October 23, 2026
Una mujer en Polonia intenta vender un artículo por internet. El "comprador" le envía un enlace para confirmar la venta. Lleva a una copia falsa de la página de acceso de su banco. Ella introduce sus datos y unos 700 € salen de su cuenta en cuestión de minutos. El banco se niega a reembolsarla, alegando que fue gravemente negligente con sus credenciales.
En una sentencia del 15 de octubre de 2026 (asunto C-70/25), el Tribunal de Justicia de la Unión Europea dijo a los bancos que esa postura no es admisible. Según la Directiva de Servicios de Pago, un banco debe reembolsar con prontitud un pago no autorizado, incluso cuando cree que el cliente fue gravemente negligente. Esta guía explica qué significa la sentencia para los bancos emisores, por qué convierte los reembolsos en un coste del que no puedes librarte discutiendo, y cómo la detección de fraude en pagos en tiempo real de Fraudio te ayuda a frenar las pérdidas por phishing antes de que ocurran.
La detección de fraude en pagos de Fraudio puntúa cada transacción en milisegundos, antes de que se apruebe o se libere, usando datos en red de emisores, adquirentes y facilitadores de pago. Ese es el control que más importa ahora: el pago que nunca sale es el reembolso que nunca pagas. Cubre pagos con tarjeta y pagos instantáneos, y los bancos pueden probarlo con sus propios datos históricos antes de comprometerse.
Este artículo es información general, no asesoramiento jurídico. Consulta con tus equipos legales y de cumplimiento el efecto de la sentencia en tu proceso de reembolsos.
1. Reembolsos por phishing de un vistazo
2. Qué dictaminó el tribunal de la UE
3. Por qué la sentencia cambia la economía de los bancos emisores
4. Cómo Fraudio frena las pérdidas por phishing antes de que salga el pago
5. Cómo ve un banco un pago provocado por phishing
6. Cinco formas en que los bancos pueden reducir los reembolsos por phishing con Fraudio
7. Cómo evaluar una herramienta de detección de fraude en pagos
8. Todo lo que necesitas saber sobre los reembolsos por phishing
9. Preguntas frecuentes
| Pregunta | Respuesta corta |
|---|---|
| ¿Puede un banco negarse a reembolsar porque el cliente fue descuidado? | No como motivo para retrasarlo. El tribunal dijo que el banco debe reembolsar igualmente con prontitud y puede reclamar al cliente después si prueba negligencia grave o intención. |
| ¿En cuánto tiempo debe hacerse el reembolso? | Sin demora y, como muy tarde, al final del día hábil siguiente a que el banco registre o conozca la operación, si el cliente la comunicó sin demora indebida. |
| ¿Quién tiene que probar la negligencia? | El banco. No puede dejar que el cliente pruebe su caso ante un tribunal. |
| ¿Hay alguna excepción? | Sí. Un banco puede retener el reembolso si tiene motivos razonables para sospechar que el cliente cometió fraude y comunica esas sospechas a la autoridad nacional. |
| ¿Dónde puede actuar un banco? | Antes de que salga el pago, con puntuación en tiempo real y fricción proporcionada, que es para lo que está diseñada la detección de fraude en pagos de Fraudio. |
El asunto, C-70/25, llegó al Tribunal de Justicia de la Unión Europea a través de un tribunal polaco y se resolvió el 15 de octubre de 2026. Según informó EU Perspectives, la clienta vendía un artículo en un mercado en línea. Un posible comprador le envió un enlace, supuestamente para confirmar la venta. El enlace llevaba a un sitio web falso que imitaba la banca en línea de su banco. Ella introdujo sus datos de acceso y el estafador los usó para transferir unos 700 € a su propia cuenta. Ella comunicó la operación al día siguiente.
El banco se negó a reembolsarla. Su argumento fue que ella había sido gravemente negligente en la protección de sus credenciales de seguridad. El tribunal rechazó que esa opinión autorice a un banco a negar un reembolso inmediato.
El razonamiento del tribunal fue que permitir a los bancos negar reembolsos según su propia valoración de la negligencia socavaría los reembolsos inmediatos y el alto nivel de protección del consumidor que persigue la directiva. El marco legal es la Directiva de Servicios de Pago (Directiva (UE) 2015/2366).
Antes de esta sentencia, un banco podía tratar un caso de phishing como un problema del cliente y rechazar la reclamación. Ahora tiene que pagar en un día y luego intentar recuperar el dinero. Recuperarlo implica probar la negligencia grave, algo que lleva tiempo y esfuerzo y puede no prosperar. Muchos bancos simplemente asumirán el coste.
El informe conjunto de la EBA y el BCE sobre el fraude en pagos, publicado en diciembre de 2025, sitúa el fraude declarado en pagos del EEE en 4.200 millones de euros en 2024, frente a 3.500 millones en 2023. Las pérdidas por transferencias llegaron a 2.200 millones de euros, un 16 % más. El fraude con tarjetas emitidas en el EEE alcanzó unos 1.300 millones de euros, un 29 % más. El informe señala que la autenticación reforzada de clientes sigue siendo eficaz contra el fraude para el que se diseñó, pero que aumentan los nuevos tipos de fraude, sobre todo la manipulación de los pagadores.
El phishing encaja de lleno en esa categoría. Al cliente lo engañan para que entregue sus credenciales, o para que apruebe un pago, de modo que los controles se superan. En las transferencias, el informe muestra que los usuarios de servicios de pago soportaron cerca del 85 % de las pérdidas totales por fraude en 2024, sobre todo por estafas que los engañaron para iniciar el pago. Si las normas de reembolso trasladan más de esas pérdidas a los bancos, buena parte de esa carga pasará a ser del banco.
Se avecina más responsabilidad. Según el acuerdo provisional sobre el Reglamento de Servicios de Pago (PSR) de la UE, alcanzado en noviembre de 2025, los proveedores de pago deberán reembolsar a las víctimas de estafas de suplantación de bancos y de fraudes que debieron haber bloqueado.
Los pagos instantáneos se liquidan en segundos. A diferencia de un pago con tarjeta, en general no existe un proceso de disputa para recuperar el dinero una vez que ha salido. Un ataque de phishing que termina en una transferencia instantánea le da al banco una única oportunidad de frenarlo: antes de que se libere.
La detección de fraude en pagos de Fraudio puntúa cada transacción en tiempo real mediante una API, para que el banco pueda actuar antes de que el pago se apruebe o se libere. En el phishing, ese es el momento en que aún se puede evitar un reembolso. La puntuación llega en milisegundos y cada transacción se clasifica en una escala de semáforo para que los equipos puedan aprobar, revisar, pedir autenticación adicional o bloquear.
Los clientes de Fraudio han informado de un retorno de la inversión de 8x, una mejora del 600 % en la eficiencia del equipo de fraude y fraude detectado tres semanas antes que con herramientas tradicionales. Puedes probar el enfoque con tus propios datos históricos antes de comprometerte, mediante una Proof of Results sin obligación comercial.
Más información sobre nuestro enfoque en la página de prevención del fraude en pagos: www.fraudio.com/payment-fraud-prevention
El phishing en sí ocurre fuera del banco. Lo que el banco ve es la cuenta usándose de una forma que el cliente normalmente no usaría. La pista suele ser una secuencia, no un solo evento.
| Paso | Lo que ve el banco | Señal |
|---|---|---|
| 1. Credenciales capturadas | Todavía nada. El sitio falso está fuera del banco. | Ninguna |
| 2. Inicio de sesión | Un acceso legítimo con credenciales correctas | Dispositivo nuevo, ubicación nueva, hora inusual |
| 3. Cambios en la cuenta | Se modifican datos de contacto, límites o beneficiarios | Cambios poco después de un acceso nuevo |
| 4. Beneficiario nuevo | Se añade un beneficiario por primera vez | Beneficiario desconocido en el historial del cliente |
| 5. Pago | Una transferencia de salida, a menudo grande o rápida | Importe, rapidez y destino fuera de lo habitual |
Cada paso puede parecer legítimo por sí solo. La gente cambia de móvil y paga a personas nuevas. Un sistema que revisa cada evento por separado no ve nada raro. Un sistema que puntúa el pago con el historial reciente de la cuenta a la vista detecta un patrón que no encaja con el cliente.
La decisión sobre el pago tiene que tomarse dentro de la ventana de autorización o liberación. Una puntuación que se devuelve en menos de 100 milisegundos puede integrarse en el flujo de pago sin ralentizar a los clientes legítimos. En los pagos instantáneos es el único punto de intervención, así que una puntuación que llega después de la liberación llega tarde. Fraudio devuelve cada puntuación en milisegundos mediante una API, de modo que la decisión puede tomarse antes de que el pago se apruebe o se libere.
Una transferencia debe puntuarse según lo que acaba de pasar en la cuenta: un dispositivo nuevo, un teléfono cambiado, un beneficiario nuevo. Un mismo pago de 2.000 € desde una cuenta estable y desde una cuenta que cambió tres datos una hora antes son dos riesgos distintos. Una monitorización nativa del flujo de transacciones, y no añadida desde un sistema aparte, ve estos vínculos. Fraudio perfila las cuentas a lo largo del tiempo, siguiendo entradas, salidas, velocidad, contrapartes y señales de dispositivo e IP, y puntúa cada pago con ese historial a la vista.
No todo pago de riesgo debe bloquearse. Una puntuación intermedia puede activar una autenticación adicional, una llamada de confirmación o una retención breve, de modo que los clientes legítimos pasan y los estafadores se atascan. Un cliente al que un estafador está guiando por teléfono suele fallar una pregunta de confirmación que el titular real respondería con facilidad. Con Fraudio, cada transacción cae en una escala de semáforo y los bancos fijan sus propios umbrales para aprobar, revisar, pedir autenticación adicional o bloquear.
Una campaña de phishing rara vez golpea a un solo banco. Las mismas páginas falsas, cuentas de mulas y patrones de pago aparecen en distintas entidades. Un modelo entrenado con un conjunto de datos más amplio puede reconocer un patrón ya visto en otro lugar, antes de que tus propios clientes pierdan dinero por su causa. Los modelos de Fraudio se entrenan con conjuntos de datos en red que abarcan miles de millones de transacciones, agrupados entre emisores, adquirentes y facilitadores de pago, de modo que un patrón visto en una entidad ayuda a proteger a las demás.
La sentencia pone la carga de la prueba en el banco. Si alguna vez necesitas demostrar negligencia grave, o motivos razonables para sospechar fraude del cliente, necesitas registros: qué señales saltaron, cuál fue la puntuación, qué acción se tomó y cuándo. Las puntuaciones explicables y los datos de casos almacenados convierten una discusión en evidencia. Fraudio da a cada transacción una puntuación y una clasificación, lo que ofrece a tu equipo un registro coherente de cómo se evaluó cada pago.
1. Velocidad. Pide el tiempo de respuesta bajo carga y comprueba que encaja con tus ventanas de autorización y de pagos instantáneos.
2. Contexto de la cuenta. Confirma que el modelo puntúa el pago con los eventos recientes de la cuenta a la vista, no solo con los campos del pago.
3. Opciones de intervención. Busca acciones de autenticación adicional, retención y revisión, no solo aprobar o rechazar.
4. Explicabilidad y registros. Comprueba que puedes ver por qué se marcó un pago y conservar los datos para disputas.
5. Cobertura. Las pérdidas por phishing suelen acabar en transferencias instantáneas o pagos con tarjeta. Una herramienta que ve más canales detecta más.
6. Prueba con tus datos. Pide al proveedor que puntúe tus transacciones históricas e informe tanto de la tasa de detección como de la de falsos positivos.
| Tema | Punto clave |
|---|---|
| La sentencia | Los bancos deben reembolsar con prontitud los pagos no autorizados, aunque sospechen negligencia grave |
| Plazo | Al final del día hábil siguiente a que el banco registre o conozca la operación |
| Recuperación | Solo es posible si el banco prueba intención o negligencia grave |
| Carga de la prueba | Recae en el banco |
| Excepción | Sospecha razonable de fraude del cliente, comunicada a la autoridad nacional |
| Dato clave | Fraude en pagos del EEE de 4.200 millones de euros en 2024, con pérdidas por transferencias un 16 % más |
| Mejor control | Frenar el pago antes de que salga con puntuación en tiempo real y fricción proporcionada |
Fraudio puntúa cada pago en tiempo real, usa datos en red para detectar patrones vistos en otros lugares y da a los bancos el control para retener pagos de riesgo en lugar de reembolsarlos después. Está pensada para bancos emisores, procesadores emisores y empresas de pagos, y entra en producción en días o semanas, con precios según uso y sin costes de implantación.
Habla con nuestro equipo sobre cómo frenar las pérdidas por phishing antes de que se conviertan en reembolsos: www.fraudio.com/contact-us
Según la sentencia del tribunal de la UE, un banco debe reembolsar con prontitud un pago no autorizado, incluso si cree que el cliente fue gravemente negligente. El reembolso se debe sin demora y, como muy tarde, al final del siguiente día hábil, si el cliente comunicó el pago sin demora indebida. El banco puede reclamar después al cliente si prueba intención o negligencia grave.
Un banco solo puede retener un reembolso si tiene motivos razonables para sospechar que el cliente cometió fraude y comunica esa sospecha a la autoridad nacional competente. Opinar que el cliente fue descuidado no basta. Los bancos deben buscar asesoramiento jurídico sobre cómo se aplica esto en su jurisdicción.
El banco paga primero el reembolso. Después puede reclamar una compensación al cliente, pero solo si prueba que actuó de forma intencionada o con negligencia grave, y la carga de la prueba es del banco. En la práctica, la recuperación es incierta, así que impedir el pago es la vía más segura.
Los bancos pueden prevenir las pérdidas por phishing puntuando cada pago en tiempo real con la actividad reciente de la cuenta a la vista, aplicando autenticación adicional a los pagos de riesgo y reteniendo los de mayor riesgo. La alerta temprana basada en datos de toda la red y un rastro de evidencias claro también ayudan. La detección tiene que funcionar antes de que se libere un pago instantáneo. La detección de fraude en pagos de Fraudio está pensada para esto: puntuación en tiempo real, reglas e IA a la vez, y datos de toda la red.
La autenticación reforzada de clientes frena muchos ataques, pero no detiene el phishing que engaña al cliente para que introduzca sus credenciales o apruebe un pago. La EBA y el BCE señalan que sigue siendo eficaz, pero que la manipulación de los pagadores es un riesgo creciente. La detección a nivel de transacción cubre ese hueco.
La detección de fraude en pagos de Fraudio puntúa cada transacción en tiempo real antes de que se apruebe o se libere, y la clasifica para que el banco pueda aprobar, revisar, pedir autenticación adicional o bloquear. Las reglas actúan primero y detrás analiza la IA, entrenada con datos en red de emisores, adquirentes y facilitadores de pago. Salen menos pagos de phishing de la cuenta y, por tanto, se deben menos reembolsos. La integración lleva de 3 a 14 días.
Los pagos instantáneos se liquidan en segundos y, en general, no pueden recuperarse como un pago con tarjeta que se disputa. Por eso la decisión debe tomarse antes de la liberación. Una puntuación que se devuelve en milisegundos permite al banco actuar sin ralentizar los pagos legítimos.
La implantación va desde menos de dos semanas hasta más de un año, según el proveedor. Fraudio se integra en 3 a 14 días y ofrece una prueba Proof of Results con tus datos históricos, para que los bancos puedan comparar resultados con su configuración actual antes de comprometerse.
¿Quieres probar nuestra solución y experimentar la próxima generación por ti mismo?
