Un cliente de BBVA en Albacete descubrió que alguien estaba utilizando su tarjeta bancaria para realizar compras a miles de kilómetros de distancia. No se trataba de una operación aislada. En apenas unos días, un desconocido había efectuado 22 compras en establecimientos de distintos países, utilizando la plataforma de pago Apple Pay y acumulando cargos por un importe total de 3.518,88 euros. El afectado reclamó al banco la devolución del dinero, pero el conflicto terminó en los tribunales. Ahora, la Justicia le ha dado la razón.
La Audiencia Provincial de Albacete ha confirmado la condena a Banco Bilbao Vizcaya Argentaria (BBVA), que deberá reintegrar al cliente los 3.518,88 euros sustraídos mediante las operaciones fraudulentas, además de los intereses legales correspondientes. Los magistrados consideran que la entidad bancaria no actuó con la diligencia necesaria para detectar una actividad claramente anómala y tampoco consiguió demostrar que el titular de la tarjeta hubiera cometido una negligencia grave que justificara atribuirle las pérdidas económicas.
Así consta en una sentencia de la Sección Primera de la Audiencia Provincial de Albacete, fechada el 8 de octubre de 2026 y a la que ha tenido acceso El Digital de Albacete, que desestima el recurso presentado por BBVA contra una resolución anterior del Juzgado de Primera Instancia Número 1 de Albacete.
Un desconocido consiguió registrar la tarjeta en Apple Pay
El origen del conflicto se encuentra en una operación de suplantación de identidad que permitió a un tercero desconocido hacerse con los datos de la tarjeta bancaria del afectado y con una clave de autenticación enviada mediante SMS a su teléfono móvil.
Con esa información, el autor del fraude consiguió registrar la tarjeta de BBVA en Apple Pay, la plataforma de pagos que permite efectuar compras utilizando dispositivos electrónicos compatibles.
Una vez incorporada fraudulentamente la tarjeta, el desconocido comenzó a realizar operaciones de comercio electrónico sin autorización de su verdadero titular.
La sentencia recoge que las 22 compras se efectuaron entre el 30 de junio y el 5 de julio, con cargos vinculados a establecimientos situados en Londres, Ámsterdam, Bruselas, Dublín, Países Bajos y Arabia Saudí.
Los movimientos terminaron acumulando 3.518,88 euros hasta que el cliente detectó lo ocurrido el 5 de julio y procedió a dar de baja la tarjeta para impedir nuevas operaciones.
El procedimiento judicial no ha permitido esclarecer de qué manera consiguió el tercero acceder a toda la información necesaria para activar el sistema de pago. Sin embargo, la Audiencia considera que esa circunstancia no permite atribuir automáticamente al perjudicado una conducta negligente.
El banco aseguró que su sistema funcionó correctamente
Uno de los elementos centrales del litigio fue la defensa presentada por BBVA.
La entidad bancaria sostuvo que las operaciones se habían realizado utilizando los datos y las claves de autenticación correspondientes a la tarjeta del cliente y que su sistema informático había funcionado correctamente.
De hecho, la propia Audiencia reconoce que no consta ninguna brecha de seguridad ni un fallo técnico en el sistema de banca digital de BBVA.
Las operaciones fueron autenticadas, registradas y contabilizadas correctamente desde el punto de vista técnico.
Sin embargo, los magistrados establecen una diferencia fundamental: que una transacción haya superado los mecanismos de autenticación no significa necesariamente que haya sido autorizada por el verdadero titular de la tarjeta.
La sentencia recuerda que los pagos efectuados a través de Apple Pay, una vez registrada la tarjeta, no exigían una nueva autenticación en el sistema de BBVA, al bastar las credenciales configuradas en la propia plataforma.
Por ello, el hecho de que alguien hubiera conseguido vincular fraudulentamente la tarjeta a Apple Pay permitió que las compras posteriores se ejecutaran sin que el banco detectara a tiempo la utilización indebida.
Veintidós compras en distintos países que debieron levantar sospechas
La Audiencia Provincial considera especialmente relevante el comportamiento de las operaciones realizadas con la tarjeta.
No se trató de un uso habitual ni de compras aisladas. Durante un periodo muy reducido se ejecutaron 22 transacciones de comercio electrónico en establecimientos extranjeros situados en lugares geográficamente muy diferentes.
Para el tribunal, ese patrón debía haber despertado sospechas y provocado una reacción por parte de la entidad financiera.
Los magistrados destacan que BBVA no acreditó que semejante actividad fuera normal en el historial de operaciones del cliente.
Por el contrario, el perjudicado declaró que apenas utilizaba la tarjeta bancaria y que, cuando lo hacía, era principalmente para sacar dinero o pagar alguna compra presencial.
También manifestó que no realizaba operaciones de comercio electrónico porque no sabía utilizar ese sistema.
La sentencia considera que estas circunstancias reforzaban el carácter extraordinario de los movimientos fraudulentos.
El tribunal entiende que la entidad debería haber aplicado alguna medida adicional de seguridad, como paralizar temporalmente determinadas operaciones o solicitar una confirmación personal del titular antes de permitir que continuaran los cargos.
Sin embargo, no consta que se adoptaran medidas suficientes para impedir las operaciones denunciadas.
Un SMS no basta para demostrar que el cliente autorizó los pagos
Otro aspecto importante de la resolución afecta a las comunicaciones bancarias.
La Audiencia señala que no resulta suficiente acreditar el envío de un SMS cuando no consta que el verdadero usuario lo recibiera efectivamente ni que pudiera comprender su significado.
La entidad financiera tampoco demostró que el cliente hubiera facilitado voluntariamente sus claves o actuado de manera fraudulenta.
Los magistrados recuerdan que corresponde al proveedor de servicios de pago demostrar que el usuario cometió una negligencia grave cuando pretende trasladarle las consecuencias económicas de operaciones que este niega haber autorizado.
En este caso, BBVA no consiguió acreditar esa circunstancia.
La Sala rechaza que pueda presumirse una negligencia grave del consumidor simplemente porque se desconozca cómo consiguieron los delincuentes acceder a los datos y a las claves necesarias para efectuar los pagos.
La responsabilidad de los bancos ante operaciones fraudulentas
La sentencia se apoya en la normativa española sobre servicios de pago y en la jurisprudencia del Tribunal Supremo, especialmente en una resolución de abril de 2025 que analiza la responsabilidad de las entidades financieras cuando se producen operaciones no autorizadas.
El tribunal recuerda que los bancos no solo deben garantizar que sus sistemas funcionen técnicamente, sino también disponer de mecanismos capaces de identificar comportamientos anómalos.
Entre las circunstancias que pueden justificar una alerta se encuentran la acumulación de operaciones en un espacio de tiempo reducido, los importes, los horarios, los destinatarios y las diferencias respecto al uso habitual de la cuenta.
El objetivo de estos sistemas de supervisión es detectar posibles fraudes y permitir que la entidad adopte medidas antes de que las pérdidas económicas continúen aumentando.
En el caso examinado, la Audiencia considera que la falta de reacción de BBVA ante las 22 compras fraudulentas constituyó una deficiencia en el servicio de pago, aunque los mecanismos técnicos de autenticación hubieran funcionado correctamente.
La resolución insiste en que las entidades financieras deben aplicar un nivel elevado de diligencia debido a los riesgos inherentes a los servicios que prestan.
BBVA deberá devolver el dinero y asumir las costas
El conflicto ya había sido examinado por el Juzgado de Primera Instancia Número 1 de Albacete, que dictó sentencia el 31 de enero de 2024 estimando íntegramente la demanda del cliente.
Aquella resolución condenó a BBVA a devolver los 3.518,88 euros, más los intereses legales desde la reclamación judicial, y a asumir las costas procesales.
La entidad financiera recurrió el pronunciamiento ante la Audiencia Provincial de Albacete, solicitando que se revocara la condena y se desestimara íntegramente la reclamación del perjudicado.
Sin embargo, el tribunal provincial ha rechazado los argumentos del banco y confirmado la sentencia anterior.
Además, impone a BBVA las costas correspondientes al recurso de apelación.
De esta manera, la Justicia respalda la reclamación del cliente al concluir que el banco no acreditó una negligencia grave por su parte y que debería haber reaccionado ante una actividad de pago tan inusual.
El caso pone de relieve que una operación bancaria correctamente autenticada no equivale necesariamente a una operación autorizada, y que las entidades financieras pueden resultar responsables cuando no adoptan medidas suficientes para detectar y frenar movimientos fraudulentos.
