Ahora bien, se trate o no de un supuesto de phishing, y a diferencia de lo que se afirma en la sentencia combatida, no corresponde a la parte atora acreditar si la entidad bancaria incurrió en negligencia, como se sostiene erróneamente en la sentencia impugnada, teniendo en cuenta que nos hallamos en un régimen de responsabilidad cuasi objetiva o por riesgo, sino si el usuario de los servicios de pago ha incurrido en fraude o negligencia grave que exima al banco de su responsabilidad, que es cuestión radicalmente distinta. Y ello aclarado, no se comparte este tribunal que la entidad apelante haya incurrido en negligencia "grave" por el mero hecho de no disponer de un programa antivirus, como afirma la sentencia impugnada, pues aparte de tratarse de un dato que carece del necesario respaldo probatorio en autos (y en el que se basa fundamentalmente la sentencia como argumento central para desestimar la demanda (pese a que esta circunstancia debería ser probada por la propia entidad bancaria ex art. 44 LSP y no al revés), de ser cierto tal dato, únicamente permitiría valorar el mayor o menor grado de diligencia por parte de la mercantil demandante, pero no permite concluir la existencia de una negligencia "grave" como lo hace la sentencia impugnada (en similares términos se pronuncia la fuente SAP Murcia sec 1ª núm. 638/2025 de 16 de diciembre), a lo sumo una cierta falta de cautela (por tanto una negligencia leve), ya que dispusiera o no de dichos programas antivirus, ello no es en absoluto obligatorio, máxime cuando numerosos terminales los incorporan, y como ya se ha indicado, la ausencia de prueba sobre este particular es total (sin que tampoco pueda tenerse en consideración el documento extemporáneamente aportado por la actora en esta alzada en cuanto que que no se ajusta a los supuestos de los arts. 270 y 460 LEC).

Como señala la SAP de Navarra, secc 3ª, de 25 de noviembre de 2024:

"De esta forma, "grave" sería la negligencia de quien toma la iniciativa a la hora de desproteger sus credenciales, o la negligencia de quien hace entrega de los datos y credenciales a un tercero que se muestra claramente como tal, como ajeno a la entidad bancaria mediante signos y evidencias suficientes de tal ajenidad. Pero no ostenta la misma "gravedad" relevante la negligencia de quien no actúa por iniciativa propia sino arrastrado por comportamiento fraudulento de tercero, mediante un mecanismo de fraude muy específico y complejo, y de difícil detección, en el que es fácil ser víctima de un engaño ante la apariencia y creencia de oficialidad de la entidad, sin embargo, fraudulentamente aparentada por suplantación, sin que se aprecie en ello una cualificada negligencia".

4.-Dicho lo cual, en este caso la prueba practicada pone de manifiesto, de forma evidente, que la empresa apelante fue víctima de un fraude informático y así se desprende del contenido del atestado aportado a los autos y del procedimiento penal que finalmente fue incoado (diligencias previas 407/2023 del Juzgado de Instrucción nº 5 de Alzira), estando incluso identificada la titular de la cuenta beneficiaria de la suma fraudulentamente apropiada, dado que las gestiones realizadas por la guardia civil dieron resultado positivo, sin que como hemos visto pueda deducirse la existencia de una negligencia grave por el mero hecho de que la mercantil actora haya sido víctima de un delito cometido por un extraño que tuvo acceso a su ordenador induciéndole a introducir sus claves, pues lo que es indiscutible es que el sistema de banca on linefalló en cuanto a las exigibles garantías de seguridad.

5.-Por tanto, lo realmente relevante es que la transferencia de la suma objeto de reclamación se produjo precisamente en el contexto de la comisión de un delito de estafa por el que se incoó el correspondiente procedimiento penal, ilícito penal del que la parte actora habría sido víctima, y cuyo elemento nuclear radica precisamente en una conducta desarrollada por el sujeto activo dirigida a producir engaño en el sujeto pasivo mediante ardides que le llevan a torcer su voluntad induciéndole a realizar un acto de disposición patrimonial en su perjuicio, en ocasiones con maniobras muy complejas, especialmente en el ámbito informático, y con un modus operandi que conlleva una llamativa sofisticación que implica incluso el uso de técnicas de ingeniería social, siendo un hecho notorio ( art. 281.4º LEC) la proliferación de este tipo de conductas delictivas en los últimos tiempos, por lo que no puede la entidad bancaria descargar toda la responsabilidad en una conducta "gravemente negligente" del propio cliente, pues es evidente es la empresa fue víctima de un fraude electrónico, y el fallo de control se produjo, sobre todo y especialmente, debido a una evidente deficiencia en la seguridad del sistema informático de banca "on line" que la entidad bancaria puso a su disposición y cuya escasa fiabilidad se evidenció precisamente con dicha operación fraudulenta, ya que como se ha indicado, un tercero pudo acceder a su cuenta bancaria consiguiendo transferir una importante suma de dinero a otra cuenta.

En suma, es claro que se empleó un sofisticado sistema de fraude electrónico, y que la entidad bancaria no fue capaz de detectarlo de forma automática y en tiempo real, pues no se generó alerta alguna ni se bloqueó la cuenta, a pesar de lo anómalo de la operación y de su elevada cuantía, medidas que eran exigibles a la entidad bancaria de acuerdo con la normativa y doctrina jurisprudencial expuesta.

6.-Como señala la reciente SAP de Zaragoza sec. 4 núm. 87/2025 de 4 de marzo, que en estos casos atribuye la responsabilidad a la entidad bancaria: "Un fallo de seguridad del sistema técnico empleado por la demandada pudo permitir la operativa fraudulenta, lo que solo es reprochable a esa parte, al no haber demostrado ninguna otra deficiencia o explicación técnica que pudiera exonerarle de responsabilidad, pese a que sobre ella recae la carga de demostrarlo, como ha quedado dicho".

Esta interpretación ha sido además avalada por la ya citada sentencia del Tribunal Supremo 571/2025, de 9 de abril, que desestimó el recurso de casación interpuesto por la entidad bancaria, que alegaba que la responsabilidad de la entidad se ciñe a sus propios sistemas informáticos y no a los dispositivos propiedad del usuario, que es quien debería velar y garantizar la seguridad tanto de su ordenador como de su dispositivo móvil y añadía que es al cliente al que se le sustraen los datos a quien corresponde la obligación de guarda y custodia de las claves de usuario, por lo que, concluye el banco, el «robo o sustracción de las claves suponen una clara negligencia del usuario» y, finalmente, afirma la entidad bancaria que cumplió con el deber de diligencia al enviar a sus clientes, de forma personalizada, comunicaciones con advertencias, avisos y consejos sobre el modo en que deben actuar en el uso de la banca on linepor lo que en caso de phishing o fraudes similares la responsabilidad debe recaer en el usuario que se ha apartado consciente y voluntariamente de las indicaciones dadas por la entidad en tales comunicaciones.

El Tribunal Supremo rechazó tales argumentos y concluyó que el hecho de que las operaciones hubiesen sido correctamente autenticadas, registradas con exactitud y contabilizadas, no es suficiente para eximir de responsabilidad a la entidad bancaria pues ésta ha de probar que la operación no resultó afectada por un fallo técnico u otra deficiencia del servicio prestado y el hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de la obligación de responder, ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente, debe acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario.

7.-Y es que tal y como se desprende de la doctrina antes expuesta, atendido el régimen de responsabilidad cuasi objetiva que establece la normativa comunitaria, y la nacional que la incorpora, es la entidad bancaria proveedora de los servicios de pago la responsable del buen funcionamiento y la seguridad del sistema de acceso y autentificación en las operaciones de "banca on line", sin que pueda la misma eximirse de responsabilidad descargándola en el cliente o usuario, salvo que se demuestre que éste ha incurrido en negligencia grave, en este caso no acreditada, pues lo sucedido revela que el sistema de "banca on line" proporcionado presentaba deficiencias y no era totalmente seguro y de hecho no permitió evitar la actuación fraudulenta, de lo que debe responder la entidad bancaria en cuanto que no se estaría ofreciendo un producto seguro, debiendo asumir los fallos del sistema, y ello ya se trate de un fallo técnico o de cualquier otra deficiencia, dado que no se han eliminado los riesgos derivados de su utilización por los usuarios, que no pueden verse perjudicados por su uso salvo supuestos excepcionales de fraude o negligencia grave.

8.-Finalmente, es de destacar que la operación tuvo lugar el 27 de abril de 2022 y que la empresa perjudicada comunicó el hecho a la entidad bancaria tras formular la oportuna denuncia ante la guardia civil, en cuanto tuvo conocimiento de los hechos, concretamente el día 4 de mayo de 2022 (documento 1 de la demanda), al margen de la posterior reclamación al banco ante su reticencia a reintegrar la suma fraudulentamente dispuesta (documento 2), por lo que actuó diligentemente cumpliendo los parámetros que exige la jurisprudencia (singularmente STJUE 1 de agosto de 2025, C-665/23 caso "Veracash").

9.-En suma, no habiéndose acreditado que la empresa demandante incurriera en negligencia "grave", y comunicada por ésta sin demora la operación de pago no autorizada o ejecutada incorrectamente, la entidad bancaria debió proceder a su rectificación, y al reintegro inmediato el importe defraudado ( arts. 43 y 45 LSP), y al no hacerlo incumplió los deberes que como como entidad proveedora de servicios de pago le incumbían, de acuerdo con la normativa comunitaria y nacional citadas y la doctrina jurisprudencial expuesta, por lo que procede estimar el recurso y revocar la sentencia impugnada estimando la reclamación formulada.

CUARTO.- Costas procesales.-Dada la estimación del recurso y la consiguiente estimación de la demanda, procede imponer a la entidad bancaria demandada las costas procesales causadas en primera instancias sin que proceda especial imposición de las causadas en esta alzada ( arts. 394 y 398 LEC).

Vistos los artículos citados y demás de general y pertinente aplicación la Sala constituida en órgano unipersonal pronuncia el siguiente

PRIMERO.- Antecedentes y planteamiento del recurso.- 1.-Por la mercantil demandante PUZZLE KIT SL se formuló demanda de juicio verbal en el que se reclamaba la cantidad de 4.984 € en concepto de daños y perjuicios contra la entidad bancaria BANCO BILBAO VIZCAYA ARGENTARIA (BBVA). La demanda se fundamenta en una estafa cibernética tipo "phishing", de la que fue objeto el 27 de abril de 2022 cuando la apoderada de la empresa detectó un cargo no autorizado tras acceder a su cuenta bancaria. Alegaba que a pesar de que el banco reconoció el problema y bloqueó la cuenta, no ha indemnizado a la empresa, pese a las múltiples reclamaciones realizadas. Se argumenta que el banco tiene una responsabilidad cuasi objetiva por el mal funcionamiento de sus servicios de banca electrónica y un deber de vigilancia que le obliga a indemnizar a la empresa por los fondos sustraídos. La demanda se apoya en el Real Decreto-Ley 19/2018 de Servicios de Pago, que establece la responsabilidad del proveedor de servicios de pago en caso de operaciones no autorizadas. Sostiene en síntesis que el banco debe demostrar que la operación fue autenticada y no afectada por fallos técnicos o fraudes, y añade que el incumplimiento de las medidas de seguridad puede dar lugar a una responsabilidad por "culpa in vigilando". Además, en la demanda se hacía referencia a la obligación de las entidades bancarias de contar con un departamento de atención al cliente para resolver quejas y reclamaciones, así como a la necesidad de implementar medidas de seguridad adecuadas para prevenir fraudes. La demanda concluía solicitando que se declarara la responsabilidad del banco y se le condenara al pago de la cantidad reclamada, más los intereses correspondientes.

2.-Emplazada la entidad bancaria demandada, solicitó la desestimación de la demanda, ya que no habría incumplido ninguna obligación legal ni ha causado daño al demandante. Sostiene que la operación fue autorizada por el apoderado de PUZZLE, quien utilizó un sistema de seguridad que incluía un código "token", y que la demandante no ha demostrado haber sido víctima de un ciberataque. BBVA argumenta que la responsabilidad de la operación recae en el apoderado, quien actuó con negligencia al facilitar sus datos de acceso a un tercero. Además, expone que BBVA actuó con la diligencia debida, cumpliendo con los protocolos de seguridad y autenticación requeridos. Menciona que, al tener conocimiento de la falta de reconocimiento de la transferencia por parte de PUZZLE, contactó a la entidad receptora para solicitar la devolución del importe, aunque ésta no fue posible. También aborda la carga de la prueba, indicando que corresponde a la demandante demostrar la falta de autorización de la operación. En conclusión, BBVA solicita la desestimación de la demanda, argumentando que las operaciones fueron correctamente autenticadas y que no se puede imputar responsabilidad a la entidad bancaria por la actuación negligente del apoderado de PUZZLE.

3.-La sentencia de instancia desestimó la demanda imponiendo las costas a la parte actora, al considerar que no pueden encuadrarse la actuación fraudulenta de que fue objeto la parte demandante dentro del denominado "phishing"; concluye que el ordenador de la entidad denunciante fue infectado por un virus; que tuvo que reiniciar al parecerle extraño el estado de la pantalla, y que fue entonces cuando accedió a la web de la entidad, sin que se haya acreditado que haya sufrido ningún tipo de ataque cibernético cuando al introducir la clave de acceso permitió al virus acceder a su cuenta bancaria, por lo que no se podría exigir responsabilidad civil a la entidad bancaria demandada ya que no hubo actuación negligente por su parte, ya que no nos encontraríamos ante una operación de phishing en sentido estricto sino en presencia de una infección previa del terminal de la empresa que permitió al defraudador acceder a la cuenta bancaria y conocer las claves de la misma.

4.- a.-)Contra dicha sentencia interpone recurso de apelación la representación procesal de PUZZLE KIT SL en el que argumenta que la sentencia no aplica adecuadamente la legislación pertinente, singularmente el Real Decreto-Ley 19/2018 sobre servicios de pago, que establece la responsabilidad del banco en operaciones no autorizadas, y la Directiva 2015/2366 sobre servicios de pago, que exige medidas de seguridad adecuadas. Expone la cronología de los hechos que llevaron a la transferencia no autorizada, destacando que el demandante no había realizado transferencias inmediatas en 25 años y que su ordenador estaba libre de virus, lo que contradice la alegación de negligencia por parte del banco. Además, menciona que la demandante fue víctima de un fraude conocido y que la entidad bancaria no cumplió con su obligación de resolver la reclamación en el plazo establecido. Se argumenta que la responsabilidad del banco es cuasi-objetiva y que debe asumir las consecuencias de los fallos de seguridad en su sistema, así como la necesidad de implementar tecnología antiphishing. Concluye solicitando la revocación de la sentencia y la restitución del importe de la operación no autorizada, argumentando que la carga de la prueba recae sobre la entidad bancaria.

b.-)Conferido traslado del recurso a la entidad BBVA, en su oposición sostiene que la apelación debe ser desestimada, argumentando que la actora actuó de manera negligente al no proteger adecuadamente sus credenciales de seguridad y al no notificar la transferencia no autorizada de manera oportuna. Además, BBVA argumenta que la introducción de un documento nuevo en esta alzada relativo al antivirus instalado en el ordenador por parte de la apelante es improcedente, ya que los hechos que pretende acreditar no son nuevos. Se menciona que la normativa aplicable, en particular la Ley de Servicios de Pago, según la cual el cliente debe asumir las pérdidas derivadas de operaciones no autorizadas si actúa con negligencia grave. BBVA defiende que cumplió con sus obligaciones de diligencia al autorizar la transferencia mediante un sistema de doble autenticación y que adoptó medidas antifraude adecuadas. En conclusión, BBVA solicita que se confirme la sentencia de instancia y se desestime el recurso de apelación con imposición de costas.

SEGUNDO.- Normativa y jurisprudencia aplicables.- 1.-Los argumentos impugnatorios de la mercantil demandante se centran fundamentalmente en cuestionar la afirmación de la sentencia impugnada que desestimó su demanda al no haber acreditado ser víctima de phishing, sino que su ordenador fue infectado por un virus, sin que conste dispusiera de los mecanismos necesarios para evitar este tipo de infecciones, incurriendo por ello en negligencia grave, por lo que según concluye el juez a quo, no se podría exigir responsabilidad alguna a la entidad bancaria demandada.

2.- a.-)La resolucion del recurso requiere necesariamente traer a colación la normativa y jurisprudencia aplicables en la materia, y al respecto cabe comenzar resaltando que el incremento exponencial del uso instrumentos telemáticos de pago y su generalización en los últimos años ha supuesto la progresiva desaparición de la banca presencial en busca de una reducción de costes e incremento de beneficios, lo que implica también un aumento del riesgo que en especial afecta a personas poco familiarizadas con la realización de pagos electrónicos y la prestación de servicios "on line", lo que ha propiciado la multiplicación fraudes informáticos mediante el empleo de técnicas de ingeniería social a menudo muy sofisticadas, que crean situaciones de urgencia, curiosidad o miedo para manipular al usuario induciéndole inconscientemente para que realice una acción no deseada, y para ello se emplean programas informáticos maliciosos prácticamente imposibles de detectar ( SAP Lleida sec 2 núm. 395/2025 de 16 de mayo)

El Considerando 7 de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, que derogó la Directiva 2007/64 /CE, describe la indicada situación cuando señala:

"En los últimos años, han aumentado los riesgos de seguridad de los pagos electrónicos, debido a la mayor complejidad técnica de estos, el incesante incremento del volumen de pagos electrónicos en todo el mundo y los nuevos tipos de servicios de pago. Disponer de servicios de pago fiables y seguros es condición esencial para el buen funcionamiento del mercado de servicios de pago, por lo que los usuarios de esos servicios deben gozar de la debida protección frente a tales riesgos. Los servicios de pago son esenciales para el mantenimiento de actividades económicas y sociales de vital importancia".

Precisamente la finalidad de dicha Directiva (UE) 2015/2366 -y antes de la derogada Directiva 2007/64 CE- ha sido la de garantizar seguridad del tráfico bancario telemático generando un entorno más seguro y fiable, promoviendo la confianza en el uso de los instrumentos electrónicos de pago, reforzando la protección de los consumidores (que es en definitiva el eslabón más débil) y reduciendo al máximo responsabilidad del usuario u ordenante, potenciando la innovación servicios de pago a través del móvil y de internet, y una de las principales novedades de dichas Directivas es que, para el cumplimiento de sus objetivos, introdujeron un sistema de responsabilidad cuasi objetiva o "por riesgo", partiendo de la premisa de que las entidades bancarias proveedoras de los servicios de pago son las principales beneficiarias del uso de tarjetas y demás instrumentos de pago telemáticos, y por ello diseñan y ofrecen el sistema "on line" potenciando los pagos electrónicos que ahorran costes y generan negocio, servicios que además se ofrecen al consumidor o usuario como seguros, por lo que el legislador comunitario parte de que las entidades financieras deben responder de las grietas y fallos del sistema si ofrecen un producto sin alertas suficientes, poco seguro, lo que implica una obligación de actuación proactiva de las entidades financieras para proporcionar sistemas de seguridad eficientes, fiables y seguros dentro de los conocidos ( arts. 1104 Código civil diligencia extraordinaria y 1258 Código civil los contratos obligan a todas sus consecuencias con arreglo a la buena fe).

En suma, como señala la reciente SAP Zaragoza sec 4 núm. 312/2025 16 julio, la ley traslada a las entidades de crédito el riesgo por órdenes de pago aparentes cuya autenticidad digital ha sido suplantada por terceros defraudadores, por lo que el proveedor de servicios debe proporcionar seguridad y responde de los riesgos del uso de la banca on line. Y en este sentido señala la SAP Badajoz sec 2 núm. 647/2025 de 3 de octubre, que "son necesarios sistemas fiables, comunicaciones seguras, más formación y más inversión en seguridad, pues el cliente tiene derecho a la indemnidad de sus ahorros, ya que confía que están seguros en el banco, cuya custodia y tutela le corresponde ( art. 307 Cco y 1766 Código civil )".

Por tanto, la normativa comunitaria impone a los bancos, como proveedores de los servicios de pago, un deber de diligencia extraordinaria, siendo responsables de los fallos de seguridad salvo culpa grave del usuario, o lo que es lo mismo, se les atribuye una responsabilidad por insuficiencia de las medidas de seguridad cuando las mismas fallan, pues no sería justo que las consecuencias de tales deficiencias se trasladaran a los clientes (en esta línea se pronuncian la SAP Madrid Sección 11ª, 74/22, la SAP Salamanca, Sección 1ª, 428/2021 y la SAP Zaragoza, Sección 4ª, 44/2023, de 17 de febrero, entre otras).

b.-)En el ámbito interno, y este contexto, el RD-Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera derogó la Ley 16/2009, de 13 de noviembre, de servicios de pago, norma que ha incorporado parcialmente a nuestro Derecho, la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65 /CE, 2009/110/CE y 2013/36/ UE y el Reglamento (UE) núm. 1093/2010 y que derogó la Directiva 2007/64/CE (DF 11ª), que introduce y refuerza el mencionado sistema de responsabilidad objetiva.

La Ley parte de que toda operación debe contar con el consentimiento efectivo del usuario u ordenante ( art. 36 LSP) entendido como consentimiento no viciado, y a falta de consentimiento la operación se entiende como no autorizada, por tanto se presume la falta de autorización si el titular lo niega, teniendo en cuenta que el mero uso del instrumento de pago o que la operación haya sido debidamente registrada o autenticada no implica que la operación esté autorizada, e incorpora como decimos el sistema el responsabilidad cuasi objetiva antes dicho (que ha sido además recientemente confirmado en la TS 571/2025 de 9 de abril, a la que aludiremos a continuación), y en este sentido se pronuncian la SAP Murcia sec. 1 núm. 18/2023 de 16 de enero, SsAP de Alicante (8ª) 107/18, de 12 de marzo; Pontevedra (6ª) 539/21, de 21 de diciembre; Madrid (11ª) 74/22, de 28 de febrero; Madrid (20ª) 184/22, de 20 de mayo; Valencia (6ª) 254/22, de 13 de junio; Oviedo sec. 5, núm 236/2023 de 26 junio, SAP Zaragoza sec 4 núm 114/2023 de 10 marzo, SAP Vizcaya sec 3 núm 429/2016 de 10 noviembre, Badajoz (3ª) 159/22, de 16 de junio; o Granada (5ª) 212/22, de 20 de junio.

Ello significa que el usuario queda eximido de demostrar una falta o negligencia del banco (STJUE 2 septiembre 2021) ya que se produce una inversión carga de la prueba, de suerte que el banco responde de cualquier anomalía del sistema de banca "on line" salvo que acredite una actuación fraudulenta por parte del ordenante o que implique una negligencia grave.

Como señala la SAP Murcia sec. 1 núm. 18/2023 de 16 de enero, existe una abundante jurisprudencia menor en lo relativo al régimen jurídico correspondiente a estos servicios de pago, y cita a tal efecto, y como resoluciones que han analizado la responsabilidad de la entidad de crédito emisora, las SsAP de Alicante (8ª) 107/18, de 12 de marzo; Pontevedra (6ª) 539/21, de 21 de diciembre; Madrid (11ª) 74/22, de 28 de febrero; Madrid (20ª) 184/22, de 20 de mayo; Valencia (6ª) 254/22, de 13 de junio; Badajoz (3ª) 159/22, de 16 de junio; o Granada (5ª) 212/22, de 20 de junio, y la conclusión común de estas resoluciones, como señala esta última sentencia, es que con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi objetiva, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso, y tal conclusión se alcanza como consecuencia del régimen jurídico aplicable, que en este caso lo constituía el RD Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (que derogó la Ley 16/2009, de 13 de noviembre, de servicios de pago) norma que incorpora parcialmente, a nuestro Derecho, la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65 /CE, 2009/110/CE y 2013/36/ UE y el Reglamento (UE) núm. 1093/2010 y se deroga la Directiva 2007/64/CE (DF 11ª), en cuya virtud salvo actuación fraudulenta, incumplimiento deliberado o negligencia grave del ordenante la responsabilidad será del proveedor del servicio de pago ( art. 46), lo que supone que a él le corresponde la carga de la prueba de que la orden de pago no se vea afectada por un fallo técnico o cualquier otra deficiencia. Por tanto, la responsabilidad contemplada en esta Ley es cuasi objetiva, es decir, se trata de una responsabilidad de la entidad que presta servicios de pago que sólo permite exonerarse mediante la prueba de la culpa grave del ordenante. En base a todos estos criterios cabe concluir que la Ley de los Servicios de Pago establece un sistema de responsabilidad cuasi objetiva para la entidad financiera, previendo que en caso de disposiciones fraudulentas el proveedor de servicios de pago deberá devolver de inmediato el importe de la operación no autorizada, quedando exento de esta obligación solo en el caso de que la operación no autorizada sea fruto de la actuación fraudulenta del cliente o del incumplimiento, deliberado o por negligencia grave, de una o varias de sus obligaciones. Además, la Ley prevé una inversión de la carga de la prueba en tanto es el proveedor de los servicios, quien debe probar que la operación fue debidamente autenticada, cuando el usuario de los servicios lo niegue (art. 44).

c.-) Por tanto, lo que procede seguidamente es delimitar el concepto de "negligencia grave" como causa de exoneración de responsabilidad de las entidades bancarias proveedoras de los servicios de pago; y al respecto, la propia Directiva 2015/2366 nos ofrece una pista, al dar un concepto muy restrictivo, ya en su Considerando 72 señala:

"Si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia".

Y analizadas la últimas sentencias de las Audiencias Provinciales en aplicación del RD-Ley 19/2028, se constata que existe una clara tendencia a dotar de una mayor protección al usuario, restringiendo el concepto de "negligencia grave" como causa de exoneración de responsabilidad de la entidad bancaria, y en este sentido se ha venido reiterando que no cabe hablar de "negligencia "grave" si el usuario ha sido víctima de una sofisticada estafa y fallaron todos los controles por parte del banco ( sentencia de esta misma Sala núm. 244/2024 de 29 mayo), al margen de la consabida doctrina de la Sala de lo Penal de Tribunal Supremo ( STS Sala 2ª sec. 1ª , nº 51/2020, de 17 de febrero de 2020, entre otras), según la cual no se puede desplazar sobre el perjudicado la responsabilidad de comportamientos en los que la intención de engañar es manifiesta. Por tanto, debe tratarse de una falta de diligencia evidente, palmaria, clamorosa, y sobre todo, por iniciativa propia y no como consecuencia de un engaño al que haya sido inducido como víctima de un delito de estafa por un delincuente profesional, lo que es difícilmente detectable por su complejidad o grado de perfección ( SAP Madrid sec 20 de 2 diciembre 2024). En suma, con carácter general el mero hecho de ser engañado no supone una negligencia grave, pues nadie es responsable de ser víctima de un engaño salvo que sea grosero o burdo. En este sentido la SAP de Pontevedra, 177/2023, de 23 de marzo requiere «una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional».

En fin, la jurisprudencia menor ha dictado numerosas resoluciones con diferentes definiciones y así se ha considerado que el usuario incurre en "negligencia grave" en caso de "inobservancia de las normas más esenciales de cuidado", o de una "actuación gravemente descuidada o injustificable", o en una "dejadez importante", o bien en la "omisión de elementales normas de seguridad" o de las "precauciones más elementales de la vida". En suma, la "negligencia grave" implica la más grave falta de diligencia, en su máximo nivel de imprevisión. En este sentido la SAP Almeria 690/2025 de 15 de julio, define la negligencia grave como la que implica una "actuación totalmente imprudente que excede del comportamiento que pudiera esperarse de una persona razonablemente atenta",mientras que la SAP A Coruña sec. 6 núm. 86/2023 de 29 marzo alude a la "falta de la diligencia más elemental que consiste en no hacer lo que todos hacen".

d.-)Por tanto, hay que estar a las circunstancias personales, de tiempo y de lugar, de cada caso concreto, teniendo en cuenta la cada vez mayor sofisticación de las actuaciones fraudulentas que imitan a la perfección incluso páginas web del banco, y al respecto cabe destacar también que no eximen de responsabilidad los meros avisos genéricos sin medidas de seguridad eficaces, por lo que si fallan los controles, ello significa que el sistema no es totalmente seguro y entonces responde la entidad bancaria, porque no se estaría ofreciendo un producto fiable.

En resumen, corresponde al proveedor de servicios de pago (arts. 42, 44 y 46), garantizar que las credenciales no sean accesibles a terceros, impedir la utilización del instrumento una vez comunicada la sustracción o extravío y demostrar en caso de notificación de un uso no autorizado del instrumento de pago que no se debió a un fallo técnico u otra deficiencia del servicio, partiendo de que la mera utilización del instrumento no implica que la operación fuera autorizada; y también y sobre todo, le incumbe acreditar que el usuario incurrió en la operación en fraude o negligencia grave, y fuera de este supuesto, debe proceder a devolver de inmediato, y a lo más tardar al día siguiente hábil, el importe de la operación no autorizada, si le ha sido comunicada sin demora la operación no autorizada ( arts. 43 y 45 LSP), restituyendo la cuenta de pago en la que se haya producido el adeudo a la situación inmediatamente anterior a la que se encontraba de no haberse producido la operación no autorizada.

En este sentido la sentencia de AP Madrid sec. 20 núm. 2 de diciembre de 2024, recapitulando lo anteriormente expuesto, se pronuncia en los siguientes términos:

"....., es preciso aludir a la postura mayoritaria de las Audiencias Provinciales en torno a la responsabilidad de las entidades bancarias ante fraudes conocidos como phishing, en interpretación del artículo 41 y ss. del Real Decreto-ley 19/2018, de 23 de noviembre , de servicios de pago y otras medidas urgentes en materia financiera. En base a dicha normativa, se aprecia una responsabilidad cuasi-objetiva de la entidad bancaria que presta servicios de pago que tan solo cesa si acredita que el cliente actuó fraudulentamente o con negligencia grave a la hora de aplicar los medios razonables de protección de seguridad personalizados de que haya sido provisto, o en el caso de que no haya comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Ello implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta incumba a la entidad. En este sentido se pronuncian, entre otras muchas, las SSAP Cádiz (Sec. 2ª) núm. 473/2023, de 23 de noviembre ; Huelva (Sec. 2ª) núm. 643/2023, de 16 de octubre ; Pontevedra (Sec. 3ª) núm. 447/2023, de 18 de septiembre ; Oviedo (Sec. 5ª) núm. 236/2023, de 22 de junio ; Cuenca núm. 125/2023, de 16 de mayo ; Zaragoza (Sec. 4ª) núm. 117/2023, de 10 de marzo ; La Rioja núm. 49/2023, de 17 de febrero ; Madrid (Sec. 10ª) núm. 24/2023, de 13 de enero ; Almería (Sec. 1ª) núm. 99/2023, de 31 de enero ; Jaén (Sec. 1ª) núm. 1355/2022, de 14 de diciembre ; Madrid (Sec. 11ª) núm. 74/2022, de 28 de febrero ; Bizcaia (Sec. 3ª) núm. 429/2016, de 10 de noviembre , que cita la SAP de Madrid (Sec. 9ª) núm. 178/2015, de 4 de mayo 2015 . Criterio coincidente con el que mantiene este tribunal expresado en la sentencia núm. 184/2022, de 20 de mayo , entre otras. Por otra parte, partiendo del admitido criterio de responsabilidad cuasi objetiva en la prestación del servicio de banca virtual respecto a operaciones de pago como la transferencia, se descarta exonerar a la entidad bancaria sobre la base de una eventual culpa del cliente, víctima de un phishing por el que se suplanta la identidad de la entidad para obtener información sobre sus claves y/o credenciales de acceso a la banca online. Así lo apuntamos en la sentencia núm. 184/2022 , antes mencionada, en los siguientes términos: Como se indica en la Directiva 2015/2036 la negligencia que le hace responder al cliente, es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que ha sido inducido por un delincuente profesional. Tampoco puede calificarse como grave dicho comportamiento conforme a la normativa del código civil, pues siendo exigible al demandante la diligencia que exija la naturaleza de la obligación y correspondan a las circunstancias de las personas, tiempo y lugar ( art. 1.104 del ccc ) el método fraudulento empleado - phishing- es de una complejidad y grado de perfección, difícilmente detectable por un cliente de las características del demandante ... En esas circunstancias, era preciso ser un experto en la materia para poder detectar que la comunicación obedecía a una estafa o fraude. Es cierto que dicho comportamiento no puede considerarse diligente, pero para hacer soportar al cliente las consecuencias, aún parciales como se concluye en la sentencia apelada, es preciso apreciar en él una negligencia y que además sea grave, que en la normativa europea antes referida se equipara a la comisión de un fraude, actuación en la que no se ha acreditado incurriese el demandante, por el hecho de haber pinchado el link que se le ofrecía y facilitar los datos y clave de la tarjeta. En estos mismos términos se pronuncia la SAP de Pontevedra (Sec. 3ª) núm. 177/2023, de 23 de marzo , con cita de la sentencia de 21 de diciembre de 2021 dictada por la Sección 6ª de esa misma Audiencia , y de las sentencias de la AP de Valencia (Sec. 6ª) 13 de junio de 2022 ; de Granada (Sec. 5ª) 20 de junio de 2022 , y de Badajoz (Sec. 3ª) 21 de junio de 2022 . Asimismo, como puso de manifiesto la SAP de Alicante (Sec. 8ª) de 12 de marzo de 2018 : La responsabilidad en estos supuestos no puede atribuirse directamente al supuesto ordenante de la transferencia por entenderse ésta autorizada al haberse realizado de acuerdo con los sistemas de autenticación del banco. Los sistemas de autenticación se establecen por los proveedores de servicios de pago y si un banco no ha sido capaz de limitar el acceso al canal de banca electrónica no puede pretender que el presunto ordenante víctima de esta práctica fraudulenta sea el único responsable, pues es el banco quien tiene responsabilidad respecto del buen funcionamiento y la seguridad del mismo. Como concluye la SAP de Madrid (Sec. 10ª) núm. 24/2023 , antes citada: [...] no podemos calificar la posible negligencia de la demandante en la conservación de sus claves como "grave" en ningún caso. Estamos ante un tipo de fraude muy específico del que es fácil ser víctima, sin que ello implique una actuación negligente del cliente, dado lo bien articulada en su ejecución que está esta modalidad de fraude."

d.-)Finalmente es de obligada cita la reciente STS 571/2025 de 9 de abril que tras un detallado análisis de la normativa comunitaria y nacional, antes aludida, viene a apuntalar la anterior doctrina, y sienta varias conclusiones importantes en la materia, a saber:

1.- En cuanto a la protección credenciales y notificación sin demora a la proveedora de servicios de pago, subraya que el usuario debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, "sin demora" tan pronto tenga conocimiento de ello.

2.- En lo relativo a la obligación reintegro, establece que en caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.

3.- La indicada sentencia señala que se presume la falta de autorización, de modo que cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.

4.- Por otro lado el Tribunal Supremo precisa que el mero uso del instrumento de pago no implica autorización, ni negligencia grave, sino que debe probarse, de modo que "el mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave."

5.- Pero sobre todo, el Tribunal Supremo confirma que la normativa comunitaria establece un sistema de responsabilidad objetiva, y lo hace en un doble sentido: En primer lugar, señala que la entidad bancaria debe responder si el usuario ha notificado sin demora la operación no autorizada, salvo fraude o negligencia grave del mismo, y en segundo término, en cuanto corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Y precisa que existe una deficiencia derivada de la "prestación defectuosa" y que existe una mala praxis cuando el banco no ofrece sistemas de seguridad eficaces que detecten indicios reveladores de posible fraude de forma automática y generen una alerta o bloqueo temporal en caso de que se den determinadas circunstancias como lo son la reiteración transferencias, el horario en que se producen, su importe, su reiteración, los antecedentes en el uso de la cuenta, etc...

Y sobre esta concreta cuestión señala al respecto:

"El grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/ consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante".

Y concluye:

"Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo".

En suma, según el Tribunal Supremo las entidades bancarias no sólo están obligadas a rastrear las páginas web que suplantan su identidad, sino también a realizar un análisis de riesgo de las operaciones y a implementar medidas de seguridad acorde a los riesgos presentes.

En fin, los bancos deben incorporar sus propios sistemas de seguridad para detectar y anticipar cuando puede estar teniendo lugar una estafa e intervenir de forma inmediata, obligación que por cierto impone el Reglamento Delegado 2018/389 y que implica realizar un análisis de riesgos en tiempo real para detectar cuándo una orden de pago es fraudulenta.

TERCERO.- Examen de los motivos del recurso. Revisión de la valoración de la prueba. Aplicación de la normativa expuesta. Revocación de la sentencia impugnada- 1.-En el presente caso las circunstancias en que se produjo el fraude informático no han quedado del todo aclaradas, pues la prueba es bastante confusa al respecto. Tanto en su demanda, como en la denuncia formulada ante la guardia civil (documento 1 de la demanda), la parte demandante refirió la existencia de un virus en su ordenador, que según alegó en la demanda confirmaron posteriormente los empleados del banco, sin que se disponga de más datos al respecto; y en su declaración en juicio la apoderada de la mercantil actora Sra. Belen afirmó que le extrañó que la pantalla de su ordenador apareciera "en negro" o como si estuviera "difuminada", y añadió que salió de la web, reinició el ordenador y entró de nuevo en la misma, y entonces le solicitó la clave o "token", que introdujo, percatándose a continuación que se había realizada una transferencia con cargo a la cuenta de la empresa por importe de 4.982 €. Por su parte según el informe aportado por BBVA (elaborado por sus propios servicios informáticos), el acceso se realizó introduciendo la mercantil actora las claves del Sr. Miguel Ángel, apoderado de la empresa.

2.-Ciertamente como afirma la sentencia impugnada, la mecánica descrita difiere del tradicional "phishing" a que alude la parte apelante y que generalmente consiste en el envío de un enlace a través de correo electrónico o SMS aparentemente remitido por la entidad bancaria, mediante el que se induce a engaño a usuario, que accede a una página web "clonada" (en apariencia idéntica a la de la entidad bancaria), operando en la misma en la creencia de que se trata de la banca "on line" de la web oficial del banco, facilitando en consecuencia sus datos, claves de acceso y/o credenciales.

3.-Ahora bien, se trate o no de un supuesto de phishing, y a diferencia de lo que se afirma en la sentencia combatida, no corresponde a la parte atora acreditar si la entidad bancaria incurrió en negligencia, como se sostiene erróneamente en la sentencia impugnada, teniendo en cuenta que nos hallamos en un régimen de responsabilidad cuasi objetiva o por riesgo, sino si el usuario de los servicios de pago ha incurrido en fraude o negligencia grave que exima al banco de su responsabilidad, que es cuestión radicalmente distinta. Y ello aclarado, no se comparte este tribunal que la entidad apelante haya incurrido en negligencia "grave" por el mero hecho de no disponer de un programa antivirus, como afirma la sentencia impugnada, pues aparte de tratarse de un dato que carece del necesario respaldo probatorio en autos (y en el que se basa fundamentalmente la sentencia como argumento central para desestimar la demanda (pese a que esta circunstancia debería ser probada por la propia entidad bancaria ex art. 44 LSP y no al revés), de ser cierto tal dato, únicamente permitiría valorar el mayor o menor grado de diligencia por parte de la mercantil demandante, pero no permite concluir la existencia de una negligencia "grave" como lo hace la sentencia impugnada (en similares términos se pronuncia la fuente SAP Murcia sec 1ª núm. 638/2025 de 16 de diciembre), a lo sumo una cierta falta de cautela (por tanto una negligencia leve), ya que dispusiera o no de dichos programas antivirus, ello no es en absoluto obligatorio, máxime cuando numerosos terminales los incorporan, y como ya se ha indicado, la ausencia de prueba sobre este particular es total (sin que tampoco pueda tenerse en consideración el documento extemporáneamente aportado por la actora en esta alzada en cuanto que que no se ajusta a los supuestos de los arts. 270 y 460 LEC).

Como señala la SAP de Navarra, secc 3ª, de 25 de noviembre de 2024:

"De esta forma, "grave" sería la negligencia de quien toma la iniciativa a la hora de desproteger sus credenciales, o la negligencia de quien hace entrega de los datos y credenciales a un tercero que se muestra claramente como tal, como ajeno a la entidad bancaria mediante signos y evidencias suficientes de tal ajenidad. Pero no ostenta la misma "gravedad" relevante la negligencia de quien no actúa por iniciativa propia sino arrastrado por comportamiento fraudulento de tercero, mediante un mecanismo de fraude muy específico y complejo, y de difícil detección, en el que es fácil ser víctima de un engaño ante la apariencia y creencia de oficialidad de la entidad, sin embargo, fraudulentamente aparentada por suplantación, sin que se aprecie en ello una cualificada negligencia".

4.-Dicho lo cual, en este caso la prueba practicada pone de manifiesto, de forma evidente, que la empresa apelante fue víctima de un fraude informático y así se desprende del contenido del atestado aportado a los autos y del procedimiento penal que finalmente fue incoado (diligencias previas 407/2023 del Juzgado de Instrucción nº 5 de Alzira), estando incluso identificada la titular de la cuenta beneficiaria de la suma fraudulentamente apropiada, dado que las gestiones realizadas por la guardia civil dieron resultado positivo, sin que como hemos visto pueda deducirse la existencia de una negligencia grave por el mero hecho de que la mercantil actora haya sido víctima de un delito cometido por un extraño que tuvo acceso a su ordenador induciéndole a introducir sus claves, pues lo que es indiscutible es que el sistema de banca on linefalló en cuanto a las exigibles garantías de seguridad.

5.-Por tanto, lo realmente relevante es que la transferencia de la suma objeto de reclamación se produjo precisamente en el contexto de la comisión de un delito de estafa por el que se incoó el correspondiente procedimiento penal, ilícito penal del que la parte actora habría sido víctima, y cuyo elemento nuclear radica precisamente en una conducta desarrollada por el sujeto activo dirigida a producir engaño en el sujeto pasivo mediante ardides que le llevan a torcer su voluntad induciéndole a realizar un acto de disposición patrimonial en su perjuicio, en ocasiones con maniobras muy complejas, especialmente en el ámbito informático, y con un modus operandi que conlleva una llamativa sofisticación que implica incluso el uso de técnicas de ingeniería social, siendo un hecho notorio ( art. 281.4º LEC) la proliferación de este tipo de conductas delictivas en los últimos tiempos, por lo que no puede la entidad bancaria descargar toda la responsabilidad en una conducta "gravemente negligente" del propio cliente, pues es evidente es la empresa fue víctima de un fraude electrónico, y el fallo de control se produjo, sobre todo y especialmente, debido a una evidente deficiencia en la seguridad del sistema informático de banca "on line" que la entidad bancaria puso a su disposición y cuya escasa fiabilidad se evidenció precisamente con dicha operación fraudulenta, ya que como se ha indicado, un tercero pudo acceder a su cuenta bancaria consiguiendo transferir una importante suma de dinero a otra cuenta.

En suma, es claro que se empleó un sofisticado sistema de fraude electrónico, y que la entidad bancaria no fue capaz de detectarlo de forma automática y en tiempo real, pues no se generó alerta alguna ni se bloqueó la cuenta, a pesar de lo anómalo de la operación y de su elevada cuantía, medidas que eran exigibles a la entidad bancaria de acuerdo con la normativa y doctrina jurisprudencial expuesta.

6.-Como señala la reciente SAP de Zaragoza sec. 4 núm. 87/2025 de 4 de marzo, que en estos casos atribuye la responsabilidad a la entidad bancaria: "Un fallo de seguridad del sistema técnico empleado por la demandada pudo permitir la operativa fraudulenta, lo que solo es reprochable a esa parte, al no haber demostrado ninguna otra deficiencia o explicación técnica que pudiera exonerarle de responsabilidad, pese a que sobre ella recae la carga de demostrarlo, como ha quedado dicho".

Esta interpretación ha sido además avalada por la ya citada sentencia del Tribunal Supremo 571/2025, de 9 de abril, que desestimó el recurso de casación interpuesto por la entidad bancaria, que alegaba que la responsabilidad de la entidad se ciñe a sus propios sistemas informáticos y no a los dispositivos propiedad del usuario, que es quien debería velar y garantizar la seguridad tanto de su ordenador como de su dispositivo móvil y añadía que es al cliente al que se le sustraen los datos a quien corresponde la obligación de guarda y custodia de las claves de usuario, por lo que, concluye el banco, el «robo o sustracción de las claves suponen una clara negligencia del usuario» y, finalmente, afirma la entidad bancaria que cumplió con el deber de diligencia al enviar a sus clientes, de forma personalizada, comunicaciones con advertencias, avisos y consejos sobre el modo en que deben actuar en el uso de la banca on linepor lo que en caso de phishing o fraudes similares la responsabilidad debe recaer en el usuario que se ha apartado consciente y voluntariamente de las indicaciones dadas por la entidad en tales comunicaciones.

El Tribunal Supremo rechazó tales argumentos y concluyó que el hecho de que las operaciones hubiesen sido correctamente autenticadas, registradas con exactitud y contabilizadas, no es suficiente para eximir de responsabilidad a la entidad bancaria pues ésta ha de probar que la operación no resultó afectada por un fallo técnico u otra deficiencia del servicio prestado y el hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de la obligación de responder, ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente, debe acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario.

7.-Y es que tal y como se desprende de la doctrina antes expuesta, atendido el régimen de responsabilidad cuasi objetiva que establece la normativa comunitaria, y la nacional que la incorpora, es la entidad bancaria proveedora de los servicios de pago la responsable del buen funcionamiento y la seguridad del sistema de acceso y autentificación en las operaciones de "banca on line", sin que pueda la misma eximirse de responsabilidad descargándola en el cliente o usuario, salvo que se demuestre que éste ha incurrido en negligencia grave, en este caso no acreditada, pues lo sucedido revela que el sistema de "banca on line" proporcionado presentaba deficiencias y no era totalmente seguro y de hecho no permitió evitar la actuación fraudulenta, de lo que debe responder la entidad bancaria en cuanto que no se estaría ofreciendo un producto seguro, debiendo asumir los fallos del sistema, y ello ya se trate de un fallo técnico o de cualquier otra deficiencia, dado que no se han eliminado los riesgos derivados de su utilización por los usuarios, que no pueden verse perjudicados por su uso salvo supuestos excepcionales de fraude o negligencia grave.

8.-Finalmente, es de destacar que la operación tuvo lugar el 27 de abril de 2022 y que la empresa perjudicada comunicó el hecho a la entidad bancaria tras formular la oportuna denuncia ante la guardia civil, en cuanto tuvo conocimiento de los hechos, concretamente el día 4 de mayo de 2022 (documento 1 de la demanda), al margen de la posterior reclamación al banco ante su reticencia a reintegrar la suma fraudulentamente dispuesta (documento 2), por lo que actuó diligentemente cumpliendo los parámetros que exige la jurisprudencia (singularmente STJUE 1 de agosto de 2025, C-665/23 caso "Veracash").

9.-En suma, no habiéndose acreditado que la empresa demandante incurriera en negligencia "grave", y comunicada por ésta sin demora la operación de pago no autorizada o ejecutada incorrectamente, la entidad bancaria debió proceder a su rectificación, y al reintegro inmediato el importe defraudado ( arts. 43 y 45 LSP), y al no hacerlo incumplió los deberes que como como entidad proveedora de servicios de pago le incumbían, de acuerdo con la normativa comunitaria y nacional citadas y la doctrina jurisprudencial expuesta, por lo que procede estimar el recurso y revocar la sentencia impugnada estimando la reclamación formulada.

CUARTO.- Costas procesales.-Dada la estimación del recurso y la consiguiente estimación de la demanda, procede imponer a la entidad bancaria demandada las costas procesales causadas en primera instancias sin que proceda especial imposición de las causadas en esta alzada ( arts. 394 y 398 LEC).

Vistos los artículos citados y demás de general y pertinente aplicación la Sala constituida en órgano unipersonal pronuncia el siguiente