Ciberestafas y responsabilidad bancaria: el deber jurídico de usar la última tecnología
La digitalización ha transformado la forma en que operamos con nuestras entidades financieras. También ha transformado el riesgo. Las ciberestafas bancarias, ya sea mediante phishing, suplantación de identidad, malware o ingeniería social, forman parte del entorno habitual de la banca electrónica.
En este contexto, la cuestión jurídica ya no es únicamente si el cliente actuó con imprudencia. La pregunta relevante es otra: ¿qué nivel de diligencia tecnológica es exigible al banco para prevenir el fraude?
La responsabilidad del banco ante una ciberestafa: más que un intermediario técnico
El banco no es un mero canal por el que circulan órdenes de pago. Es un profesional cualificado, sometido a un estándar reforzado de diligencia. La relación contractual bancaria implica un deber de custodia, protección y control que va más allá de ejecutar mecánicamente operaciones.
Tradicionalmente, ese deber se vinculaba al estándar del bonus argentarius, es decir, al comportamiento que cabe esperar de un experto financiero prudente. Sin embargo, la naturaleza del riesgo ha cambiado. Hoy el riesgo es digital.
Eso significa que la diligencia profesional ya no puede medirse solo en términos organizativos o humanos. Debe evaluarse también en términos tecnológicos.
El deber de diligencia tecnológica en el artículo 1104 del Código Civil
El artículo 1104 del Código Civil establece que la diligencia exigible debe valorarse atendiendo a la naturaleza de la obligación y a las circunstancias de tiempo y lugar.
Las circunstancias actuales incluyen:
- La generalización de la banca online.
- La sofisticación creciente del fraude digital.
- La disponibilidad de herramientas tecnológicas avanzadas para detectar anomalías.
No es razonable analizar un fraude digital con parámetros propios de un entorno analógico. Si existen sistemas de autenticación reforzada, monitorización en tiempo real, análisis de comportamiento o alertas automáticas capaces de identificar patrones sospechosos, la omisión de tales medidas puede ser jurídicamente relevante.
La diligencia, en 2025, incorpora necesariamente tecnología.
PSD2, autenticación reforzada y resiliencia digital: el marco normativo actual
La normativa europea ha asumido esta realidad.
La Directiva PSD2 impone la autenticación reforzada del cliente en operaciones electrónicas. No se trata de una recomendación, sino de una exigencia regulatoria destinada precisamente a reducir el fraude.
Además, el marco europeo de resiliencia operativa digital refuerza la obligación de las entidades financieras de contar con sistemas sólidos frente a riesgos tecnológicos.
Este contexto normativo consolida una idea clara: la seguridad tecnológica forma parte del contenido esencial del servicio financiero. No es un complemento opcional.
Ciberestafa y distribución de responsabilidad: cliente imprudente o banco desactualizado
En los litigios por ciberestafa, las entidades suelen centrar la defensa en la conducta del cliente. Se argumenta que facilitó códigos, accedió a enlaces fraudulentos o actuó con descuido. Sin embargo, el análisis jurídico no puede detenerse ahí.
Debe examinarse si la entidad:
- Detectó un patrón de operación anómalo
- Activó alertas ante transferencias inusuales
- Aplicó mecanismos de verificación adicionales ante conductas atípicas
La cuestión central es quién estaba en mejor posición para evitar el daño. El cliente puede cometer un error puntual. El banco dispone de sistemas masivos de análisis y control.
Cuando una operación claramente atípica no activa ningún protocolo adicional, el foco se desplaza inevitablemente hacia la arquitectura tecnológica de la entidad.
Prevención frente a reacción: el verdadero contenido del deber bancario
Durante años, la discusión sobre responsabilidad bancaria se centró en cómo se gestionaba el daño una vez producido. Hoy el eje está en la prevención.
La diligencia no consiste solo en responder correctamente tras el fraude. Consiste en anticiparlo razonablemente.
Un banco que reembolsa tras un largo litigio no cumple necesariamente con su deber si pudo evitar el daño mediante herramientas disponibles en el mercado. La prevención es hoy el núcleo de la diligencia.
La redefinición del bonus argentarius en la era digital
El concepto clásico de bonus argentarius no ha desaparecido. Se ha transformado.
Ser un profesional diligente en el siglo XXI implica conocer no solo los riesgos financieros, sino también los tecnológicos. Implica actualizar sistemas, revisar protocolos y adaptarse a nuevas modalidades de fraude.
No se exige infalibilidad. El fraude cero es imposible. Lo que sí se exige es evolución constante.
Desde una perspectiva jurídica, resulta difícil sostener que una entidad que no incorpora medidas tecnológicas razonablemente accesibles pueda ampararse exclusivamente en la imprudencia del cliente. La asimetría técnica entre banco y usuario es evidente.
La responsabilidad bancaria en materia de ciberestafas no puede analizarse con categorías del pasado. La tecnología ya no es un elemento accesorio del servicio financiero. Es parte estructural de la obligación de protección.
Y en ese marco, la pregunta decisiva no es si el cliente cometió un error, sino si el banco hizo todo lo razonablemente exigible para que ese error no se tradujera en una pérdida patrimonial irreversible.
