Cuando reclamas a tu banco una operación fraudulenta, la entidad suele responder que la operación fue «correctamente autenticada» y que, por tanto, no le corresponde asumir la pérdida. Pero pocas veces se explica qué significa exactamente esa autenticación ni si realmente cumplió con los requisitos legales. En este artículo te explicamos qué es la autenticación reforzada del cliente (SCA), por qué un simple código SMS podría no ser legalmente suficiente, y cómo puedes usar este argumento en tu reclamación.
Qué es la autenticación reforzada del cliente (SCA)
La autenticación reforzada del cliente, conocida internacionalmente como SCA (Strong Customer Authentication), es el sistema de seguridad que la normativa europea exige a los bancos para verificar que quien ordena un pago electrónico es realmente el titular legítimo de la cuenta o la tarjeta. Para cumplir con este requisito, el sistema debe combinar al menos dos de estos tres elementos, y deben ser genuinamente independientes entre sí:
- Conocimiento: algo que solo tú sabes, como una contraseña o un PIN.
- Posesión: algo que solo tú tienes, como tu móvil o tu tarjeta física.
- Inherencia: algo que eres, como tu huella dactilar o el reconocimiento facial.
Este requisito nace de la Directiva europea PSD2 (Directiva (UE) 2015/2366) y de su desarrollo técnico específico, el Reglamento Delegado (UE) 2018/389, que detalla cómo deben implementarse estos mecanismos de seguridad. En España, la norma se traspuso mediante el Real Decreto-ley 19/2018, de servicios de pago.
El marco legal: quién debe demostrar qué
El artículo 44.1 del RDL 19/2018 establece un principio que resulta clave para cualquier reclamación de fraude: cuando un usuario niega haber autorizado una operación de pago ya ejecutada, es el proveedor de servicios de pago —tu banco— quien debe demostrar que la operación fue autenticada correctamente, registrada con exactitud y contabilizada sin errores técnicos. No eres tú quien tiene que demostrar que no autorizaste la operación: es el banco quien debe probar que sí cumplió con todos los requisitos de seguridad exigidos por la normativa.
Esto significa que, si tu banco no puede acreditar de forma completa que aplicó correctamente una autenticación reforzada genuina, con dos factores realmente independientes, su posición para negarte la devolución del dinero se debilita considerablemente.
El debate legal más interesante: ¿es suficiente un código por SMS?
Aquí está uno de los argumentos jurídicos más relevantes que ha ido ganando peso en los últimos meses. Durante años, la práctica bancaria habitual ha sido enviar un código de un solo uso (OTP) por SMS al teléfono del cliente para confirmar operaciones, dando por hecho que ese código cumplía el requisito de «posesión» del sistema de doble factor.
El problema es que, con el auge de las técnicas de duplicación fraudulenta de tarjeta SIM (SIM swapping), ese supuesto factor de posesión puede quedar completamente comprometido sin que el titular real intervenga en ningún momento: el estafador consigue que la operadora de telefonía traspase tu número a una tarjeta SIM bajo su control, y a partir de ahí recibe él mismo los códigos SMS destinados a ti. Un análisis jurídico reciente sobre esta cuestión sostiene que, cuando el factor de posesión depende exclusivamente de un canal tan vulnerable a la suplantación como el SMS, podría no cumplirse el requisito legal de independencia real entre los dos factores exigido por el Reglamento Delegado (UE) 2018/389, lo que abriría la puerta a considerar que la autenticación no fue legalmente «reforzada» en sentido estricto, y a que la responsabilidad recaiga directamente sobre la entidad que optó por un mecanismo de seguridad insuficiente.
Esta interpretación conecta directamente con la sentencia del Tribunal Supremo 571/2025, de 9 de abril de 2025, que condenó a una entidad bancaria a devolver más de 56.000 euros sustraídos mediante un ataque combinado de vishing y duplicación de SIM, dejando claro que el simple registro técnico de la operación como «autenticada» no basta para exonerar al banco de su responsabilidad.
Cuándo el banco puede prescindir de la autenticación reforzada
La normativa contempla una serie de exenciones en las que el banco puede no aplicar SCA sin que ello suponga un incumplimiento:
- Operaciones de bajo valor, generalmente hasta 30 euros, aunque el banco debe solicitar autenticación reforzada si esta exención se ha usado más de cinco veces consecutivas o si la suma acumulada supera los 100 euros desde la última autenticación completa.
- Comercios de confianza («listas blancas»), previamente designados como tales por el propio titular ante su banco.
- Pagos recurrentes, como suscripciones, siempre que la primera operación sí se autenticara correctamente.
- Análisis de riesgo de la operación (TRA), un mecanismo que permite a algunas entidades eximir de SCA aquellas operaciones que su propio sistema de análisis de riesgo considera de muy bajo riesgo de fraude.
- Determinados pagos corporativos, sujetos a procesos de seguridad específicos y separados.
Si tu operación fraudulenta no encaja en ninguna de estas exenciones legítimas, la ausencia de una autenticación reforzada genuina refuerza aún más tu reclamación.
Qué significa en la práctica que «falló» la autenticación
Para que tengas una idea clara, estos son ejemplos habituales de fallos o debilidades en el sistema de autenticación que pueden reforzar tu reclamación:
- El banco confirmó una transferencia de importe elevado únicamente con un código SMS, sin exigir ningún factor adicional independiente (como confirmación biométrica dentro de la app).
- Se produjo una duplicación de tarjeta SIM que permitió a un tercero recibir los códigos de verificación destinados a ti, sin que el banco dispusiera de ningún mecanismo alternativo de verificación ante ese escenario.
- El sistema del banco presentó una caída técnica o un error de registro que impide acreditar con exactitud cómo se autenticó realmente la operación.
- La entidad no puede aportar el registro completo (logs técnicos) que demuestre, paso a paso, cómo se verificaron los dos factores de autenticación exigidos.
Cómo usar este argumento en tu reclamación
- Solicita al banco, por escrito, que acredite documentalmente cómo se autenticó la operación reclamada. Pide expresamente el detalle técnico de los dos factores utilizados y si fueron genuinamente independientes entre sí.
- Si la autenticación se basó únicamente en un SMS y hubo indicios de duplicación de SIM, señala explícitamente en tu reclamación que ese mecanismo podría no cumplir el requisito de independencia exigido por el Reglamento Delegado (UE) 2018/389.
- Cita el artículo 44 del RDL 19/2018 para recordar a la entidad que la carga de la prueba recae sobre ella, no sobre ti.
- Si el banco rechaza tu reclamación sin aportar esa prueba técnica detallada, puedes escalarla al Banco de España y, posteriormente, a la vía judicial, donde un informe pericial técnico puede resultar decisivo.
Lo que viene: la nueva directiva PSD3
La Unión Europea ya ha aprobado la Directiva (UE) 2024/2366, conocida como PSD3, con un plazo de transposición a la legislación española previsto durante 2026. Esta nueva norma amplía la protección del usuario, incorporando de forma más explícita la responsabilidad de las entidades ante fraudes basados en ingeniería social (como el phishing, el vishing o el smishing), lo que previsiblemente reforzará aún más la posición del consumidor en este tipo de reclamaciones en los próximos años.
Preguntas frecuentes
¿Un código SMS nunca es válido como segundo factor? No es que nunca sea válido, sino que su solidez legal depende de que realmente constituya un factor de posesión independiente y no vulnerable a técnicas conocidas como el SIM swapping. Cuando existen indicios de duplicación de SIM, ese argumento puede jugar a tu favor.
¿Cómo sé qué tipo de autenticación se usó en mi caso? Puedes y debes solicitarlo expresamente a tu banco por escrito como parte de tu reclamación. La entidad tiene la obligación de poder acreditarlo si niega la devolución del dinero.
¿Esto aplica también a las compras online con tarjeta? Sí. El sistema de SCA se aplica tanto a operaciones bancarias como a compras electrónicas con tarjeta, salvo que se aplique alguna de las exenciones legales previstas.
¿Necesito un perito informático para reclamar por este motivo? No siempre es imprescindible en la fase inicial de reclamación al banco o al Banco de España, pero si el caso avanza a la vía judicial, un informe pericial técnico suele reforzar considerablemente la solidez de tu argumento.
Conclusión
La autenticación reforzada no es solo un trámite técnico: es un requisito legal que, si no se cumple correctamente, puede inclinar la balanza de la responsabilidad hacia el banco. Si has sido víctima de un fraude y tu entidad se escuda en que la operación fue «autenticada», no des por buena esa respuesta sin más: exige que lo demuestre con detalle técnico, y recuerda que la ley pone esa carga de la prueba sobre sus hombros, no sobre los tuyos.
Este artículo tiene un carácter meramente informativo y no sustituye el asesoramiento legal personalizado. Si tu banco ha rechazado una reclamación alegando autenticación correcta, se recomienda consultar con un abogado especializado en derecho bancario para valorar si ese sistema cumplía realmente los requisitos legales.
