08/06/2025
El Tribunal Supremo refuerza la protección contra el SIM swapping: responsabilidad cuasi-objetiva de las entidades bancarias
La reciente STS 571/2025, de 9 de abril, marca un antes y un después en la lucha contra los fraudes digitales, estableciendo criterios claros sobre la responsabilidad de las entidades financieras en casos de SIM swapping y consolidando un régimen de protección reforzada para los usuarios de servicios de pago .
El caso: cuando las alertas previas no fueron suficientes
Los hechos resultan representativos de la sofisticación que ha alcanzado el cibercrimen. Un cliente de Ibercaja sufrió el robo de 56.474 euros mediante una técnica de SIM swapping: los delincuentes duplicaron la tarjeta SIM de su esposa para interceptar los códigos SMS de autenticación y realizar 15 transferencias fraudulentas en una sola noche .
Lo más relevante del caso es que el usuario había alertado previamente a la entidad bancaria. Tres semanas antes del fraude definitivo, había comunicado la recepción de SMS con códigos de transferencias que él no había solicitado. También notificó cargos no autorizados en su tarjeta VISA y alertas de seguridad de Google sobre intentos de acceso a su cuenta de correo .
La doctrina del Tribunal Supremo: responsabilidad cuasi-objetiva
Inversión de la carga probatoria
El Alto Tribunal ha consolidado un régimen de responsabilidad cuasi-objetiva para las entidades financieras, estableciendo que cuando un usuario niega haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar tres extremos fundamentales :
• Que la operación fue autenticada, registrada con exactitud y contabilizada
• Que no se vio afectada por un fallo técnico u otra deficiencia del servicio
• Que el usuario actuó con fraude o negligencia grave
El concepto de "deficiencia del servicio"
La sentencia amplía significativamente el concepto de "deficiencia del servicio", que no se limita a fallos técnicos del sistema informático, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio .
Las buenas prácticas exigen adoptar medidas de seguridad orientadas a detectar automáticamente operaciones anómalas y generar alertas o bloqueos temporales, considerando factores como la reiteración de transferencias, horarios inusuales, importes elevados o destinatarios sospechosos .
Negligencia grave: un estándar restrictivo
Lo que NO constituye negligencia grave
El Tribunal Supremo establece criterios restrictivos para apreciar negligencia grave del usuario. No constituye negligencia grave :
• Ser víctima de técnicas sofisticadas de phishing o SIM swapping
• Proporcionar datos tras recibir comunicaciones que imitan a la perfección las oficiales
• El mero hecho de que terceros hayan accedido a las credenciales del usuario
Conducta diligente del usuario
En el caso analizado, el usuario demostró una conducta ejemplarmente diligente: alertó inmediatamente de las incidencias, cambió contraseñas comprometidas y solicitó la cancelación de tarjetas afectadas. Esta actuación cumplía escrupulosamente las obligaciones legales de notificación inmediata .
Obligaciones reforzadas para las entidades bancarias
Sistemas de supervisión proactivos
La sentencia exige a las entidades implementar mecanismos de supervisión que permitan detectar operaciones fraudulentas en tiempo real, basándose en el análisis de elementos que caractericen el uso normal de las credenciales por parte del usuario .
Reacción ante alertas previas
Resulta especialmente relevante que el Tribunal critique la pasividad de la entidad ante las alertas previas del cliente. Cuando un usuario comunica incidencias de seguridad, la entidad debe adoptar medidas inmediatas como la modificación de claves o el refuerzo de los controles de autenticación .
Marco normativo: del Real Decreto-ley 19/2018 a la PSD2
Transposición de la normativa europea
Esta doctrina se enmarca en la transposición del Real Decreto-ley 19/2018, que incorpora la Directiva (UE) 2015/2366 (PSD2) y el Reglamento Delegado (UE) 2018/389 sobre autenticación reforzada de clientes .
Protección del consumidor financiero
El régimen establece que las entidades deben reembolsar inmediatamente los fondos sustraídos, salvo que demuestren negligencia grave del usuario. Esta protección se fundamenta en el desequilibrio técnico entre entidades y usuarios, reconociendo que los consumidores no pueden asumir riesgos derivados de la complejidad tecnológica de los fraudes .
Implicaciones prácticas y recomendaciones
Para las entidades financieras
• Invertir en tecnología antiphishing y sistemas de inteligencia artificial para detectar patrones anómalos
• Implementar verificación dinámica de beneficiarios en operaciones de alto riesgo
• Establecer protocolos de reacción inmediata ante alertas de los usuarios
• Formar continuamente al personal en detección de fraudes
Para los usuarios
• Notificar inmediatamente cualquier incidencia de seguridad
• Mantener actualizados los dispositivos y aplicaciones
• No compartir credenciales ni códigos de autenticación
• Verificar siempre las comunicaciones sospechosas a través de canales oficiales
Conclusión: hacia un estándar de protección reforzada
La STS 571/2025 consolida un cambio de paradigma en la responsabilidad por fraudes digitales, trasladando el peso de la prueba y la prevención a las entidades financieras, que cuentan con mayor capacidad técnica y recursos para combatir el cibercrimen.
Esta doctrina no solo protege a los usuarios actuales, sino que incentiva la innovación en ciberseguridad al hacer que las entidades asuman el coste real de las deficiencias en sus sistemas de protección.
El mensaje es claro: en la era digital, la seguridad no puede ser una carga del usuario, sino una responsabilidad compartida donde las entidades financieras deben liderar la protección mediante tecnología avanzada y protocolos proactivos.
¿Has sido víctima de SIM swapping o fraudes similares? La jurisprudencia actual refuerza significativamente tus derechos. Es fundamental actuar con rapidez y contar con asesoramiento especializado para hacer valer la responsabilidad de las entidades financieras.
En TuAbogado.Legal te ayudamos a recuperar el control y defender tus derechos.
💬 Escríbenos. Actuar a tiempo puede marcar la diferencia.
________________________________________
Consulta tu caso con total confidencialidad
Primera reunión gratuita
Atención inmediata 24/7
Experiencia y resultados contrastados
c/ Alcalá, 54 – 28014 Madrid
Tel: +34 910 910 998 – WhatsApp: +34 648 467 606
[email protected]
https://tuabogado.legal
La reciente STS 571/2025, de 9 de abril, marca un antes y un después en la lucha contra los fraudes digitales, estableciendo criterios claros sobre la responsabilidad de las entidades financieras en casos de SIM swapping y consolidando un régimen de protección reforzada para los usuarios de servi...
