La Audiencia Provincial de Albacete ha confirmado que Unicaja deberá devolver 5.300 euros a un cliente víctima de una estafa bancaria ocurrida en Hellín, pese a que la propia Sala considera que el usuario actuó con “negligencia grave” al facilitar sus claves y autorizar mediante un código OTP la vinculación de un nuevo dispositivo a su banca digital.
La resolución, dictada el 22 de julio de 2026, desestima el recurso presentado por Unicaja contra la sentencia del Juzgado de Primera Instancia número 2 de Hellín, que ya había condenado a la entidad a reintegrar al cliente los 5.300 euros, más los correspondientes intereses. La decisión de la Audiencia es definitiva, ya que la sentencia establece expresamente que no cabe recurso alguno.
Un SMS que parecía proceder del banco
Todo comenzó el 11 de junio de 2022, alrededor de las 15:58 horas. El cliente recibió un SMS aparentemente enviado por Unicaja en el que se le advertía de que se había detectado un acceso inusual a su cuenta online y se le pedía que verificara sus datos mediante un enlace si no reconocía el nuevo dispositivo.
El hombre accedió al enlace y facilitó allí sus claves de banca electrónica creyendo que se encontraba ante una comunicación legítima de su entidad. Posteriormente recibió en su teléfono una clave OTP y la utilizó para autorizar la vinculación de otro dispositivo a su banca digital. A partir de ese momento, los estafadores pudieron operar desde ese segundo terminal.
Desde el nuevo dispositivo se realizaron inmediatamente dos transferencias internacionales, una de 3.200 euros y otra de 2.100 euros, que sumaron los 5.300 euros reclamados posteriormente al banco. Al día siguiente, cuando el cliente descubrió lo ocurrido, presentó denuncia ante la Guardia Civil.
La Audiencia sí aprecia “negligencia grave”
Unicaja recurrió la primera sentencia y defendió que el cliente había actuado de forma especialmente imprudente. La entidad puso el foco no solo en que hubiera introducido su usuario y contraseña en una página a la que había accedido mediante un enlace recibido por SMS, sino principalmente en que posteriormente autorizara mediante una OTP la vinculación de un teléfono distinto.
La Audiencia da parcialmente la razón al banco en ese punto. La sentencia considera que el primer engaño puede resultar comprensible para un usuario poco familiarizado con la banca digital, pero entiende que autorizar un nuevo dispositivo mediante una clave enviada expresamente al teléfono “sí debió levantar graves sospechas”. Por ese motivo, la Sala concluye que existió negligencia grave por parte del usuario.
Sin embargo, esa conclusión no basta para liberar a Unicaja de responsabilidad.
Dos transferencias internacionales inmediatamente después
La Audiencia explica que para trasladar al cliente todas las pérdidas no resulta suficiente con demostrar que este actuó de manera fraudulenta o con negligencia grave. También es necesario que la entidad bancaria pruebe que la operación no estuvo afectada por un fallo técnico o por alguna deficiencia en el servicio prestado.
La Sala recuerda que la diligencia exigible a una entidad que presta servicios de pago es especialmente elevada y que los bancos deben disponer de mecanismos capaces de identificar operaciones anómalas. Entre esos indicadores pueden encontrarse la realización de varias transferencias seguidas, su cuantía, el horario, los destinatarios o cambios repentinos en la forma habitual de operar del cliente.
En este caso, la Audiencia considera particularmente sospechosa la secuencia de los hechos. El usuario autorizó desde su teléfono habitual la incorporación de un nuevo dispositivo y, de forma prácticamente inmediata, desde ese otro terminal se efectuaron dos transferencias internacionales por 3.200 y 2.100 euros.
El banco debía haber adoptado otra medida de seguridad
La Sala entiende que esa operativa debía haber activado algún mecanismo adicional de protección. La sentencia señala que resultaba anómalo que, justo después de vincular un teléfono distinto, se realizaran desde ese nuevo dispositivo dos transferencias internacionales cuando el cliente podía haber llevado a cabo esas mismas operaciones desde el terminal que ya tenía asociado.
Ese comportamiento, según la Audiencia, debió llevar al banco a adoptar alguna medida adicional de seguridad ante una operación “sospechosamente anómala”. La Sala destaca además que este tipo de fraude mediante la vinculación de nuevos dispositivos no era una operativa desconocida.
La resolución también aclara que las transferencias no fueron autorizadas realmente por el cliente en el sentido jurídico del término. Aunque técnicamente se ejecutaron utilizando sus credenciales y las claves OTP recibidas en el nuevo dispositivo, las órdenes de pago fueron realizadas por terceros que actuaban fraudulentamente.
Unicaja tendrá que devolver los 5.300 euros
Con todos estos elementos, la Audiencia Provincial desestima el recurso de Unicaja y confirma íntegramente la sentencia de primera instancia. El banco deberá devolver al cliente 5.300 euros, además de los intereses correspondientes, y asumir también las costas de la apelación.
El caso deja una conclusión especialmente llamativa: el cliente actuó con negligencia grave, pero eso no exoneró automáticamente al banco porque la entidad tampoco acreditó que su servicio hubiera reaccionado con la diligencia necesaria ante una secuencia de operaciones que la propia Audiencia considera claramente anómala.
