El caso se origina en octubre de 2024, cuando una clienta recibió un SMS que aparentaba ser de su banco, en el que se le indicaba que debía actualizar el sistema de seguridad para continuar utilizando la banca online. El mensaje se recibió desde el mismo hilo habitual de comunicaciones de la entidad, con una apariencia totalmente verosímil.
A partir de ese momento, se desplegó un mecanismo de engaño especialmente elaborado: la clienta accedió a una web que replicaba la del banco, recibió comunicaciones por WhatsApp y llamadas telefónicas de personas que se hacían pasar por gestores, y se le indicó la instalación de una aplicación aparentemente oficial. En realidad, se trataba de un software malicioso que permitió a los ciberdelincuentes acceder a su banca online y efectuar una transferencia fraudulenta de 15.000€, sin que la clienta autorizara la operación ni facilitara credenciales sensibles.
Aunque la clienta actuó con inmediatez —contactando con la entidad el mismo día, bloqueando las cuentas e interponiendo denuncia— el banco rechazó la devolución del importe, alegando que la transferencia había sido correctamente autenticada.
Ante esta situación, se interpuso demanda en base al Real Decreto-ley 19/2018 de servicios de pago. La Sentencia núm. 40/2026 del Juzgado de Primera Instancia núm. 6 de Vic ha estimado íntegramente la demanda y ha condenado al banco a devolver los 15.000€, con intereses y costas.
La resolución aplica la doctrina del Tribunal Supremo (STS 571/2025), y refuerza el criterio de que, cuando una operación no ha sido autorizada por el cliente, es la entidad financiera quien debe asumir la responsabilidad, salvo que pueda acreditar una negligencia grave.
En este caso, el juzgado concluye que la clienta fue víctima de un engaño sofisticado y que no actuó con negligencia grave, mientras que la entidad no adoptó las medidas de seguridad suficientes para evitar el fraude.