La Sección de Derecho Bancario del ICAM celebró, en la tarde del pasado día 8 de julio, una sesión para abordar un tema tan apasionante y actual cual es el de la «Ciberdelincuencia, Phising, responsabilidad legal y la Sentencia del Tribunal Supremo 571/2025, de 9 de abril«. La sesión celebrada en el Salón de Actos del ICAM (C/Serrano, 9) fue presentada y moderada por José Ramón Couso. Diputado 2º de la Junta de Gobierno del ICAM y Presidente de la Sección de Derecho Bancario y contó con la intervención de Mar González Bella, Directora de Asesoría Jurídica de IBERCAJA; Fidel Solera. Fiscal Delegado de Criminalidad Informática de la Fiscalía Provincial de Madrid; Juan Antonio Rodríguez Álvarez de Sotomayor, Coronel de la U.C.O. de la Guardia Civil; y servidor de Ustedes.
Siguiendo la costumbre de este blog y la promesa hecha al público asistente, ofrezco a sus lectores una breve síntesis de mi intervención, que tomó como punto de referencia la Sentencia de la Sala Primera de lo Civil del Tribunal Supremo 571/2025, de 9 de abril y estructuré en los tres apartados siguientes:
A) Antecedentes jurisprudenciales sobre ciberdelincuencia y fraudes informáticos en el mercado bancario
Para evitar caer en el “adanismo jurídico”, tantas veces fruto de la ignorancia; comencé refiriéndome brevísimamente a la jurisprudencia civil y penal sobre la ciberdelincuencia y sobre los fraudes informáticos en el mercado bancario; donde existen algunas Sentencias del Tribunal Supremo y otras muchas de las Audiencias Provinciales referidas a diferentes modalidades de fraudes informáticos en los mercados financieros tales como la clonación de tarjeta en comercio o en un banco «pisica» (gato en lengua rumana); al lazo libanés o falsa boca en cajero en que se introduce la tarjeta, skimming o carcasa superpuesta que tiene diferentes variantes; el phising o el pharming, que consiste en introducirse en un servidor ya sea local o ISP, a través de hackers o a través de virus o spyware en los ordenadores, o keyloogers que registra todas las teclas que el usuario oprime en el teclado para capturar claves, contraseñas; el hacking o variantes del hijacking o secuestro o modificación de IP, o page, o módem, o browser, etc., etc.
En concreto, seleccione dos grupos de Sentencias, algunas de ellas analizadas en este mismo blog:
A.1) Sentencias de la Sala Segunda de lo Penal del Tribunal Supremo
a) La Sentencia de la Sala Segunda de lo Penal del Tribunal Supremo de 16 de febrero de 2017: El caso “MINAS DE ALMADÉN”
El lector interesado en el contenido de esta Sentencia núm.92/2017, de 16 de febrero de 2017, de la Sección 1ª de la Sala Segunda de lo Penal del Tribunal Supremo (Ponente: Excmo. Sr. Cándido Conde-Pumpido Touron, Recurso de casación 1245/2016, RJ 2017\647, LA LEY 4627/2017) puede consultar la siguiente entrada de este blog:
b) La Sentencia núm.369/2019 de la Sala de lo Penal del Tribunal Supremo de 20 de junio de 2019: El caso “BITCOCHO”
El lector interesado en el contenido de esta Sentencia núm.369/2019 de la Sección 1ª de la Sala Segunda de lo Penal del Tribunal Supremo de 20 de junio de 2019 (recurso de casación núm. 998/2018, ponente: Excmo. Sr. Pablo Llarena Conde, RJ 2019/2925 JUR 2019\206076) puede consultar la siguiente entrada de este blog:
A.2) Las Sentencias de las Audiencias Provinciales
Se pueden citar las siguientes Sentencias de otras tantas Audiencias Provinciales: La Sentencia de la Audiencia Provincial de Vizcaya de 10 de noviembre de 2016, la Sentencia de 20 de junio de 2012 de la Sección 2ª de la Audiencia Provincial de Bilbao (PROV 2013\132086), la Sentencia núm.91/2013, de 7 de febrero de 2013 de la Sección 2ª de la Audiencia Provincial de Badajoz (Recurso de apelación 3/2013, PROV 2013\91133), la Sentencia núm.151/2013, de 7 de marzo de 2013 de la Sección 14ª de la Audiencia Provincial de Barcelona (Recurso de apelación 150/2012, PROV 2013\171665), la Sentencia núm.1027/2013, de 14 de mayo de 2013 de la Sección 4ª de la Audiencia Provincial de Zaragoza (Recurso de apelación 116/2013, PROV 2013\197766), la Sentencia núm.178/2015, de 4 de mayo de 2015 de la Sección 9ª de la Audiencia Provincial de Madrid (Recurso de apelación 661/2013, PROV 2015\151311).
El lector interesado en esta jurisprudencia puede consultar las siguientes entradas de este blog:
A.3) La necesaria distinción entre las ciberestafas a los clientes bancarios usuarios en la prestación de servicios de pago y a los inversores con ánimo de especulación en el mercado de criptoactivos
A continuación, y a la vista de la jurisprudencia examinada y de algunas estafas recientes, puse un énfasis especial en la distinción entre las ciberestafas a los clientes bancarios usuarios en la prestación de servicios de pago y a los inversores -que actúan a menudo con ánimo de especulación- en el mercado de criptoactivos y criptomonedas porque unos y otros son merecedores, a nuestro entender, de diferentes grados de protección del Ordenamiento jurídico. En efecto:
a) Los clientes bancarios usuarios en la prestación de servicios de pago merecen el mayor grado de protección del Ordenamiento jurídico que les reconoce la Ley del Consumidor y la legislación financiera específica, especialmente la de servicios de pago.
b) Los inversores que adquieren criptoactivos y criptomonedas, con ánimo generalmente de enriquecimiento especulativo, merecen un menor grado de protección del Ordenamiento jurídico.
En este punto, conviene reparar en algunos casos acaecidos en España de ciberdelincuencia con criptomonedas tales como los que se examinan en las siguientes entradas de este mismo blog:
a) El caso Arbistar
b) El caso Algorithms Group
B) La Sentencia de la Sala Primera de lo Civil del Tribunal Supremo núm. 571/2025, de 9 de abril de 2025
En este segundo apartado de mi ponencia di cuenta de la Sentencia de la Sala Primera de lo Civil del Tribunal Supremo núm. 571/2025, de 9 de abril de 2025 que constituía el “leit motiv” de la Jornada.
De su contenido me limite a destacar:
a) Que era, a nuestro entender, una resolución paradigmática (un “leading case”) en la jurisprudencia civil y penal sobre la ciberdelincuencia y, en particular, sobre los fraudes informáticos en el mercado bancario por las siguientes razones: porque desarrolla con particular claridad una exposición exhaustiva de la normativa europea y española sobre los servicios de pago, porque aplica de forma materialmente justa la doctrina de la imputación de responsabilidad por el riesgo empresarial y porque sienta jurisprudencia en el tormentoso mundo de las intromisiones informáticas crecientes en las cuentas bancarias de los consumidores -de las que cualquier cliente bancario puede dar fe- y la completa indefensión en las que se encuentran los usuarios frente a las plataformas digitales.
b) Que nos parece una Sentencia justa, por equilibrada, atendiendo, entre otras, a las conclusiones siguientes, que expone en su Fundamento de Derecho Segundo:
“1.º El usuario de servicios de pago debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, tan pronto tenga conocimiento de ello.
2.º En caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.
3.º Cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.
4.º El mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave.
El lector puede consultar la entrada siguiente de este mismo blog:
Por último, reconduje al lector interesado en profundizar en el análisis de esta Sentencia, a nuestros estudios sobre la “Responsabilidad bancaria cuasi‐objetiva en los servicios de pago digitales ante casos de ciberdelincuencia. Reflexiones a propósito de la Sentencia de la Sala Primera de lo Civil del Tribunal Supremo núm. 571/2025, de 9 de abril de 2025” publicado en la Revista de Derecho Digital e Innovación, Sección Comentarios de jurisprudencia, n.º 24 (abril-junio 2025), (WEB Diario LA LEY, viernes 13 de junio de 2025); y sobre “Ciberdelincuencia, suplantación de la identidad de un cliente («phishing») y responsabilidad civil del banco: Sentencia de la Sala Primera de lo Civil del Tribunal Supremo núm. 571/2025, de 9 de abril de 2025” publicado en Diario La Ley, Nº 10723, Sección Comentarios de jurisprudencia, 15 de mayo de 2025.
C) Conclusión: el punto de equilibrio entre la doble diligencia preventiva, profesional, de los bancos y usual de los clientes
Finalice mi ponencia ofreciendo al respetable la conclusión siguiente: La solución judicial de las ciberestafas financieras y bancarias debe buscar un punto de equilibrio entra dos paradigmas de diligencia que construyen la que podemos denominar “doble diligencia preventiva” (DDP):
a) Profesional de las entidades financieras (entidades aseguradoras, empresas de servicios de inversión) en general y de los bancos en particular. Diligencia que debe construir mirando al Reglamento DORA, tantas veces citado en este blog y fuera de él.
b) Usual -en el doble sentido de referirse a los usuarios y de que debe emplearse con habitualidad- de clientes diferenciando:
b.1) Empresas a las que será exigible una diligencia profesional específica (por ejemplo, no resulta exigible el mismo grado de diligencia digital a una empresa que sea cliente de un banco que se dedique a la exportación de pescado fresco que una que preste servicios de TICS.
b.2) Consumidores a quienes habrá que exigir la diligencia de un “consumidor medio”, conforme al paradigma de diligencia de la jurisprudencia del TJUE en el ámbito financiero como un consumidor normalmente informado y razonablemente atento y perspicaz que, por lo tanto, opera con plena racionalidad; sin olvidar que, en determinadas situaciones relevantes y acreditadas, el juez o tribunal otorgue el consumidor una especial protección, tomando en consideración su eventual estado de racionalidad limitada provocado por sesgos cognitivos consistentes en los límites impuestos a su capacidad cognitiva derivados de circunstancias tales como el número de estímulos recibidos, la capacidad de permanecer atento en el tiempo, la capacidad de conservar en la memoria toda la información recibida, etc.
El lector interesado en esta apasionante y novedosa problemática puede consultar nuestro artículo sobre “El «consumidor medio» en la jurisprudencia reciente del Tribunal de Justicia de la UE”, publicado en Diario La Ley, n.º 10624, Sección Tribuna, 12 de diciembre de 2024 y nuestro estudio sobre “El «consumidor medio», los sesgos cognitivos y las prácticas comerciales desleales de venta cruzada de préstamos y seguros” Sentencia del TJUE 14 de noviembre de 2024, Asunto C‐646/22: Compass Banca SpA”, publicado en La Ley Unión Europea, n.º 131, Sección Sentencias seleccionadas, diciembre 2024.