Considero de máxima actualidad y debido al número de ataques que se están recibiendo por usuarios de entidades bancarias abordar esta modalidad defraudatoria en la que a quien se suplanta es al propio proveedor de servicios de pago.
La víctima recibe una llamada telefónica en la que un supuesto empleado del departamento antifraude de su entidad le comunica la detección de una operación no autorizada o sospechosa, normalmente un cargo o una transferencia de importe llamativo, y le ofrece asistencia inmediata para bloquearla o revertirla.
La conversación está guionizada para generar un estado de alarma y una presión temporal que impidan la verificación, y desemboca en una de dos salidas: o bien la obtención de las credenciales de seguridad personalizadas y de los códigos de autenticación reforzada, con los que el defraudador ejecuta él mismo la disposición, o bien la inducción a que sea la propia víctima quien traslade los fondos a una «cuenta segura», «cuenta espejo» o «cuenta puente» presentada como una supuesta custodia provisional de la entidad. Esta bifurcación, que en la vivencia de la víctima es indiferente, resulta jurídicamente decisiva, porque de ella depende el régimen de responsabilidad aplicable.
Apariencia de legitimidad legal
El elemento que dota de eficacia al engaño es la apariencia de legitimidad del canal. La llamada entra con un identificador de línea llamante nacional, visible y verosímil, en ocasiones el propio número de atención al cliente que la víctima puede contrastar en el reverso de su tarjeta o en la web de la entidad.
Ello obedece a que los protocolos de señalización sobre los que se cursa la interconexión telefónica no fueron concebidos para autenticar el origen de la llamada, de modo que el identificador se transmite como un dato declarado por quien la origina y no como un atributo verificado por la red.
A ello se suma, con frecuencia, un mensaje previo o simultáneo que se aloja en el mismo hilo de conversación de los mensajes legítimos del banco, por reutilización del alias remitente, con lo que la víctima percibe una continuidad que refuerza la credibilidad del interlocutor.
Merece atención, no obstante, una variante que se está consolidando y que desplaza el problema: llamadas efectuadas desde numeración española realmente atribuida, no oculta y perfectamente rastreable, correspondiente a líneas contratadas mediante identidades falsas o testaferros.
No hay entonces falsificación del identificador, sino utilización de numeración legítima con finalidad ilícita, matiz que, como se verá, sitúa la conducta fuera del alcance de buena parte de la respuesta regulatoria vigente.
Inteligencia artificial generativa detrás
La inteligencia artificial generativa opera en esta modalidad como potenciador del fraude en un sentido preciso: no crea el engaño, que es tan antiguo como el timo telefónico, pero multiplica exponencialmente su propogacion y también su verosimilitud cualitativamente, multiplicando el éxito del engaño.
La síntesis de voz neuronal permite clonar el timbre, el acento y la entonación de un locutor a partir de muestras de pocos segundos, y los agentes conversacionales de última generación sostienen un diálogo en tiempo real, con latencia inapreciable, capaces de responder a las objeciones de la víctima, sortear sus preguntas de control y adaptar el registro al perfil del interlocutor.
Desaparecen así los indicadores tradicionales de sospecha que sustentaban la autoprotección del ciudadano medio: el acento extranjero, la lectura mecánica del guion, la incapacidad de improvisar.
A ello se añade el perfilado previo mediante datos procedentes de filtraciones masivas y mercados de credenciales, que permite al defraudador iniciar la conversación citando el nombre completo del titular, su entidad, los últimos dígitos de su tarjeta o un movimiento real reciente, elementos que la víctima interpreta razonablemente como prueba de autenticidad y que conducen al error.
Finalmente, el abaratamiento de estas herramientas ha industrializado la ejecución, permitiendo campañas simultáneas sobre miles de destinatarios a coste marginal decreciente y sin correlación alguna entre la sofisticación del ataque y la capacidad técnica de quien lo lanza, en la lógica del cibercrimen-como-servicio.
Clonación de voz
El análisis del Servicio de Estudios del Parlamento Europeo sobre llamadas fraudulentas en la era de la inteligencia artificial generativa, publicado en octubre de 2025, constata que la clonación de voz se nutre de la exposición pública de muestras vocales de más de la mitad de la población, registra que durante 2024 se produjo un ataque mediante deepfake aproximadamente cada cinco minutos y documenta que en algunos Estados miembros los intentos de vishing llegaron a triplicarse en términos interanuales.
Por su parte, el Internet Organised Crime Threat Assessment de Europol correspondiente a 2025, significativamente subtitulado en referencia al robo, la venta y la reutilización de datos, sitúa en el centro de la amenaza la conversión del dato personal en mercancía: los datos sustraídos operan sucesivamente como objetivo, como medio y como objeto de comercio, y alimentan técnicas de suplantación mediante deepfake y de elusión de la autenticación reforzada.
La convergencia de ambos diagnósticos ilumina la anatomía del fraude que nos ocupa, pues la llamada convincente es solo el último eslabón de una cadena que comienza en la filtración de datos y en su comercialización en mercados ilícitos muchos de ellos en la deepweb.
Conviene añadir que las obligaciones de transparencia del artículo 50 del Reglamento (UE) 2024/1689, aplicables desde el 2 de agosto de 2026, imponen el marcado del contenido sintético, pero su eficacia frente a quien delinque es, por definición, limitada: el defraudador no marca su voz clonada, de modo que la norma desplaza su utilidad práctica hacia la detección técnica y la prueba, no hacia la prevención.
En el plano penal, cuando la víctima, inducida a error por el engaño, realiza voluntariamente el acto de disposición patrimonial ordenando la transferencia a la pretendida cuenta segura, la conducta integra el tipo básico de estafa del artículo 248 del Código Penal, existiendo un desplazamiento consentido aunque viciado.
Manipulación informática
Cuando, en cambio, el defraudador obtiene las credenciales y los códigos de autenticación y ejecuta por sí la operación sin nueva intervención humana en la cadena de aprobación, la conducta se reconduce a la estafa informática del artículo 249.1.a) del Código Penal, en la redacción dada por la Ley Orgánica 14/2022, de 22 de diciembre, por tratarse de una transferencia no consentida de un activo patrimonial obtenida mediante manipulación informática o artificio semejante.
La dinámica es frecuentemente mixta, pues el engaño telefónico opera como presupuesto de la ulterior manipulación, lo que en la práctica conduce a soluciones concursales.
La suplantación telefónica del empleado bancario no integra, a mi juicio, el delito de usurpación del estado civil del artículo 401, conforme a la doctrina reiterada por la sentencia del Tribunal Supremo 2/2025, de 15 de enero, que exige la asunción continuada de la totalidad de la personalidad ajena y no actos puntuales realizados con la identidad de otro.
Y la posición del titular de la cuenta receptora se resuelve, según el grado de concierto previo y de dominio funcional del hecho, entre el blanqueo imprudente del artículo 301.3 y la coautoría en la propia estafa.
La cuestión civil es la más relevante en la práctica, y su resolución depende por entero de la bifurcación descrita al inicio.
Dos escenarios
Si el defraudador ejecuta la disposición con las credenciales obtenidas, estamos ante una operación de pago no autorizada, y opera el régimen del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, transposición de la Directiva (UE) 2015/2366.
Su artículo 44 impone al proveedor la carga de probar que la operación fue autenticada, registrada con exactitud y contabilizada, sin que el mero registro del uso del instrumento baste para acreditar la autorización; su artículo 45 obliga a devolver el importe de inmediato, salvo motivos razonables para sospechar fraude comunicados al Banco de España; y su artículo 46 limita la exposición del ordenante a una franquicia de cincuenta euros, salvo que hubiera actuado fraudulentamente o incumplido deliberadamente o por negligencia grave las obligaciones del artículo 41.
Si, por el contrario, es la víctima quien emite la orden de pago, la operación está autorizada en sentido técnico y el régimen anterior no resulta aplicable, desplazándose el análisis al terreno del identificador único y de la doctrina sentada por la sentencia del Tribunal de Justicia de la Unión Europea de 21 de marzo de 2019, asunto C-245/18, Tecnoservice.
De ahí que a mi entender la primera tarea del profesional que asume la reclamación sea establecer con precisión, y con prueba, cuál de los dos escenarios concurre.
Sobre este armazón inciden dos desarrollos recientes de signo convergente.
De un lado, la sentencia del Tribunal Supremo 571/2025, de 9 de abril (ECLI:ES:TS:2025:1671), de la Sala Primera, dictada en un supuesto de phishing combinado con duplicado fraudulento de tarjeta SIM, que precisa que la diligencia exigible a la entidad no se agota en el correcto funcionamiento técnico del sistema de autenticación, sino que comprende la activación de alertas ante operativa anómala y una reacción efectiva del personal ante los indicios de fraude conocidos, de modo que la pasividad evidencia una prestación defectuosa del servicio.
Importa subrayar, no obstante, que la condena descansó sobre las circunstancias singulares del caso, una ráfaga de quince operaciones sucesivas ejecutadas de madrugada tras el duplicado de la tarjeta, sin reacción de la entidad, por lo que, a contrario, la entidad que monitoriza la operativa, alerta al cliente y reacciona con diligencia ante los indicios queda fuera del reproche que la sentencia formula.
Abogado general del TJUE
De otro, las conclusiones del Abogado General presentadas el 5 de marzo de 2026 en el asunto C-70/25, que postulan que la obligación de reembolso inmediato del artículo 73 de la Directiva (UE) 2015/2366 opera con independencia de la eventual negligencia grave del usuario, quedando esta cuestión diferida a una reclamación posterior de la entidad, en aplicación de un canon próximo al solve et repete.
El asunto se encuentra pendiente de sentencia al tiempo de redactar estas líneas, y conviene por ello la prudencia: las conclusiones no vinculan al Tribunal.
Conviene además situar el alcance real de la propuesta en sus justos términos: el propio Abogado General deja íntegra la acción posterior de la entidad contra el usuario que hubiera incumplido deliberadamente o por negligencia grave sus obligaciones, de modo que el canon no altera quién soporta finalmente la pérdida, sino únicamente el orden temporal de las prestaciones, y el artículo 45.1 del Real Decreto-ley 19/2018 mantiene en todo caso la excepción por motivos razonables de sospecha de fraude comunicados al Banco de España.
No es objeción menor, por lo demás, la que el sector puede legítimamente oponer: un reembolso automático y previo a toda verificación genera incentivos al denominado fraude amistoso, en el que es el propio ordenante quien simula la operación no autorizada, y traslada a la entidad un riesgo de azar moral que el legislador de 2018 quiso precisamente acotar mediante el juego de los artículos 44 a 46.
Los esfuerzos de los bancos
Sería injusto, con todo, retratar a las entidades bancarias como sujetos pasivos del fenómeno.
El sector viene desplegando un esfuerzo extraordinario de prevención en un triple plano. En el informativo, mediante campañas sistemáticas de concienciación, de las que es muestra «Protégete, evitar el fraude está en tus manos», lanzada en abril de 2024 por las asociaciones del sector, AEB, CECA, UNACC y ASNEF, junto con INCIBE, la Policía Nacional y la Guardia Civil, y mediante advertencias constantes en aplicaciones, páginas web y comunicaciones a clientes, que reiteran que la entidad nunca solicitará por teléfono claves, códigos ni traspasos a cuentas de custodia.
En el técnico, mediante la autenticación reforzada de clientes, la monitorización transaccional en tiempo real con puntuación de riesgo de cada operación, las alertas y retenciones ante operativa anómala y, más recientemente, sistemas de llamadas verificadas que permiten al cliente comprobar desde la propia aplicación si quien le telefonea es realmente su banco, funcionalidad desplegada ya por alguna entidad precisamente para neutralizar la suplantación del identificador de llamada.
Y en el institucional, impulsando la colaboración público-privada, con propuestas formuladas en diciembre de 2025 por las asociaciones del sector que incluyen la creación de un repositorio oficial de numeración sospechosa y protocolos estandarizados de intercambio de información sobre patrones de fraude.
Este esfuerzo tiene, además, una doble proyección jurídica: de un lado, integra el estándar de diligencia proactiva que la doctrina de la Sala Primera exige a la entidad; de otro, eleva correlativamente el listón de la excusabilidad del usuario, pues la valoración de la negligencia grave no puede prescindir de que el cliente haya sido reiterada y personalmente advertido de que su banco jamás le pedirá credenciales por teléfono.
La respuesta específica del ordenamiento español a esta modalidad no procede, sin embargo, del derecho bancario, sino del sectorial de telecomunicaciones.
Una Orden decisiva
La Orden TDF/149/2025, de 12 de febrero, establece medidas para combatir las estafas de suplantación de identidad a través de llamadas y mensajes fraudulentos. Sus artículos 4 y 5 obligan a los operadores a bloquear las llamadas con identificador vacío o con numeración española no atribuida, así como las procedentes del extranjero que exhiban numeración española fuera de los supuestos de itinerancia; los artículos 6 y 7 extienden un régimen equivalente a los mensajes SMS; el artículo 8 somete el uso de alias alfanuméricos a inscripción previa en un registro gestionado por la Comisión Nacional de los Mercados y la Competencia, desarrollado por la Circular 1/2026, de 18 de marzo, de dicha Comisión; el artículo 9 prohíbe emplear numeración móvil para la realización de llamadas comerciales no solicitadas y para la atención al cliente, obligación exigible desde el 7 de junio de 2025; y el artículo 10 habilita los rangos 800 y 900 para que el usuario pueda devolver la llamada de forma gratuita. Se trata de un despliegue escalonado y técnicamente solvente.
Su límite es, no obstante, estructural: la Orden combate la falsificación del identificador y la utilización de numeración no atribuida, pero no alcanza al empleo de numeración española legítimamente asignada a un abonado, que es precisamente el vector hacia el que la actividad defraudatoria se está desplazando. El eslabón débil no es ya la señalización, sino el control de identidad en la contratación de líneas.
El horizonte normativo europeo apunta, en cambio, a una reasignación del riesgo. El Reglamento (UE) 2024/886, sobre transferencias inmediatas en euros, ha generalizado el servicio de verificación del beneficiario, concebido como herramienta de alerta y no de bloqueo, de modo que la advertencia informa la decisión del ordenante sin sustraerle sus consecuencias.
Mayor alcance tiene la propuesta de Reglamento de servicios de pago, COM(2023) 367 final, integrada en el paquete PSD3/PSR, cuyo artículo 59 contempla expresamente el denominado fraude de suplantación, aquel en que el defraudador se hace pasar por un empleado del proveedor de servicios de pago mediante el uso ilícito de su nombre, dirección de correo o número de teléfono, e induce por ese medio una operación autorizada. La disposición reconoce al consumidor el derecho al reembolso, condicionado a la presentación de denuncia y a la notificación sin demora indebida a la entidad, y admite como excepción la actuación fraudulenta o gravemente negligente del propio usuario.
Alcanzado el acuerdo político sobre el paquete y confirmado su texto en sede de Consejo, resta la publicación en el Diario Oficial y el transcurso de los plazos de aplicación, por lo que la formulación definitiva y su calendario deberán verificarse sobre el texto finalmente publicado.
La orientación, con todo, es inequívoca: el legislador europeo asume que la suplantación del propio proveedor de servicios de pago constituye un riesgo que este se encuentra en mejor posición para prevenir, y traslada a la entidad la carga de acreditar la negligencia del cliente en lugar de presumirla.
Dos conclusiones
De cuanto antecede cabe extraer una conclusión práctica y otra dogmática.
La primera es que el punto crítico se sitúa en la llamada, y la única regla de conducta verdaderamente eficaz consiste en interrumpir la comunicación y devolverla por un canal previamente conocido, nunca por el que el interlocutor facilite, teniendo presente que ninguna entidad solicita telefónicamente claves de firma ni códigos de autenticación, ni requiere el traslado de fondos a cuentas de custodia.
La segunda es que la distinción entre operación autorizada y no autorizada constituye la piedra angular del sistema de responsabilidad querido por el legislador, y debe seguir siéndolo.
Cuando la víctima, por convincente que fuera el engaño, emite por sí la orden de pago, el desplazamiento de ese riesgo hacia el proveedor de servicios de pago no puede alcanzarse por vía de interpretaciones judiciales expansivas de la posición de garante de la entidad, sino que constituye, en su caso, una opción de política legislativa que corresponde al legislador europeo y que la propuesta de Reglamento de servicios de pago aborda con notable equilibrio: aun en el supuesto de suplantación de la propia entidad, el reembolso queda condicionado a la denuncia, a la notificación diligente y, señaladamente, a la ausencia de negligencia grave del usuario, categoría en la que la desatención de las advertencias que la entidad le ha dirigido de forma reiterada y personalizada ha de ocupar un lugar central.
Ni siquiera de lege ferenda se consagra, pues, una responsabilidad objetiva del proveedor. El ciudadano se mide, ciertamente, frente a un adversario que dispone de voz clonada, numeración verosímil y muchas veces conocimiento previo de su vida financiera; pero la respuesta a esa asimetría está en la prevención tecnológica y regulatoria y en la colaboración de todos los actores implicados, incluido el propio usuario, no en convertir a la entidad en aseguradora universal de un fraude que se consuma extramuros de sus sistemas.
