2.500 € recuperados de CaixaBank por phishing

N.I.G.: 0810142120238378344

Juicio verbal (250.2) (VRB) 2219/2023 -C37-

Materia: Juicio verbal (resto de casos)

Parte demandante/ejecutante: [DEMANDANTE]
Procurador/a: [PROCURADOR_DEMANDANTE]
Abogado/a: Iván Metola Rodriguez

Parte demandada/ejecutada: CAIXABANK S.A
Procurador/a: [PROCURADOR_DEMANDADO]
Abogado/a:

SENTENCIA Nº 314/2026

En Hospitalet de Llobregat, a 22 de octubre de 2026.

[JUEZ], Juez del Juzgado de Primera Instancia nº 5 de Hospitalet de Llobregat, ha conocido los presentes autos de Juicio verbal nº 2219/2023, promovidos por [DEMANDANTE] contra CAIXABANK, S.A., ambas partes con la representación y asistencia que consta en autos, en ejercicio de una acción de reclamación de cantidad.

ANTECEDENTES DE HECHO

PRIMERO.- Por la parte actora presentó escrito de demanda contra CAIXABANK, S.A. en ejercicio de una acción de reclamación de cantidad por responsabilidad contractual. Alegaba, en síntesis, que era titular de cuenta corriente en la mentada entidad, y que sufrió un perjuicio económico por indebidas transferencias realizadas en la citada cuenta; debiendo responder de dichas cantidades la demandada por su negligencia.

Por todo ello solicitaba la devolución de la cantidad de 2.500 euros, más intereses y costas.

SEGUNDO.- Admitida a trámite la demanda, se emplazó a la demandada para personarse y contestar.

La demandada presentó escrito de contestación a la demanda, oponiéndose a lo solicitado de contrario, alegando, en síntesis, su falta de legitimación pasiva y que no existo negligencia grave por su parte.

Por todo ello, solicitaba el dictado de una Sentencia por la que se desestime íntegramente la demanda, con imposición de costas a la parte actora.

TERCERO.- El día 20 de octubre de 2026 se celebró el acto de la vista, quedando los autos pendientes de dictar sentencia.

FUNDAMENTOS DE DERECHO

PRELIMINAR. – Sobre la figura de la falta de legitimación pasiva, es doctrina comúnmente admitida (Sentencia del Tribunal Supremo de 13 de noviembre de 2002; RJA 9758/2002), que la legitimación «ad causam», en cuanto afecta al orden público procesal, debe ser examinada incluso de oficio.

Es igualmente doctrina comúnmente admitida (Sentencia del Tribunal Supremo de 21 de abril de 2004; RJA 2334/2004) que la legitimación «ad causam» se determina en función de la relación existente entre una persona determinada y la situación jurídica en litigio, ya que consiste en una posición o condición objetiva en conexión con la relación material objeto del pleito que determina la aptitud para actuar en el mismo como parte (Sentencias del Tribunal Supremo de 18 de marzo de 1993 y 28 de febrero de 2002; RJA 2027/1993, y 3513/2002).

En consecuencia, la legitimación «ad causam» no es una cuestión procesal de las que deban ser resueltas en la audiencia previa al juicio, o en el juicio verbal, del modo previsto en los artículos 416 y ss, o 443, de la Ley de Enjuiciamiento Civil, sino que, por el contrario, se trata de cuestión referida al fondo, que debe ser resuelta en la sentencia, después de permitir a las partes la producción de la prueba pertinente sobre este extremo, con la necesaria contradicción.

También en Sentencia de la sección 14ª de la Audiencia Provincial de Madrid de 28 de febrero de 2018 se expone:

«TERCERO.- La legitimación. (I)

La legitimación, es una cuestión de fondo cuyo examen es previo e inmediatamente anterior a la decisión final. Como tal jamás puede ser considerada una excepción dilatoria que deba ser resuelta en la audiencia preliminar ni provocar el sobreseimiento de los autos, y su estimación en fase de audiencia previa es incorrecta en cuanto se prejuzga o deja imprejuzgado el fondo del asunto. Tan es así que no está prevista en el catálogo de excepciones procesales del Art.416 L.E.C.

La doctrina procesalita entiende a por legitimación la cualidad de un sujeto jurídico consistente en hallarse, dentro de una situación jurídica determinada bien desde el lado del crédito y exigencia del derecho, bien desde el lado de la pasivo de la exigencia de la obligación -cumplimiento de la prestación-

Asimismo, se ha afirmado que el poder de conducir el proceso se considera derivación procesal del poder de disposición del derecho civil, de suerte que, en principio, legitimados como partes lo están los sujetos de la relación jurídica deducida en juicio; es decir, el que tiene el derecho tiene, como secuela, la facultad de disponer de él y el ejercitarlo en juicio no es sino hacer uso de ese poder.

La legitimación no es, pues, un presupuesto del proceso ni una cuestión previa de forma, es de fondo; de estimación o desestimación de la demanda.

En su escrito de contestación, Caixabank S.A. manifiesta que la tarjeta con las que se realizaron las supuestas disposiciones fraudulentas fue contratada por la parte actora con Caixabank Payments & Consumer, E.F.C, E.P., S.A.U., que es a quien correspondería la legitimación.

Sin embargo, vemos que el contrato originario (documento uno de la demanda) fue suscrito con Caixabank S.A., no con Caixabank Payments & Consumer, E.F.C, E.P., S.A.U.. Es decir, con la actual demandada, no con su filial. Cierto es que existe contrato de tarjeta de crédito y que algunas de las reclamaciones (doc.6 y ss.) se dirigen contra Caixabank Payments & Consumer, pero también a Caixabank S.A., (incluso una de ellas es sellada por la misma, doc. 7). A esto hay que añadir que por parte de Caixabank S.A. se contesta a las mismas (doc.10 de la demanda) sin argumentar propiamente falta de legitimación pasiva ni indicar que debe dirigirse obligatoriamente contra tercera entidad. Tampoco es baladí que la acción ejercitada se funda en una negligencia por pagos realizados en comercio electrónico, pagos que en el caso de autos operan a través de la aplicación CaixaBankNow, hecho que se refleja en el contrato originario. Contrato este, datado con el numero [IBAN], que es a la única cuenta de depósito que hace referencia el contrato anexo de tarjeta de crédito. Esta suma de elementos es determinante para atribuir la legitimación pasiva a la actual demandada, sin que se deba confundir el tipo de supuesto aquí planteado con otros más habituales, como los dirigidos a declarar la nulidad del contrato de tarjeta de crédito por usura o similares.

Caso aplicable al presente es el resuelto en SAP, Civil sección 17 del 02 de septiembre de 2025 (ROJ: SAP B 8635/2025 – ECLI:ES:APB:2025:8635):

TERCERO.-Respecto a la LEGITIMACIÓN PASIVA DE BANKINTER, y ACTIVA DE LA [TERCERO_1].

La parte actora demanda sobre la base de la responsabilidad civil incurrida al no hacer lo necesario para conservar el numerario de la cuenta de la que son titulares, al venir BANKINTER obligado a conservar el dinero allí depositado, y asimismo, se acciona en méritos a ser también proveedor de servicios de pago, en relación a dicho contrato de cuenta corriente y a los servicios de banca digital incluidos, por lo que no se centra la demanda en las tarjetas y su uso, que es solo uno de los servicios contemplados en el contrato, pero respecto del cual también asume BANKINTER responsabilidades contractuales y por ende legitimación pasiva de la entidad bancaria y activa de la [TERCERO_1]. En el contrato cuenta corriente (dto. 2 de la demanda), se hace referencia a la vinculación de ese contrato con las tarjetas de crédito/débito de los contratantes. De hecho, la tarjeta de débito se referencia solo a BANKINTER (dto. 3 de la demanda). Y para consumar el fraude los ciberdelincuentes han hecho uso de las dos tarjetas, la de crédito y la de débito, como se detalla en la contestación a la demanda. Además, la responsable de la mecánica del proceso de contratación electrónica es la parte demandada, que es con quien tienen contratado los demandantes el servicio de banca electrónica.

Asimismo, la legitimación pasiva deriva de los actos propios previos a la Litis. Es el servicio de atención al cliente de BANKINTER, quien responde a los demandantes (dtos. 8 y 10 de la demanda), indicando que «la entidad ha cumplido con la obligación de autentificación reforzada que le es exigida a las entidades financieras por la actual normativa de servicios de pago». Por tanto, la entidad demandada ha venido admitiendo y no cuestionando su pasiva legitimación que ahora no puede obviar ni contradecir (SAP de Barcelona sección 17 del 11 de abril de 2024 (ROJ: SAP B4144/2024 – ECLI:ES:APB:2024:4144): «A esta última se refiere la sentencia del Tribunal Supremo núm. 320/2020, de 18 de junio, cuya doctrina es ratificada en las sentencias 300/2022, de 7 de abril, y 578/2022, de 26 de julio, que señalan al respecto:

«La doctrina de los actos propios tiene su último fundamento en la protección de la confianza y en el principio de la buena fe, que impone un deber de coherencia y limita la libertad de actuación cuando se han creado expectativas razonables (SSTS de 9 de diciembre de 2010 y 547/2012, de 25 de febrero de 2013). El principio de que nadie puede ir contra sus propios actos solo tiene aplicación cuando lo realizado se oponga a los actos que previamente hubieren creado una situación o relación de derecho que no podía ser alterada unilateralmente por quien se hallaba obligado a respetarla (SSTS 9 de diciembre de 2010, RC n.º 1433/2006, 7 de diciembre de 2010, RC n.º 258/2007). Como afirmamos en la sentencia de 25 de febrero de 2013, […], dicha doctrina «significa, en definitiva, que quien crea en una persona una confianza en una determinada situación aparente y la induce por ello a obrar en un determinado sentido, sobre la base en la que ha confiado, no puede pretender que aquella situación era ficticia y que lo que debe prevalecer es la situación real».)

A esta conclusión se ha llegado en supuestos semejantes (SAP Barcelona Sec. 17ª 597/2024 de 12 de septiembre de 2024 (ECLI:ES:APB:2024:11376); SAP Madrid Sec. 25ª 133/2024 de 15 de marzo de 2024 (ECLI:ES:APM:2024:4197); SAP Huelva Sec. 2ª 97/2024 de 8 de febrero de 2024 (ECLI:ES:APH:2024:109) o SAP Girona Sec. 1ª 276/2024 de 17 de abril de 2024 (ECLI:ES:APGI:2024:617) que refleja lo indicado en la SAP Girona Sec. 2ª 62/2024 de 31 de enero de 2024 (ECLI:ES:APGI:2024:80)

«El fet que Caixabank es valgui de societats filials (en aquest cas, Caixabank Payments) per la gestió d’emissió de targetes o d’altres actuacions relacionades amb el contracte subscrit entre el client i Caixabank és quelcom que no ha de perjudicar al consumidor qui, lògicament, confia en la seva relació contractual amb Caixabank, amb independència de l’actuació de caire intern que aquesta entitat faci a través de filials seves, directament vinculades a ella.

Però és que, a més, la demandant va concertar els contractes bancaris que es troben a la base de la reclamació formulada amb Caixabank. És Caixabank qui és suplantada en l’actuació de tercers, i és el número d’atenció al client de Caixabank el que és emprat per tercers per cometre el frau informàtic que és objecte d’aquest procediment. És també el servei d’atenció al client de Caixabank qui respon a les reclamacions extrajudicials que es formulen per raó dels fets que enjudiciem. I és Caixabank qui en aquest procediment facilita i aporta tots els contractes i dades del demandant en relació a la seva relació contractual bancaria, posant de manifest que té accés a tota la documentació que, en part, diu que correspon a una tercera entitat amb personalitat jurídica pròpia de la que mira de desvincular-se.

Els motius exposats en els dos paràgrafs anteriors porten a concloure, sense cap mena de dubte, que l’acció exercitada pel consumidor davant de Caixabank era plenament correcte, i abasta la totalitat d’operacions que li han comportat el perjudici pel qual reclama.»

Por todo ello procede desestimar la excepción de falta de legitimación pasiva.

PRIMERO. – Objeto del juicio y de la controversia. Negligencia de la actora.

En cuanto a la fijación del marco jurídico aplicable, se encuentra en el Real Decreto Ley 19/2018, de 13 de noviembre, que establece un régimen de responsabilidad cuasi objetiva del proveedor de los servicios de pago, especialmente en sus artículos. 36 y 41 a 46.

Ilustrativa es en esta materia la STS, Civil sección 1 del 09 de abril de 2025 (ROJ: STS 1671/2025 – ECLI:ES:TS:2025:1671). La misma establece:

la controversia radica en determinar quién debe responder por las operaciones de pago no autorizadas, en tanto que realizadas por un tercero que, utilizando las credenciales del usuario que ha obtenido por cualquier medio, suplanta su identidad y accede electrónicamente a su cuenta sin su consentimiento. O, dicho de otra manera, qué debe entenderse por «operaciones de pago no autorizadas», si, en general, las que han sido realizadas por un tercero sin el consentimiento del usuario titular de la cuenta, o, exclusivamente, las efectuadas sin seguir el procedimiento legal y contractualmente fijado.

Con carácter previo, es preciso significar que la Audiencia ha declarado probado que las operaciones de pago se ejecutaron por terceras personas, ajenas y sin el consentimiento del demandante, lo que comporta rechazar de plano las dudas sugeridas por la recurrente.

La respuesta a la cuestión discutida exige recodar concretar la normativa aplicable. La Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, que derogó la Directiva 2007/64/CE, explica en su Considerando 7 el objetivo de la reforma:

«En los últimos años, han aumentado los riesgos de seguridad de los pagos electrónicos, debido a la mayor complejidad técnica de estos, el incesante incremento del volumen de pagos electrónicos en todo el mundo y los nuevos tipos de servicios de pago. Disponer de servicios de pago fiables y seguros es condición esencial para el buen funcionamiento del mercado de servicios de pago, por lo que los usuarios de esos servicios deben gozar de la debida protección frente a tales riesgos. Los servicios de pago son esenciales para el mantenimiento de actividades económicas y sociales de vital importancia.»

Y en los Considerandos 70, 71 y 72 se aborda el problema de las operaciones de pago no autorizadas o ejecutadas incorrectamente, precisando las respectivas obligaciones y responsabilidad del usuario y del proveedor de los servicios de pago y ofreciendo pautas para valorar la diligencia exigible:

«(70) Para reducir los riesgos y las consecuencias de operaciones de pago no autorizadas o que hayan sido ejecutadas incorrectamente, el usuario de servicios de pago debe informar al proveedor de servicios de pago, lo antes posible, sobre toda reclamación en relación con operaciones de pago supuestamente no autorizadas o ejecutadas incorrectamente, siempre y cuando el proveedor de servicios de pago haya respetado sus obligaciones de información con arreglo a la presente Directiva. Si el usuario de servicios de pago respeta el plazo de notificación, debe poder hacer valer esas reclamaciones dentro de los plazos de prescripción nacionales. […]

(71) En caso de una operación de pago no autorizada, el proveedor de servicios de pago deberá devolver inmediatamente el importe de dicha operación al ordenante. No obstante, cuando haya una sospecha fundada de que una operación no autorizada es el resultado de una conducta fraudulenta del usuario de servicios de pago y la sospecha se funde en motivos objetivos comunicados a la autoridad nacional pertinente, el proveedor de servicios de pago tendrá la posibilidad de efectuar, en un plazo razonable, una investigación antes de devolver el importe al ordenante. A fin de evitar perjuicios al ordenante, la fecha de valor del abono de la devolución no debe ser posterior a la fecha de adeudo del importe. A fin de ofrecer incentivos para que el usuario de servicios de pago comunique sin demora a su proveedor de servicios de pago toda pérdida o robo de un instrumento de pago y reducir así el riesgo de operaciones de pago no autorizadas, el usuario solo debe ser responsable por un importe muy limitado, salvo en caso de fraude o grave negligencia por su parte. A este respecto, parece adecuado fijar un importe de 50 EUR con vistas a garantizar una protección elevada y homogénea del usuario dentro de la Unión. No se le debe imputar responsabilidad al ordenante, cuando este se encuentre en una posición que no le permite tener conocimiento del extravío, el robo o la sustracción del instrumento de pago. Asimismo, una vez que el usuario de servicios de pago haya comunicado al proveedor de servicios de pago que su instrumento de pago puede haber sido objeto de uso fraudulento, no deben exigírsele responsabilidades por las ulteriores pérdidas que pueda ocasionar el uso no autorizado del instrumento. […]

(72) A la hora de evaluar la posible negligencia o la negligencia grave del usuario de servicios de pago, deben tomarse en consideración todas las circunstancias. Las pruebas de una presunta negligencia, y el grado de esta, deben evaluarse con arreglo a la normativa nacional. No obstante, si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia. Un ejemplo sería el guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros. Se deben considerar nulas las cláusulas contractuales y las condiciones de prestación y utilización de instrumentos de pago mediante las cuales aumente la carga de la prueba sobre el consumidor o se reduzca la carga de la prueba sobre el emisor. Además, en situaciones específicas y, más concretamente, cuando el instrumento de pago no esté presente en el punto de venta, como en el caso de los pagos en línea, resulta oportuno que el proveedor de servicios aporte pruebas de la presunta negligencia, puesto que los medios a disposición del ordenante son limitados en esos casos.»

Con relación a las medidas de seguridad que deben adoptarse, los Considerandos 91 y 96 indican:

«(91) Los proveedores de servicios de pago son responsables de las medidas de seguridad. Dichas medidas deben ser proporcionales a los riesgos de seguridad existentes. Los proveedores de servicios de pago deben establecer un marco que permita paliar los riesgos y mantener procedimientos eficaces de gestión de incidentes.

(96) […] Es necesario que las credenciales de seguridad personalizadas se utilicen adecuadamente, para limitar los riesgos de captación de datos mediante suplantación de identidad (phising) y otras actividades fraudulentas. A tal fin, el usuario debe poder confiar en la adopción de medidas que protejan la confidencialidad y la integridad de sus credenciales personalizadas de seguridad. Entre estas medidas figuran, en particular, los sistemas de cifrado basados en dispositivos personales del ordenante (lectores de tarjetas o teléfonos móviles, por ejemplo) o facilitados al ordenante por su proveedor de servicios de pago gestor de cuentas por otros cauces (por SMS o mensaje de correo electrónico por ejemplo). Las medidas, incluidos los sistemas habituales de cifrado, que pueden dar lugar a códigos de autenticación como las contraseñas de un solo uso, pueden aumentar la seguridad de las operaciones de pago; la utilización de este tipo de códigos de autenticación por los usuarios de servicios de pago debe considerarse compatible con sus obligaciones respecto de los instrumentos de pago y las credenciales de seguridad personalizadas…»

6.- Con arreglo a la normativa comunitaria y nacional aplicable y a la jurisprudencia comunitaria recaída en interpretación de la regulación de la que trae causa la primera, podemos concluir:

1.º El usuario de servicios de pago debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, tan pronto tenga conocimiento de ello.

2.º En caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.

3.º Cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.

4.º El mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave.

En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave.

Profundizando en este último punto, la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital- y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta.

A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante.

Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta…), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo.

(…)

7.- Según se avanzó antes, la aplicación de la normativa y jurisprudencia expuesta nos lleva a rechazar el motivo de recurso.

Es verdad que el art. 36.1 del Real Decreto Ley 19/2018 establece que las operaciones de pago «se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución», así como que «[e]l ordenante y su proveedor de servicios de pago acordarán la forma en que se dará el consentimiento, así como el procedimiento de notificación del mismo». Como también es cierto que en la condición 4.ª del contrato de banca digital suscrito entre las partes se indica que «el usuario-titular se compromete a otorgar plena validez jurídica a las operaciones realizadas mediante cualquier tipo de claves y/o códigos que permitan la identificación personal del mismo, dando como válidas y propias las operaciones realizadas empleando las claves o códigos previstos en este contrato», sin que se discuta que en el supuesto litigioso se emplearon las claves y/o códigos personales del demandante.

Pero no es menos cierto que, primero, estamos ante una regulación que se impone a las partes, sin que su aplicación quede al albur de la libertad o autonomía contractual, de modo que la condición 4.ª -como la cláusula 8.ª, de exoneración de responsabilidad de la entidad bancaria- han de respetar en todo caso el régimen de derechos, obligaciones y fórmulas de responsabilidad legalmente previstos; segundo, que, en el marco de esta regulación, el consentimiento no se entiende prestado por el solo hecho de que la operación de pago se haya realizado mediante la utilización de las claves personales, sino que es necesario que provenga del usuario o, en caso de que éste niegue su intervención, que se acredite fraude, incumplimiento deliberado o, al menos, negligencia grave por parte del usuario, cuya prueba recae sobre la entidad bancaria; y, tercero, cuando el usuario ha notificado de forma inmediata la existencia de una operación no autorizada, la entidad ha de proceder a su rectificación, salvo que demuestre que hubo fraude imputable al usuario.

En otras palabras, el que la entidad bancaria acredite que la operación fue autenticada, registrada con exactitud y contabilizada, no es suficiente para eximirle de responsabilidad. Ha de probar que la operación no resultó afectada por un fallo técnico u otra deficiencia del servicio prestado, y, dado que el cliente niega que la operación fuera consentida, que no hubo por parte de este último fraude, incumplimiento deliberado o negligencia grave.

Sin embargo, lejos de haber acreditado tales extremos, la prueba practicada evidencia lo contrario.

La secuencia fáctica permite observar que (i) tres semanas antes, el demandante informó a la entidad de la recepción en su dispositivo móvil de diversos mensajes SMS en los que se indicaban otros tantos códigos para validar transferencias desde su cuenta y que él no había solicitado; (ii) en fechas 27 de febrero y 2 y 12 de marzo de 2021, Google Play y Google Ads realizaron varios cargos no autorizados en la cuenta titularidad de [TERCERO_2] y su esposa en Ibercaja Banco S.A., utilizando su tarjeta VISA, lo que el demandante comunicó a la entidad bancaria; (iii) el 16 de marzo, [TERCERO_3] recibió un email de Google en la que se alertaba de que «Alguien acaba de usar tu contraseña para intentar iniciar sesión en tu cuenta», por lo que procedió a cambiar la contraseña, y, al día siguiente, 17 de marzo, el actor acudió a la oficina bancaria, donde informó sobre lo sucedido y solicitó la cancelación de la tarjeta y la emisión de otra nueva; y (iv) en la noche del 17 al 18 de marzo de 2021, se realizaron quince transferencias bancarias desde la cuenta corriente titularidad de [TERCERO_2] y sus padres, de las cuales diez lo fueron a través de la plataforma Bizum (por importe de 500 € cada una) y cinco a través de la plataforma de banca electrónica «Ibercaja Directo» (por importes de 28.970 €, 19.870 €, 9.876 € y dos de 9.870 € cada una).

Estos precedentes ponían de manifiesto, para cualquier observador medio, razonablemente atento y perspicaz, y más aún, para un empleado de banca, que alguien había conseguido acceder a las cuentas del actor, y, por ende, que disponía de sus claves de usuario y contraseña, lo que hubiera debido motivar una reacción inmediata, que pasaba cuando menos por la modificación de las claves y/o códigos. Nada se hizo. Al no adoptarse medida de protección alguna, tan solo restaba que los autores encontraran la manera de eludir el último obstáculo, esto es, la vía para recibir directamente el código de confirmación de la operación.

Por otra parte, los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividades. A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe, entidades de destino…, para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos. No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado. Del mismo modo que el sistema rechazó dos de Bizum por exceder del máximo diario, el proveedor de servicios de pago ha de adoptar las medidas de seguridad que garanticen su correcto funcionamiento y minimicen los riesgos y los efectos nocivos de su materialización.

Llegado este punto, nos encontramos, de un lado, ante una conducta diligente del titular de la cuenta, que informó, inmediata y reiteradamente, al personal de entidad de lo que estaba sucediendo, cumpliendo la obligación que expresamente le imponía la normativa comunitaria y nacional; y, de otro lado, ante un servicio que se presta defectuosamente por el proveedor, tanto por no tomar en consideración la información recibida pese a su gravedad, como por omitir la adopción de medidas que posibilitaran la detección de eventuales maniobras fraudulentas.

Por consiguiente, no se aprecia infracción del art. 36.1 del Real Decreto Ley 19/2018, lo que comporta la desestimación del motivo.

Con apoyo en estas directrices del Alto Tribual, el núcleo central de la oposición se centra en la falta de responsabilidad del Banco, pues no puede achacársele que actuase de forma distinta a los estándares de seguridad prevista. O, a la inversa, y teniendo en cuenta el marco legal y jurisprudencial más arriba plasmado, si existió negligencia grave por parte del titular de la cuenta, la tarjeta de crédito y el terminal móvil.

Pues bien, de la prueba practicada podemos inferir que no puede imputársele, ya no negligencia, sino una falta de diligencia mínimamente relevante.

El relato factico es claro, y la prueba documental de la demandante acredita aquel, apuntalada por la declaración de parte. Se observan así las trasferencias fraudulentas (cuya existencia ni se discute), por razón de 900,900 y 700 euros, efectuadas el 9 de febrero de 2022, en lapsos de 20 minutos (13.42, 14.01 y 14.20 horas). Vemos que el curso temporal reflejado en los documentos, al analizar las fechas de las trasferencias, es totalmente coincidente, ab initio, con la narración efectuada en la demanda. A su vez, el perjudicado, el 16 de febrero de 2022 se presenta en comisaria a los efectos de interponer denuncia a las 08.03 horas (documento 3). Como corolario, constan las diversas reclamaciones remitidas a la entidad bancaria, así como sus fechas, ya examinadas en el fundamento preliminar.

Como se ha dicho, es de destacar que la demandada no niega este relato, sino que desplaza su responsabilidad en su condición de entidad bancaria. Sin embargo, no puede prosperar su oposición, toda vez que sus medidas de seguridad (de las cuales responde) fueron vulneradas, por mucho que afirme lo contrario.

Y es que ha quedado acreditado, conforme a la prueba documental, que la actuación del actor fue segura, prudente y consecuente, sin que en ningún caso pueda ser tachada la misma de imprudente, culposa o negligente. La documental es reforzada por su declaración de parte, que es clara y precisa, describiendo el actor que se dio cuenta de lo sucedido a través de la aplicación móvil, pero que no recibió ningún mensaje de confirmación; sumado a que Caixabank no le mandaba autorizaciones. A su vez, anuló la tarjeta inmediatamente. Tras ello, acudió a denunciar los hechos. Como decimos, la narración es coherente, y ninguno de los puntos invocados por la demanda sirve de obstáculo para desvirtuar la petición de la actora, pues ninguna negligencia grave puede imputársele a esta última.

En cuanto a esta figura, en SAP, Civil sección 8 del 14 de abril de 2026 (ROJ: SAP V 699/2026 – ECLI:ES:APV:2026:699):

Y analizadas la últimas sentencias de las Audiencias Provinciales en aplicación del RD-Ley 19/2028, se constata que existe una clara tendencia a dotar de una mayor protección al usuario, restringiendo el concepto de «negligencia grave» como causa de exoneración de responsabilidad de la entidad bancaria, y en este sentido se ha venido reiterando que no cabe hablar de «negligencia «grave» si el usuario ha sido víctima de una sofisticada estafa y fallaron todos los controles por parte del banco (sentencia de esta misma Sala núm. 244/2024 de 29 mayo), al margen de la consabida doctrina de la Sala de lo Penal de Tribunal Supremo (STS Sala 2ª sec. 1ª, nº 51/2020, de 17 de febrero de 2020, entre otras), según la cual no se puede desplazar sobre el perjudicado la responsabilidad de comportamientos en los que la intención de engañar es manifiesta. Por tanto, debe tratarse de una falta de diligencia evidente, palmaria, clamorosa, y sobre todo, por iniciativa propia y no como consecuencia de un engaño al que haya sido inducido como víctima de un delito de estafa por un delincuente profesional, lo que es difícilmente detectable por su complejidad o grado de perfección (SAP Madrid sec 20 de 2 diciembre 2024). En suma, con carácter general el mero hecho de ser engañado no supone una negligencia grave, pues nadie es responsable de ser víctima de un engaño salvo que sea grosero o burdo. En este sentido la SAP de Pontevedra, 177/2023, de 23 de marzo requiere «una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional».

Nada eficaz hizo la demandada ante el movimiento defraudatorio (por ejemplo, exigir una autenticación reforzada) recordando su posición de garante en la prestación de servicios de seguridad. Todo ello sin obviar que apenas se nos suministra prueba por su parte, recordando el principio general del artículo 217 de la LEC, pues nada valorable existe más allá del registro de operaciones efectuadas. En cuanto a lo relativo a los SMS enviados, estos son ilegibles, y el certificado de Redsys, así como la declaración testifical de la encargada de dicho servicio, son intrascendentes.

Por último, respecto la acreditación de la cantidad sustraída, consta en la documental aportada por la actora; y su cuantificación ni siquiera es discutida propiamente por la demanda, al sostener que de esas cantidades no debe responder ella, sino la propia demandante.

Por todo ello, y aplicando la reciente doctrina del Alto Tribunal al caso de autos, procede la estimación de la demanda en su totalidad.

SEGUNDO.- Costas

De conformidad con el artículo 394.1 LEC procede imponer las a la parte demandada, al haber visto rechazadas todas sus pretensiones.

Vistos los artículos legales citados y demás de pertinente y general aplicación;

FALLO

Acuerdo ESTIMAR la demanda interpuesta por [DEMANDANTE] contra CAIXABANK, S.A. condenando a la demandada al pago de 2.500 euros, más el interés legal del dinero desde la reclamación a la entidad demandada, con imposición de costas a la parte demandada.

Notifíquese la presente resolución a las partes, haciéndoles saber que contra la misma no cabe recurso alguno.

Llévese el original al libro de Sentencias.

Así se acuerda, manda y firma por SSª.