Fraude del CEO o del falso proveedor: cuándo responde el banco

El caso, en cinco líneas

Qué se ejercita

Acción de responsabilidad contractual contra el banco de la empresa (arts. 1101 y 1104 CC), para el reembolso que impone el artículo 5 quater.8 del Reglamento (UE) 260/2012 si el cotejo entre nombre e IBAN no se hizo o falló, o por falta de la diligencia exigible. Además, acción extracontractual (art. 1902 CC) contra el banco de la cuenta de destino y, si la brecha estuvo en su lado, contra el proveedor.

Ante quién

La sección civil del Tribunal de Instancia del domicilio del banco, o del lugar donde nació la relación si allí tiene sucursal (art. 51.1 LEC); la sumisión expresa de un contrato de adhesión no vale (art. 54.2 LEC). Por encima de 15.000 euros, juicio ordinario, con apelación ante la Audiencia Provincial. Frente a un banco de otro Estado de la Unión, la competencia la fija el Reglamento Bruselas I bis.

Plazo

Aviso al banco sin demora injustificada y, como máximo, trece meses desde la fecha del adeudo (art. 43 RDL 19/2018), o el plazo distinto que fije el contrato, que el artículo 34 permite pactar con quien no es consumidor. La acción contra el propio banco prescribe a los cinco años (art. 1964.2 CC); la extracontractual contra el banco de destino o el proveedor, al año desde que la empresa supo del daño (art. 1968.2 CC). Ambas se interrumpen por reclamación extrajudicial (art. 1973 CC).

Quién puede

Activa: la empresa ordenante, a través de su órgano de administración, y su aseguradora en lo que haya indemnizado (art. 43 LCS). Pasiva: el banco de la empresa; el banco de la cuenta de destino, por su propia culpa; el proveedor cuyo correo fue intervenido, si la brecha estuvo en su lado; y el titular de la cuenta que recibió el dinero.

Riesgo económico

Si la demanda se desestima entera, la empresa paga las costas, con el tope de un tercio de la cuantía para honorarios (art. 394.3 LEC), salvo serias dudas de hecho o de derecho; si el banco rehusó negociar antes, queda exenta, salvo abuso (art. 394.4 LEC). Con culpa de ambas partes, el tribunal puede moderar la condena (art. 1103 CC). El embargo preventivo exige caución, que responde de los daños si la medida se alza.

Una orden dada con engaño no es una operación no autorizada

Es el primer error y el más caro. En el fraude del CEO o del falso proveedor nadie robó las claves: un empleado de su empresa, engañado, introdujo el IBAN y firmó la orden. Plantearlo como operación no autorizada, la vía del phishing en la que el banco devuelve a más tardar al final del día hábil siguiente, choca con los registros del banco, que acreditarán que la orden salió de su banca electrónica con las credenciales de quien debía darla.

El punto de partida legal es incómodo. El artículo 59 del RDL 19/2018 dice que, cuando una orden se ejecuta de acuerdo con el identificador único, se considera correctamente ejecutada en relación con el beneficiario de ese identificador, y que si el identificador facilitado es incorrecto el banco no responde de la ejecución defectuosa. Durante años esa regla cerró la puerta: mandaba el IBAN, aunque el nombre escrito fuera el de su proveedor y la cuenta perteneciera a un tercero.

Pero el mismo artículo impone dos deberes que el artículo 34 no permite excluir por contrato. El banco del ordenante debe esforzarse razonablemente por recuperar los fondos, con la cooperación del banco del beneficiario, y si no lo consigue debe facilitarle, previa solicitud por escrito, toda la información de que disponga para que interponga una reclamación legal. Un banco que tardó dos días en pedir la devolución al banco de destino, o que se niega a dar los datos del titular de la cuenta, tiene ya un incumplimiento concreto que explicar.

Desde el 9 de octubre de 2025 el banco debe cotejar el nombre con el IBAN

El Reglamento (UE) 2024/886 introdujo en el Reglamento 260/2012 el artículo 5 quater, exigible a los bancos de la zona del euro desde el 9 de octubre de 2025. Antes de que usted pueda autorizar una transferencia, su banco debe verificar si el IBAN corresponde al nombre del beneficiario escrito, sea cual sea el canal, incluida la oficina. Si no coinciden, debe avisarle de que el dinero puede ir a una cuenta de la que no es titular quien usted cree; si coinciden casi, debe mostrarle el nombre real del titular.

El apartado 8 reparte la responsabilidad con una claridad que el artículo 59 no tenía. El banco que cumplió el cotejo no responde de la transferencia a un beneficiario no intencionado. El que no lo hizo, o lo hizo mal, y con ello dio lugar a una operación defectuosa, reembolsa sin demora y restablece la cuenta. Si el fallo fue del banco de destino al contestar la consulta, este debe compensar al banco del ordenante, y por eso el reembolso se pide a su propio banco. Cualquier otra pérdida podrá compensarse conforme a la normativa aplicable al contrato.

Dos límites que conviene conocer desde el principio. El cotejo se exige en las transferencias en euros entre entidades situadas en la Unión: un pago en dólares a Hong Kong no pasa por ese filtro. Y si su empleado vio el aviso de que el nombre no coincidía y autorizó igualmente, el banco cumplió y esta vía se cierra. Por eso el caso empieza pidiendo al banco el registro del cotejo: qué nombre se escribió, qué respondió el sistema y qué vio en pantalla quien firmó la orden.

Fraude del CEO y falso proveedor no se ganan con el mismo argumento

En el falso proveedor, su empleado escribe el nombre de su proveedor de siempre junto al IBAN nuevo. Como la cuenta de destino suele estar a nombre de un tercero, el cotejo debió devolver que no coincidían, y si el banco no lo hizo, o el aviso no llegó a la pantalla, el reembolso del apartado 8 es el argumento central. Si el estafador abrió la cuenta a nombre de su proveedor con documentos falsos, el cotejo dará coincidencia y el problema se traslada al banco de destino.

En el fraude del CEO, en cambio, el falso consejero delegado da a su empleado el nombre exacto de la sociedad pantalla titular de la cuenta, y el cotejo coincide. Ahí la reclamación descansa en la diligencia exigible a un profesional, que el artículo 1104 CC mide por la naturaleza de la obligación y las circunstancias de las personas, del tiempo y del lugar. Una primera transferencia a un beneficiario nuevo en el extranjero, por un importe que rompe el patrón de la cuenta y ordenada con urgencia, es el tipo de señal que los controles de fraude de un banco están para detectar.

Es un argumento más difícil, y conviene saberlo antes de demandar. A una empresa se le exigen controles propios, como la doble firma o la llamada de confirmación a un número ya conocido, y si los saltó el tribunal valorará la culpa de ambos. El artículo 1103 CC permite moderar la responsabilidad que procede de negligencia, así que el resultado puede ser un reparto de la pérdida. Preparar la demanda contando con ello, y probando primero los fallos del banco, es lo que la hace ganable.

Lo que el contrato de empresa puede haberle quitado, y lo que no

Una empresa no es consumidora, y el artículo 34 del RDL 19/2018 lo aprovecha: si el usuario no es consumidor ni microempresa, el contrato puede excluir, total o parcialmente, entre otros, la carga de la prueba que el artículo 44 pone sobre el banco y la responsabilidad por ejecución defectuosa de los artículos 60 y 61. Esa exclusión puede estar en una cláusula que nadie leyó, así que lo primero es leer el contrato marco y las condiciones de la banca electrónica.

La excepción favorece a las pequeñas. Según el artículo 3.25, es microempresa la que, en la fecha del contrato de servicios de pago, ocupaba a menos de diez personas y tenía un volumen de negocios anual o un balance general anual que no superaba los dos millones de euros, y frente a ella esas exclusiones no pueden pactarse. Lo que sí cabe pactar con cualquier empresa es un plazo de aviso distinto de los trece meses del artículo 43: si es más corto, es ese el que hay que vigilar.

El cotejo del nombre con el IBAN es otra cosa: lo impone un reglamento europeo directamente aplicable, que solo permite a quien no es consumidor renunciar al servicio cuando curse múltiples órdenes de pago de forma agrupada, con derecho a recuperarlo en cualquier momento. Si su empresa paga por remesas, hay que comprobar si firmó esa renuncia y si el banco le advirtió, como exige el apartado 7, del riesgo de que el dinero acabe en una cuenta de la que no es titular el beneficiario indicado. Fuera de ese caso, el reglamento no prevé que el contrato excluya el reembolso.

El banco de destino y el proveedor real: frentes con su propio plazo

El banco que abrió la cuenta de destino no tiene contrato con su empresa: solo responde por el artículo 1902 CC si se prueba su culpa y que esa culpa causó el daño. La Ley 10/2010 le obliga a identificar al titular con documentos fehacientes (art. 3), a seguir la relación de negocio (art. 6) y a examinar con especial atención las operaciones inusuales o con indicios de fraude (art. 17), pero invocarla no basta: hay que probar, por ejemplo, que la cuenta se abrió con documentación falsa o que se vació en horas sin que nadie la examinara.

Esa acción prescribe al año desde que su empresa supo del daño (art. 1968.2 CC), y es el plazo más traicionero, porque se espera a la causa penal mientras el año corre. Se interrumpe con una reclamación extrajudicial (art. 1973 CC) o con la solicitud de negociación del artículo 7 de la LO 1/2025. Si ese banco está en otro Estado de la Unión, la regla general es demandarle en su domicilio (art. 4 del Reglamento Bruselas I bis): según el TJUE, una pérdida que solo se refleja en una cuenta española no basta, por sí sola, para litigar aquí, y el fuero de los consumidores (arts. 17 y 18) no ampara a una empresa.

Con el proveedor el problema es el contrario: le sigue reclamando la factura. El artículo 1162 CC exige pagar al acreedor o a quien esté autorizado para recibir en su nombre, y el estafador no lo estaba. Su empresa puede oponer el artículo 1164, que libera al deudor que paga de buena fe al que estuviere en posesión del crédito, o reclamarle por su falta de seguridad. Lo decide la pericial informática: si el correo salió del buzón auténtico del proveedor, el argumento gana fuerza frente a él; si llegó desde un dominio parecido, o el buzón intervenido fue el de su propia empresa, el riesgo pesa sobre usted.

Lo que no admite espera: recuperación, seguro y negociación previa

Las primeras horas valen más que el mejor pleito. Hay que pedir por escrito a su banco que solicite la devolución al banco de destino y dejar constancia de la hora; si el dinero sigue en la cuenta, el banco receptor puede retenerlo mientras examina la operación, aunque devolverlo suele exigir el consentimiento de su cliente o una orden judicial. La estafa se denuncia, y la denuncia la redactamos nosotros. Si se localizan fondos, cabe pedir embargo preventivo contra el titular antes de la demanda (arts. 727 y 730.2 LEC), con caución.

Si la empresa tiene un seguro de ciberriesgo o de fraude con cobertura de ingeniería social, el siniestro se comunica en siete días desde que se conoció, salvo que la póliza dé más (art. 16 LCS). La aseguradora que paga se subroga en las acciones contra el banco hasta lo indemnizado, y su empresa responde de los perjuicios que cause a ese derecho (art. 43 LCS). Por eso no se firma con el banco una devolución parcial con renuncia sin contar con ella.

Antes de demandar, el artículo 5 de la LO 1/2025 exige acudir a un medio adecuado de solución de controversias con el mismo objeto. El atajo de su disposición adicional séptima, que da el requisito por cumplido con la reclamación previa a la entidad, se titula «Litigios en materia de consumo», y una empresa no debe confiar en él: se abre una negociación formal, con prueba de recepción (art. 10). No hace falta para el embargo preventivo previo ni para las diligencias preliminares (art. 5.3). Sin respuesta en treinta días naturales, la negociación termina sin acuerdo; y si el banco rehusó negociar, su empresa queda exenta de costas salvo abuso (art. 394.4 LEC).

Cómo lo llevamos, paso a paso

1. 1

   Hoy mismo: aviso escrito al banco y petición de devolución

   Comunicamos el fraude a su banco por escrito, con hora, y le pedimos que solicite de inmediato la devolución al banco de destino y bloquee cualquier otro pago a ese IBAN. Ese aviso activa el deber de recuperar del artículo 59 y cuenta para el plazo de aviso.

2. 2

   Denuncia y copia forense de los correos

   Redactamos la denuncia, que la empresa presenta en comisaría, en el cuartel de la Guardia Civil o en el juzgado de guardia. A la vez, el perito informático con el que trabajamos copia los buzones y las cabeceras de los correos antes de que nadie toque los equipos: de ahí sale dónde estuvo la brecha.

3. 3

   Comunicación a la aseguradora en siete días

   Si hay póliza de ciberriesgo o de fraude, comunicamos el siniestro dentro del plazo del artículo 16 LCS o del más largo que fije la póliza, y coordinamos con la aseguradora cualquier negociación con el banco para no perjudicar su subrogación.

4. 4

   Petición del registro del cotejo y de los datos del destino

   Pedimos por escrito el registro de la verificación del beneficiario, el contrato marco, cualquier renuncia al cotejo en remesas y, por el artículo 59, los datos para reclamar al titular de la cuenta. El servicio de atención al cliente debe contestar en quince días hábiles (art. 69 RDL 19/2018). Si el banco no da los datos, cabe pedir diligencias preliminares (art. 256 LEC), aunque su encaje frente a un tercero es discutido.

5. 5

   Embargo preventivo si se localiza el dinero

   Si quedan fondos en la cuenta de destino o en otra a la que se movieron, solicitamos embargo preventivo contra su titular sin esperar a la negociación previa, que no se exige para estas cautelares. Se presta caución y la demanda se presenta en el plazo del artículo 730.2 LEC.

6. 6

   Negociación previa y demanda ante la sección civil

   Abrimos la negociación formal con cada futuro demandado (banco propio, banco de destino y, si procede, proveedor), con prueba de recepción. Sin acuerdo, demandamos ante la sección civil del Tribunal de Instancia, dentro del año para la acción extracontractual y de los cinco años para la contractual.

La norma aplicable

• Art. 5 quater del Reglamento (UE) 260/2012, introducido por el Reglamento (UE) 2024/886. Obliga al banco del ordenante a verificar, antes de la autorización y por cualquier canal, si el IBAN coincide con el nombre del beneficiario indicado, y a notificar la discrepancia advirtiendo del riesgo. Quien no es consumidor solo puede renunciar en órdenes agrupadas. El banco que cumplió no responde; el que incumplió reembolsa sin demora. Rige en la zona del euro desde el 9 de octubre de 2025. 32024R0886
• Arts. 3.25, 34 y 43 del RDL 19/2018. Es microempresa la que, al contratar, ocupa a menos de diez personas y no supera dos millones de euros de volumen de negocios o de balance. Si el usuario no es consumidor ni microempresa, el contrato puede excluir, entre otros, los artículos 44, 46, 60 y 61; y con cualquier no consumidor puede pactarse un plazo distinto de los trece meses desde el adeudo que el artículo 43 da para comunicar la operación y obtener su rectificación. BOE-A-2018-16036
• Art. 59 del RDL 19/2018. La orden ejecutada según el identificador único se considera correctamente ejecutada respecto de su beneficiario, y si el facilitado es incorrecto el banco no responde de la ejecución defectuosa. Pero el banco del ordenante debe esforzarse razonablemente por recuperar los fondos, con la cooperación del banco del beneficiario, y, si no los recupera, darle, previa solicitud por escrito, la información pertinente para reclamar judicialmente. BOE-A-2018-16036
• Arts. 1101, 1103 y 1104 CC. Quien incurre en dolo, negligencia o morosidad al cumplir sus obligaciones indemniza los daños. La culpa es omitir la diligencia que exige la naturaleza de la obligación según las personas, el tiempo y el lugar, y la responsabilidad que procede de negligencia puede moderarse por los tribunales: es la base del reparto cuando también la empresa falló. BOE-A-1889-4763
• Arts. 1902 y 1968.2 CC. Quien por acción u omisión causa daño a otro, interviniendo culpa o negligencia, debe repararlo, y esa acción prescribe al año desde que lo supo el agraviado. Es el plazo frente al banco de la cuenta de destino y frente a quien no tenga contrato con la empresa. BOE-A-1889-4763
• Arts. 1162 y 1164 CC. El pago debe hacerse a la persona en cuyo favor está constituida la obligación o a otra autorizada para recibirlo en su nombre; el pago hecho de buena fe al que estuviere en posesión del crédito libera al deudor. Es el marco de la disputa con el proveedor real que vuelve a reclamar la factura. BOE-A-1889-4763
• Arts. 5 y 7 LO 1/2025. En el orden civil la demanda exige haber acudido antes a un medio adecuado de solución de controversias con el mismo objeto, lo que incluye la negociación directa entre las partes o sus abogados; no se exige para las cautelares previas a la demanda ni para las diligencias preliminares. La solicitud de negociación interrumpe la prescripción, que se reinicia si en treinta días naturales desde su recepción no hay primera reunión o respuesta escrita. BOE-A-2025-76
• Arts. 16 y 43 de la Ley 50/1980 (LCS). El siniestro se comunica en siete días desde que se conoció, salvo plazo más amplio en la póliza; si no, el asegurador puede reclamar los daños de la falta de declaración. Pagada la indemnización, se subroga en las acciones frente a los responsables hasta ese límite, y el asegurado responde de los perjuicios que cause a ese derecho. BOE-A-1980-22501

Artículos comprobados uno a uno contra el texto consolidado del BOE.

Preguntas frecuentes