Hace veinte años, la realidad bancaria era sustancialmente diferente. Muchas operaciones complejas exigían acudir a la sucursal, determinados pagos eran mayoritariamente presenciales y el acceso a las cuentas bancarias a través de Internet todavía no tenía la presencia que hoy conocemos. Difícilmente habríamos imaginado que, dos décadas después, sería posible gestionar prácticamente toda nuestra vida financiera a través de un simple teléfono móvil.

Los desarrollos tecnológicos han traído innegables beneficios a la sociedad, transformando profundamente la forma en que nos comunicamos, trabajamos y, en particular, cómo gestionamos nuestro dinero. Hoy en día, a través de un simple teléfono móvil, conseguimos acceder a nuestras cuentas bancarias, realizar pagos y efectuar determinadas operaciones.

Sin embargo, esta evolución también ha traído nuevos riesgos y vulnerabilidades. La creciente digitalización de las operaciones financieras ha abierto las puertas a nuevas formas de criminalidad, cada vez más sofisticadas, que explotan la confianza de los usuarios y la dificultad para identificar situaciones fraudulentas.

El phishing es un ejemplo particularmente preocupante de esta realidad. A través de mensajes, llamadas telefónicas o páginas web aparentemente legítimas, terceros actúan de forma fraudulenta y logran obtener datos personales y bancarios, permitiendo el acceso indebido a las cuentas de los clientes.

El progreso tecnológico no puede disociarse de una mayor exigencia en materia de seguridad, prevención y responsabilidad. El Derecho no puede quedarse atrás ante la evolución tecnológica; debe acompañarla, anticipar sus riesgos y asegurar que el progreso no se haga a costa de la protección de los ciudadanos.

Es en este contexto donde cobra especial relevancia la reciente decisión del Tribunal de Justicia de la Unión Europea (TJUE), dictada el 15 de octubre de 2026 en el asunto C-70/25, Tukowiecka, que ha venido a aclarar los derechos de los clientes bancarios víctimas de operaciones de pago no autorizadas.

¿Está obligado el Banco a devolver el dinero? 

El Tribunal aclaró que, ante una operación de pago no autorizada, el banco no puede rechazar el reembolso inmediato al cliente basándose únicamente en considerar que este actuó con negligencia grave.

En otras palabras, el hecho de que el cliente haya sido engañado mediante un mensaje fraudulento o haya accedido a un enlace falso no permite, por sí solo, que la institución financiera rechace automáticamente el reembolso.

La regla general es que el Banco debe restituir los importes correspondientes a las operaciones no autorizadas.

¿Pero puede el Banco exigir posteriormente el dinero al cliente? 

Sí. El TJUE aclaró que el deber de reembolso inmediato no impide que el Banco pueda exigir posteriormente al cliente la restitución de los importes abonados, en caso de que logre demostrar que este actuó de forma fraudulenta o incumplió, con negligencia grave, las obligaciones legales relativas a la utilización de los servicios de pago.

Sin embargo, dicha responsabilidad no puede presumirse. Corresponderá siempre al Banco demostrar los hechos que permiten imputar al cliente una actuación dolosa o negligencia grave, y no al revés.

Por lo tanto, el Banco no puede simplemente rechazar el reembolso basándose en una alegación genérica de descuido del cliente, ni considerar que la utilización de los mecanismos de autenticación bancaria prueba, por sí sola, que la operación fue autorizada.

Ser víctima de phishing no significa que el cliente deba soportar necesariamente el perjuicio financiero.

Si ha sido víctima de phishing, ha identificado movimientos bancarios que no autorizó o ha visto cómo su Banco rechazaba su solicitud de reembolso, no asuma automáticamente que la responsabilidad es suya.

Podría existir fundamento legal para exigir a la entidad bancaria la restitución de los valores retirados de su cuenta.

Esta realidad también plantea un desafío para el propio Derecho. La evolución tecnológica es, con frecuencia, más rápida que la capacidad de adaptación de los ordenamientos jurídicos, por lo que resulta indispensable que la legislación acompañe estas transformaciones, anticipando nuevos riesgos y creando mecanismos eficaces de protección de los ciudadanos. No basta con regular las relaciones jurídicas tradicionales cuando la realidad económica y social se transforma significativamente.

La valoración de estas situaciones exige un análisis jurídico cuidadoso, teniendo en cuenta las circunstancias en las que se produjo el fraude, los deberes de seguridad de la entidad bancaria y las normas legales relativas a la responsabilidad de los intervinientes.

La intervención jurídica en esta materia adquiere una relevancia particular, tanto en la evaluación de la responsabilidad de las instituciones financieras como en la defensa de los derechos de los consumidores frente a operaciones de pago no autorizadas.

Si los últimos veinte años han transformado profundamente la forma en que vivimos y nos relacionamos con la tecnología, los próximos veinte plantearán, sin duda, nuevos desafíos a la sociedad y al Derecho. Por ello, es fundamental garantizar que la evolución tecnológica vaya siempre acompañada de una evolución jurídica capaz de proteger a los ciudadanos. En este contexto, el papel del abogado será fundamental, no solo en la interpretación y aplicación de los instrumentos legales, sino también en el análisis técnico y jurídico de las nuevas realidades, contribuyendo a asegurar una tutela efectiva de los derechos e intereses de los ciudadanos.