Nuevo escudo contra el fraude digital: entrada en funcionamiento de las obligaciones del Reglamento (UE) 2024/886

No podemos negar que somos cada vez más usuarios los que acudimos a la pantalla del ordenador o al teléfono móvil a la hora de realizar una transacción bancaria o cualquier compra.

Y nadie nos libra de poder cometer un error a la hora de teclear el número de cuenta o de consignar un beneficiario que no coincide con el titular real. Error que en ocasiones, lejos de ser un mero despiste, obedece al hecho de haber sido víctima de un fraude tipo “man in the middle” o “fraude de las facturas”, casos en los que los ciberdelincuentes suplantan la identidad de proveedores legítimos y modifican la cuenta a la que se debe realizar el pago, sin que sea posible detectarlo hasta que el verdadero proveedor nos avisa de no haber recibido los fondos esperados.

Hasta ahora, la única obligación de las entidades bancarias era comprobar la corrección del IBAN, es decir, el número de cuenta, no prestando atención al beneficiario ni a los conceptos consignados.

Y eso implicaba que para los que habían realizado transferencias a destinatarios erróneos o fraudulentos la única opción de recuperar el dinero era que el receptor de los fondos aceptase la anulación de la transferencia, sin poder exigir responsabilidad a la entidad bancaria.

Pero este panorama ha cambiado en favor de los usuarios de los servicios bancarios con la aprobación del Reglamento (UE) 2024/886, de 13 de marzo.

Esta normativa impone a las entidades de crédito y otros proveedores de servicios de pago un conjunto de obligaciones rigurosas, destinadas a proteger a los usuarios y fortalecer la seguridad del sistema financiero digital, con responsabilidad de la entidad bancaria proveedora del servicio de pago en caso contrario.

Entre las medidas más destacadas se encuentran:

1. Autenticación Reforzada de Cliente mediante servicio de garantía de la verificación.

La obligación principal para prevenir el fraude por error o suplantación de identidad se detalla en el artículo 5 quater: obliga al proveedor de servicios de pago del ordenante a ofrecer, antes de autorizar la transferencia, un servicio que verifique si el nombre del beneficiario y su identificador de cuenta de pago (IBAN) coinciden.

Por tanto, conforme al Reglamento podemos distinguir dos situaciones:

a) Que no exista correspondencia entre el nombre consignado como beneficiario y el titular real, en cuyo caso notificará al ordenante de la falta de coincidencia y advertirá del riesgo de la operación.

b) Que exista una correspondencia casi exacta (por variar tildes, espacios u otros elementos menos relevantes para la identificación del beneficiario): en este caso la entidad bancaria ordenante indicará expresamente el nombre que aparece en la cuenta beneficiaria para que el usurario del servicio de pago decida si continúa o no con la operación.

Esta medida ha entrado en vigor el 9 de octubre de 2025 para los países de la UE con moneda oficial euro y el plazo se prolongará hasta el 9 de julio de 2027 para países de la UE cuya moneda oficial no sea el euro.

2. Herramientas para clientes y responsabilidad bancaria en la recuperación de Fondos.

El Reglamento también establece la posibilidad para el cliente de fijar un límite que establezca el importe máximo que puede enviarse mediante transferencia inmediata, ya sea diario o por operación, como herramienta de autogestión del riesgo (art. 5 bis.6)

Además, a diferencia de la regulación anterior, el art. 5 quater.8, regula la responsabilidad del proveedor de servicios. Si incumple su obligación de verificación y esto causa una operación defectuosa, deberá reembolsar íntegramente el importe al ordenante.

Desde Red Abafi acogemos con satisfacción estas medidas que refuerzan indudablemente la protección de los usuarios de servicios bancarios, si bien no podemos dejar de considerar que llegan tarde para numerosos clientes, víctimas de los fraudes mencionados al comienzo del artículo.

En este sentido, tal y como expone la STS 571/2025 de 9 de abril, que ya fue objeto de comentario:

“… las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta…), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo…”

Y qué duda cabe que una simple verificación del beneficiario de la transferencia se antoja una medida sencilla de implementar y que, sin embargo, hubiera evitado numerosos fraudes.

Desde el pasado 9 de octubre de 2025, por fin, se convierte en obligación legal de obligado cumplimiento para la entidad bancaria.

 

Autora: Belén Rincón

Abogada RED ABAFI Andalucía