Ursula von der Leyen
Ya entró en vigor en la UE: tu banco tiene solo 1 día hábil para devolverte todo el dinero robado si sufres un ciberataque
Una sentencia del Tribunal de Justicia europeo obliga a reembolsar los fondos inmediatamente, invirtiendo la carga de la prueba para proteger al cliente.
Más información: Así fue el ciberataque a los supermercados europeos que les costó millones: apagó las neveras y congeladores
Sufrir el robo de los ahorros a través de un fraude digital o ciberataque es una de las mayores pesadillas para cualquier consumidor.
Hasta ahora, el dolor de perder el dinero venía acompañado de un segundo golpe igual de frustrante: la negativa de la entidad financiera a devolver los fondos, alegando que el cliente había sido descuidado con la custodia de sus claves.
Sin embargo, un histórico fallo del Tribunal de Justicia de la Unión Europea (TJUE) ha cambiado las reglas del juego para siempre, estableciendo un protocolo estricto donde la protección de la víctima es la prioridad absoluta.
La nueva directiva, que ya marca el estándar de actuación en toda Europa, impone una obligación tajante a las entidades financieras.
Si un usuario notifica que ha sido víctima de una operación no autorizada, el banco debe reembolsar la cantidad sustraída de forma inmediata, fijando como límite legal el final del siguiente día hábil.
Este cambio radical de postura nace a raíz de una denuncia en Polonia, donde a una usuaria le vaciaron 700 euros tras introducir sus datos bancarios en una página web clonada que simulaba ser una plataforma de compraventa.
Su banco se negó en rotundo a pagar escudándose en una supuesta "negligencia grave" por parte de la víctima, un argumento que la justicia europea acaba de tumbar por completo.
Ciberataque
El fallo del TJUE establece que ninguna sospecha inicial de imprudencia permite al banco eludir o retrasar la devolución del dinero.
La lógica de los magistrados es clara: permitir que las entidades bloqueen los reembolsos de entrada dejaría sin efecto la protección al consumidor y obligaría a las víctimas a asumir largos y costosos procesos judiciales para recuperar lo que es legítimamente suyo.
Durante años, gran parte de los bancos han utilizado la normativa europea a su favor. La ley de servicios de pago incluía una excepción para no pagar si existían sospechas fundamentadas de fraude o irregularidad por parte del cliente.
El problema es que las entidades convirtieron esta excepción en la norma habitual para denegar las devoluciones. Ahora, el proceso se invierte.
El banco está obligado a reintegrar los fondos sustraídos en apenas 24 horas. Solo después de haber devuelto el dinero, si la entidad logra reunir pruebas concluyentes de que el cliente actuó de mala fe, podrá reclamarle la cantidad.
De hecho, tal y como detalla la sentencia, si el usuario se niega a devolver ese abono, será el propio banco quien deba acudir a los tribunales para recuperarlo, asumiendo los costes del proceso.
![Un ordenador portátil en un hotel](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/11330680.jpg?p=w:320\/h:240&h=bZm0MmWH"])
Esta sentencia llega en un momento crítico para España, donde los tribunales ya estaban empezando a frenar los abusos bancarios.
Un ejemplo de gran repercusión ocurrió en abril de 2025, cuando el Tribunal Supremo obligó a Ibercaja a devolver más de 56.000 euros a una víctima de SIM swapping.
Los jueces reprocharon duramente a la entidad que permitiera quince transferencias en una sola noche sin hacer saltar ninguna alarma de seguridad.
En Galicia, múltiples juzgados también han condenado a bancos por casos de phishing, al no apreciar negligencia grave en los estafados.
Las estadísticas demuestran la urgencia de aplicar esta medida. Según los datos del Balance Trimestral de Criminalidad del Ministerio del Interior, España registró más de 430.000 estafas informáticas durante todo el año pasado.
Con este nuevo marco legal europeo, los ciudadanos recuperan la tranquilidad de saber que sus ahorros están blindados.
