Una mujer con discapacidad entró en su sucursal del Banco Santander para actualizar la libreta. Entre los movimientos impresos había uno que no reconocía: una transferencia de 30.000 euros, ordenada el día anterior por internet, un canal que ella no había usado nunca para pagar nada. El banco reconoció que aquello era un fraude y aun así se negó a devolverle el dinero, porque para la entidad la transferencia era irreversible. Ahora una sentencia obliga a Santander a devolverle los 30.000 euros, con intereses y costas.
Era clienta de esa entidad desde hacía más de veinte años. Usaba la cuenta para una sola cosa: cobrar la pensión y pagar los gastos de cada día. Tiene limitaciones físicas y cognitivas importantes, y según la sentencia jamás había hecho operaciones complejas ni había ordenado una transferencia desde el móvil o el ordenador.
Con una pensión de 1.000 euros al mes, treinta mil euros son dos años y medio cobrándola entera.
La llamada que parecía venir del banco
Poco antes había contratado un fondo de inversión que le ofreció una empleada de su propio banco. Después recibió una llamada. Al otro lado, alguien que decía ser del Santander y que manejaba datos reales de sus cuentas y de sus movimientos, lo justo para que no sospechara.
Acababa de firmar en su oficina un producto nuevo, así que una llamada del banco para hablar de su dinero no tenía nada de raro. Los estafadores contaban con eso.
No hubo un SMS con un enlace raro ni un correo mal escrito. Los estafadores usaron lo que se conoce como call spoofing: un truco que falsea el número que sale en la pantalla para que la llamada parezca hecha desde la entidad. Con una llamada desde el número oficial de su banco remataron también el engaño a un matrimonio de pensionistas al que culparon de caer en un SMS falso.
Una vez ganada su confianza, le pidieron que instalara AnyDesk, una aplicación legal de acceso remoto, la misma que usan muchos servicios técnicos para arreglar un equipo a distancia. Desde ese momento, el teléfono lo manejaban ellos. Hicieron altas en plataformas de criptomonedas y ordenaron la transferencia.
Desde fuera, parecía que la clienta lo había hecho todo por su cuenta.
Ella no supo nada hasta la mañana siguiente, cuando el dinero ya había salido y la libreta lo enseñaba en una línea más.
Para el juez, una transferencia así tenía que hacer saltar las alarmas
Que la operación estuviera formalmente autenticada no le sirve de nada al banco. La sentencia dice que una entidad tiene que contar con sistemas capaces de detectar operaciones anómalas y de frenarlas cuando hay indicios de fraude, y que en este caso los indicios estaban todos a la vista.
Una clienta que nunca había usado la banca digital para pagar ordenaba de golpe una transferencia de un importe muy por encima de lo que solía mover. Para el juez, eso era "un claro indicador de riesgo susceptible de activar mecanismos reforzados de control, verificación o bloqueo preventivo". Nada de eso se activó.
"Ninguna explicación satisfactoria se ha ofrecido acerca de las razones por las que una transferencia de tan elevado importe, realizada digitalmente por una cliente que jamás había utilizado ese canal para ordenar pagos, no generó mecanismos de alerta suficientes"
Sentencia que condena al Banco Santander
Actuó como lo habría hecho cualquier cliente en su situación
La otra salida del banco era culparla a ella. Si el cliente comete una negligencia grave, por ejemplo dando sus claves a un desconocido, la entidad puede librarse de devolver. El juez lo descarta: la mujer se comportó como lo haría un consumidor medio en una posición de especial vulnerabilidad, frente a una estrategia pensada precisamente para ganarse su confianza.
La sentencia insiste en que esto no es el phishing de siempre, en el que la víctima entrega sus contraseñas. Aquí ella no entregó nada: le quitaron el control del teléfono y lo usaron como si fueran ella.
Y la carga de la prueba no es suya. La norma que regula los pagos con tarjeta y las transferencias, el Real Decreto-ley 19/2018, obliga al banco a demostrar que la operación se autenticó, registró y contabilizó bien, y también que el cliente actuó con fraude o con negligencia grave cuando dice que no la autorizó. Con esa misma ley, la Audiencia de Barcelona ya obligó a devolver el dinero a una clienta engañada por un falso empleado de Bankinter.
Una demanda ganada entera
La demanda la presentó la Unión de Consumidores de Asturias, y la sentencia, que se conoció el 8 de octubre de 2026, le da la razón en todo. Santander tiene que pagar los 30.000 euros, los intereses legales desde que se le reclamó por escrito, antes de ir a juicio, y las costas del procedimiento.
Lo difundido no dice qué juzgado la dictó ni si ya es firme. Como la clienta lo ha ganado todo, la única parte que podría recurrir es el banco.
Para el presidente de la asociación, Dacio Alonso, los bancos "no pueden conformarse con colgar avisos genéricos en sus webs": la normativa les pide medidas activas para proteger a sus clientes.
Dónde se reclama una transferencia que no ordenaste
Lo primero es avisar al banco, por escrito y cuanto antes, y poner la denuncia en comisaría o en el cuartel: es el papel que demuestra que no fuiste tú. Si la entidad dice que no, como pasó aquí, la reclamación va a su servicio de atención al cliente. Después queda el Banco de España, que es gratis pero cuyo informe no obliga al banco, o el juzgado, que es el camino que tomó esta clienta con una asociación de consumidores.
Trece meses para avisar al banco
Desde el cargo, hay trece meses para comunicar una operación que no autorizaste. El banco tiene que devolverla como tarde al final del día hábil siguiente, salvo que sospeche fraude del propio cliente y se lo comunique por escrito al Banco de España. Una reclamación sobre servicios de pago se contesta en 15 días hábiles.
Ella no había ordenado una transferencia por internet en su vida, y la única que salió de su cuenta la tiene que devolver Santander.
