La devolución del dinero por phishing debe ser inmediata cuando se trate de operaciones de pago no autorizadas. El Tribunal de Justicia de la Unión Europea (TJUE) ha confirmado que las entidades deben reintegrar el importe, como máximo, al final del siguiente día hábil desde que detecten o reciban la notificación de la operación. El cliente, por su parte, debe comunicar lo ocurrido sin demora injustificada.
La Organización de Consumidores y Usuarios (OCU) ha celebrado este pronunciamiento. Además, anima a los afectados a invocarlo ante su entidad cuando encuentren obstáculos para recuperar sus fondos.
La devolución del dinero por phishing no puede esperar al litigio
La sentencia, dictada el 15 de octubre de 2026 en el asunto C-70/25, distingue entre el reembolso inicial y la decisión sobre quién debe asumir finalmente las pérdidas.
Por tanto, el banco no puede rechazar la devolución inmediata alegando una supuesta negligencia grave del cliente. Primero debe restituir el dinero. Después, si considera que el usuario incumplió sus obligaciones de forma gravemente negligente, podrá reclamarlo por las vías legales correspondientes.
En ese procedimiento, corresponde a la entidad aportar las pruebas que acrediten la negligencia grave. La resolución mantiene esa posibilidad de reclamación posterior, pero impide que el banco retenga los fondos mientras se discute la responsabilidad.
OCU denuncia que algunas entidades han utilizado precisamente ese argumento para rechazar las reclamaciones. Según la organización, esta práctica obliga a las víctimas a acudir a los tribunales y afrontar procesos prolongados para recuperar su dinero.
La excepción: sospechas de fraude del propio usuario
El TJUE contempla una excepción a la obligación de reembolso inmediato: que existan motivos razonables para sospechar un fraude cometido por el propio cliente.
Sin embargo, la entidad debe comunicar esos motivos por escrito a la autoridad nacional competente. La mera atribución de una negligencia grave al usuario no permite aplicar esta excepción.
Una reclamación surgida de una web bancaria falsa
El caso llegó al tribunal europeo a raíz de una consulta judicial planteada en Polonia. Una clienta había introducido sus credenciales en una página que imitaba la de su banco y fue víctima de phishing.
La entidad se negó a devolver el importe al considerar que había actuado con negligencia grave. Ante esa negativa, el tribunal polaco pidió al TJUE que aclarase si ese argumento permitía bloquear el reembolso inmediato.
OCU anima a invocar la sentencia ante el banco
Para OCU, el fallo refuerza la protección de los consumidores frente a las estafas digitales y respalda sus reclamaciones sobre la aplicación de la normativa europea de servicios de pago, conocida como PSD2.
Por ello, la organización recomienda a quienes no obtengan respuesta favorable que invoquen la sentencia ante el Servicio de Atención al Cliente de su entidad financiera. Asimismo, mantiene su asistencia a las víctimas de phishing durante el proceso de reclamación.
