El Tribunal Supremo Delimita la Responsabilidad Bancaria
en el Fraude del CEO
La transformación digital ha revolucionado la operativa empresarial, agilizando las transacciones y facilitando la gestión de las relaciones comerciales y financieras. Sin embargo, esta creciente digitalización también ha incrementado la exposición de las empresas a nuevas formas de ciberdelincuencia. Entre ellas, destaca el denominado «fraude del CEO» o Business Email Compromise (BEC), una sofisticada técnica de ingeniería social mediante la cual los ciberdelincuentes suplantan la identidad de directivos o proveedores de confianza para inducir a la realización de transferencias bancarias fraudulentas.
La Sentencia del Tribunal Supremo 787/2026, de 25 de mayo, aborda una de las cuestiones más controvertidas que plantea este tipo de fraude: la determinación de la responsabilidad cuando una empresa es víctima de una estafa de estas características y la entidad financiera ha ejecutado las órdenes de pago. La resolución examina el alcance de los deberes de diligencia exigibles tanto a la entidad bancaria como a la propia empresa y concluye que en la producción del daño concurre una situación de concurrencia de culpas al haber contribuido ambas partes a la producción del daño.
La sentencia ofrece criterios relevantes para el análisis de la responsabilidad en supuestos de fraude empresarial por suplantación de identidad, poniendo de manifiesto la importancia de las medidas de control interno y del cumplimiento de los protocolos de seguridad pactados entre las partes. En un escenario marcado por la creciente sofisticación de los fraudes digitales, el pronunciamiento constituye una referencia de interés para el estudio de la distribución de la responsabilidad en este tipo de controversias.
Marco Jurídico Aplicable
El denominado «fraude del CEO» plantea relevantes desafíos jurídicos, al situarse en la confluencia entre la ciberdelincuencia, la responsabilidad contractual y la normativa reguladora de los servicios de pago. La cuestión central que suscitan estos supuestos consiste en determinar quién debe asumir las consecuencias económicas derivadas de las transferencias fraudulentas: la entidad financiera que ejecuta la orden de pago o la empresa que, inducida por el engaño, ordena la transferencia.
Desde una perspectiva general, este tipo de fraudes puede suscitar cuestiones relacionadas con la normativa de servicios de pago, en particular en relación con la distinción entre operaciones autorizadas y no autorizadas. No obstante, la Sentencia 787/2026 resuelve el litigio desde la óptica de la responsabilidad contractual y de la concurrencia de culpas, centrando su análisis en el incumplimiento del protocolo pactado y en la incidencia causal de la conducta de ambas partes.
Por un lado, las entidades financieras deben actuar con la diligencia propia de un profesional especializado y cumplir las obligaciones y protocolos de actuación asumidos frente a sus clientes. En el supuesto enjuiciado, el Tribunal considera que la entidad bancaria incumplió el estándar de diligencia exigible al ejecutar las transferencias sin observar las cautelas previstas en el protocolo suscrito con la empresa.
Por otro lado, las empresas también se encuentran sujetas a un deber de diligencia en la organización de sus procedimientos internos. La implantación de protocolos de validación de pagos y de adecuados sistemas de control interno constituye una medida de prudencia empresarial especialmente recomendable para minimizar el riesgo de fraude. La creciente sofisticación de los ataques de ingeniería social impone a las organizaciones la adopción de medidas preventivas razonables y proporcionales destinadas a minimizar el riesgo de fraude.
En consecuencia, la resolución de este tipo de controversias exige ponderar la conducta desplegada por cada una de las partes y determinar si el perjuicio económico sufrido es imputable exclusivamente a la actuación del defraudador o si, por el contrario, ha concurrido una actuación negligente de la entidad financiera, de la empresa perjudicada o de ambas. Precisamente sobre esta cuestión se pronuncia la Sentencia del Tribunal Supremo 787/2026, de 25 de mayo, que aporta criterios relevantes para delimitar los parámetros de imputación de responsabilidad en los supuestos de fraude empresarial por suplantación de identidad.
Doctrina del Tribunal Supremo: Sentencia 787/2026
La Sentencia del Tribunal Supremo 787/2026, de 25 de mayo, aborda una cuestión de indudable relevancia práctica en el actual contexto de creciente ciberdelincuencia empresarial: la determinación de la responsabilidad derivada de las transferencias realizadas como consecuencia de un «fraude del CEO» o Business Email Compromise (BEC). El litigio se centra en dilucidar si el perjuicio económico ocasionado por este tipo de estafas debe ser asumido íntegramente por la empresa víctima del fraude, por la entidad financiera que ejecutó las órdenes de pago o, por el contrario, si procede un reparto de la responsabilidad entre ambas.
El Tribunal centra su análisis en el incumplimiento contractual imputado a la entidad financiera y en la incidencia causal de las conductas de ambas partes, examinando si concurren elementos que justifiquen una moderación de la indemnización por concurrencia de culpas. La sentencia recuerda que las entidades financieras, en su condición de profesionales expertos, están sujetas a un deber de diligencia especialmente cualificado y que, en el caso enjuiciado, la entidad incumplió las cautelas asumidas frente a su cliente al ejecutar transferencias a beneficiarios no autorizados sin realizar la confirmación telefónica previamente pactada.
El Tribunal considera que la empresa contribuyó causalmente a la producción del daño debido a la insuficiencia de las instrucciones internas impartidas a la empleada encargada de las transferencias y a la actuación negligente de esta al ejecutar órdenes manifiestamente anómalas sin efectuar las comprobaciones mínimas exigibles, pese a las circunstancias extraordinarias de la operación y a los antecedentes previos de fraude sufridos por la compañía.
La sentencia concluye que en el supuesto enjuiciado concurrió una actuación negligente tanto por parte de la entidad financiera como de la empresa perjudicada, apreciando una concurrencia de culpas en la producción del perjuicio económico. En consecuencia, el Tribunal Supremo confirma la procedencia de un reparto de la responsabilidad y rechaza que el riesgo derivado de este tipo de fraudes deba recaer de manera automática y exclusiva sobre una sola de las partes.
La relevancia de este pronunciamiento radica en que confirma la necesidad de realizar un análisis casuístico de las circunstancias concurrentes y de la incidencia causal de la conducta de cada interviniente, rechazando criterios automáticos de atribución de responsabilidad.
Consecuencias Prácticas
La Sentencia del Tribunal Supremo 787/2026 proyecta relevantes consecuencias prácticas tanto para las entidades financieras como para las empresas, al ofrecer criterios de especial interés para el análisis de la distribución del riesgo y de la responsabilidad en los supuestos de fraude del CEO.
La resolución refuerza el deber de diligencia exigible a las entidades financieras en la ejecución de las órdenes de pago. En el caso enjuiciado, el Tribunal aprecia responsabilidad de la entidad financiera por haber incumplido el protocolo pactado con su cliente, al ejecutar transferencias dirigidas a beneficiarios no autorizados sin realizar la confirmación telefónica previamente acordada. El pronunciamiento pone de manifiesto la importancia de que las entidades financieras cumplan rigurosamente los protocolos de seguridad y las instrucciones pactadas con sus clientes cuando la ejecución de las órdenes de pago está sujeta a cautelas específicas.
En segundo término, el pronunciamiento pone de manifiesto la importancia de que las empresas dispongan de procedimientos internos adecuados para la validación de órdenes de pago y para la detección de operaciones anómalas. La creciente sofisticación de los ataques de ingeniería social y el incremento de los fraudes por suplantación de identidad exigen la implantación de procedimientos internos capaces de minimizar el riesgo de error humano y de dificultar la materialización de este tipo de estafas.
Desde una perspectiva de gestión del riesgo y de buen gobierno corporativo, resulta aconsejable adoptar, entre otras, las siguientes medidas preventivas:
– Implantar sistemas de doble validación o autorización para las transferencias de importe significativo.
-Establecer procedimientos de verificación independientes para las órdenes de pago urgentes, extraordinarias o inusuales.
-Reforzar la formación de empleados y directivos en materia de ciberseguridad y detección de intentos de suplantación de identidad.
-Implementar mecanismos de revisión interna y de segregación de funciones en la gestión de pagos.
-Disponer de sistemas de monitorización y protocolos de respuesta ante incidentes de seguridad.
La Sentencia 787/2026 pone de manifiesto que, en el supuesto enjuiciado, el perjuicio derivado del fraude no podía imputarse exclusivamente ni a la entidad financiera ni a la empresa perjudicada, al haber contribuido ambas conductas de forma relevante a la producción del daño. La respuesta jurídica exige una valoración casuística de las circunstancias concurrentes y del comportamiento de cada interviniente. La sentencia confirma, en las concretas circunstancias del caso, la procedencia de apreciar una concurrencia de culpas con incidencia causal equivalente entre la entidad financiera y la empresa perjudicada, al considerar que las conductas de ambas partes contribuyeron de forma relevante a la producción del daño.
