التصيّد الاحتيالي والمدفوعات غير المأذون بها في إسبانيا: متى يجب على البنك أن يعيد المال

تصلك رسالة في المحادثة نفسها التي تضمّ كل الرسائل الحقيقية التي أرسلها إليك بنكك من قبل: رُصد خصم غير معتاد، ويمكنك إلغاؤه من هنا. الصفحة التي يفتحها الرابط تشبه صفحة البنك. تكتب كلمة المرور. وبعد ربع ساعة تكون مدفوعات لم تُجرِها قد خرجت من الحساب، وبعد أسبوع تصلك رسالة إلكترونية تقول إنه لن يُردّ شيء، لأن العمليات «أُذن بها على الوجه الصحيح ببيانات اعتمادك الأمنية الشخصية». هذا هو جواب البنك الأول في معظم هذه الحالات. لكنه ليس جواب القانون. فقانون المدفوعات الإسباني ينطلق من الطرف المقابل: لا تكون عملية الدفع مأذوناً بها إلا إذا وافقتَ عليها، والعملية غير المأذون بها يجب أن يُردّ مبلغها قبل نهاية يوم العمل التالي، والبنك، لا العميل، هو من عليه أن يثبت الاحتيال أو الإهمال الجسيم. تقرأ هذه المقالة القاعدة كما هي سارية في أكتوبر 2026 — نصّ القانون، وحكم المحكمة العليا الصادر في أبريل 2025، وحكمين استئنافيين من جزر الكناري، وأرقام بنك إسبانيا (Banco de España) نفسه — وتبيّن أين تنتهي الحماية. الاقتباسات بالإسبانية مع قراءتها بالعربية.

«مأذون بها» تعني أنك وافقت، لا أنها «أُدخلت برموزك»

القاعدة هي المادة 36 من Real Decreto-ley 19/2018، قانون خدمات الدفع: Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución — تُعدّ عمليات الدفع مأذوناً بها متى أعطى الآمر بالدفع موافقته على تنفيذها — ثم A falta de tal consentimiento la operación de pago se considerará no autorizada — وفي غياب هذه الموافقة تُعدّ عملية الدفع غير مأذون بها. فالدفعة التي يجريها غريب ببيانات انتزعها منك بالخداع أُجريت برموزك ومن دون موافقتك.

وقد قالت المحكمة العليا ذلك صراحةً في حكمها رقم 571/2025 الصادر في 9 أبريل 2025: «العمليات غير المأذون بها» تشمل تلك التي بدأت باسم المستخدم وكلمة مروره وتأكّدت بالرمز الذي أرسله البنك برسالة نصية قصيرة، كلما أنكر المستخدم أنه أذن بها. ولا يجوز للعقد أن يقول غير ذلك. فهذا النظام مفروض على الطرفين، والشرط الذي يقبل به العميل أن تُنسب إليه كل عملية تُجرى بمفاتيحه لا يُزيحه.

ردّ المبلغ: قبل نهاية يوم العمل التالي

متى علم البنك بعملية دفع غير مأذون بها وجب عليه أن يردّ المال de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación — فوراً، وعلى أي حال في موعد أقصاه نهاية يوم العمل التالي لليوم الذي لاحظ فيه العملية أو أُبلغ بها (المادة 45.1) — وأن يعيد الحساب إلى الحال التي كان سيكون عليها. وليس هناك إلا مخرج واحد: يجوز للبنك أن يؤخّر الردّ إذا كانت لديه أسباب معقولة للاشتباه في احتيال من جانب العميل وأبلغ بنك إسبانيا بهذه الأسباب كتابةً. وعبارة «نحن نحقّق في الأمر» ليست ذلك الإبلاغ.

دورك: أبلغ البنك فوراً، وفي كل الأحوال قبل مرور ثلاثة عشر شهراً

على العميل واجبان (المادة 41): أن يتخذ todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas — كل التدابير المعقولة لحماية بيانات اعتماده الأمنية الشخصية — وأن يُبلغ البنك دون تأخير غير مبرَّر بفقدان أداة الدفع أو سرقتها أو استعمالها دون إذن. وعلى الواجب الثاني يتوقف الحق في استرداد المبلغ. يجب إبلاغ البنك sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones — دون تأخير غير مبرَّر، فور علمه بأي عملية من هذه العمليات — وفي كل الأحوال dentro de un plazo máximo de trece meses contados desde la fecha del adeudo — خلال مدة أقصاها ثلاثة عشر شهراً تُحسب من تاريخ القيد المدين (المادة 43.1).

ثلاثة عشر شهراً هي السور الخارجي، لا الموعد الذي تستهدفه: كل ساعة تمرّ بين الاحتيال والاتصال هي ساعة سيستعملها البنك ضدك لاحقاً. وبعد إبلاغك تكون الخسائر على البنك ما لم تكن قد تصرفت باحتيال (المادة 46.3)، وعلى البنك أن يُبقي قناة مفتوحة في كل وقت، ومجاناً، لهذا الإبلاغ (المادة 42.1.c).

من عليه أن يثبت ماذا

هنا يبلغ القانون أقصى فائدته. حين ينكر العميل أنه أذن بعملية دفع، فعلى البنك أن يثبت أن العملية جرت مصادقتها وسُجّلت بدقة وقُيّدت في الحسابات، وأنها لم تتأثر بعطل فني أو بقصور آخر في خدمته (المادة 44.1). وحتى عندئذ، فإن تسجيل استعمال أداة الدفع no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante — لن يكفي بالضرورة لإثبات أن عملية الدفع أذن بها الآمر بالدفع — ولا أنه تصرف باحتيال أو بإهمال جسيم (المادة 44.2). والكلمة الأخيرة هي أيضاً عبء على البنك: فعلى مقدّم الخدمة probar que el usuario del servicio de pago cometió fraude o negligencia grave — أن يثبت أن مستخدم خدمة الدفع ارتكب احتيالاً أو إهمالاً جسيماً (المادة 44.3).

واستخلصت المحكمة العليا النتائج في الحكم 571/2025. فمسؤولية البنك tiene carácter cuasi objetivo — ذات طابع شبه موضوعي — بمعنيين: إذا أُبلغ بعملية دفع غير مأذون بها فهو مسؤول ما لم يثبت الاحتيال؛ وإذا أنكر العميل العملية فإن سجلّاً يُظهر أن الرموز الصحيحة استُعملت لا يُعفيه. وأضافت المحكمة أن «القصور في الخدمة» ليس عطلاً حاسوبياً فحسب: فهو يشمل cualquier falta de diligencia o mala praxis en la prestación del servicio — أي نقص في العناية أو سوء ممارسة في تقديم الخدمة — يُقاس بمعيار التاجر الخبير لا بمعيار الشخص العادي الحريص، ومن حسن الممارسة أن تكون هناك أنظمة تلاحظ النمط غير الطبيعي للمدفوعات وتوقفه.

والقضية تبيّن ما يعنيه ذلك. في ليلة 17 إلى 18 مارس 2021 خرج خمسة عشر تحويلاً من حساب في سرقسطة — عشرة عبر Bizum وخمسة عبر الخدمات المصرفية الإلكترونية — بمبلغ 83,692.73 يورو مع العمولات، وقد تأكّدت برموز أُرسلت إلى خط هاتفي كانت شريحة SIM الخاصة به قد نُسخت عصر ذلك اليوم في متجر بإقليم آخر. وكان العميل يقول لفرعه منذ ثلاثة أسابيع إنه يتلقى رموزاً لتحويلات لم يأمر بها. استردّ البنك 27,218.10 يورو من البنوك المستلمة ورفض الباقي؛ فألزمته ثلاث محاكم على التوالي بدفع المبلغ المتبقي وقدره 56,474.63 يورو. No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado — لا يمكن أن يُعدّ أمراً طبيعياً وعديم الأهمية أن يُقدم شخص لا يجري عمليات في ساعات الفجر أبداً، فجأةً، على تنفيذ ما يصل إلى سبع عشرة عملية متتالية وبمبلغ مرتفع إلى هذا الحد.

ما الذي يمكن أن يتحمّله العميل: 50 يورو، أو كل شيء، أو لا شيء

مبلغ 50 يورو هو حصة العميل حين تُستعمل أداة دفع مفقودة أو مسروقة: يجوز تحميل الآمر بالدفع hasta un máximo de 50 euros — حتى 50 يورو كحدّ أقصى. ويزول هذا السقف، وتقع الخسارة كلها على العميل، فقط إذا تكبّدها por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41 — لأنه تصرف باحتيال أو لأنه أخلّ، عمداً أو بإهمال جسيم، بواحد أو أكثر من الالتزامات التي تقرّرها المادة 41. وحيث لم يطلب البنك المصادقة القوية للعميل — أي عنصرين مستقلين من بين شيء تعرفه وشيء تملكه وشيء هو أنت — el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta — لا يتحمّل الآمر بالدفع العواقب الاقتصادية المحتملة إلا إذا كان قد تصرف باحتيال (المادة 46.2).

«الإهمال الجسيم»: ما الذي فهمته المحاكم منه

كل شيء إذن يدور على كلمتين. التوجيه الأوروبي الذي يقف خلف القانون الإسباني يعطي المقياس، والمحكمة العليا تقتبسه: la negligencia grave tiene que significar algo más que la mera negligencia — الإهمال الجسيم يجب أن يعني شيئاً أكثر من مجرد الإهمال — أي سلوكاً يكشف عن درجة كبيرة من عدم الاكتراث، كأن تُحفظ بيانات الاعتماد بجانب البطاقة في صورة يستطيع أي شخص قراءتها. أما أن ينخدع المرء بتزوير متقن فليس من هذا المستوى، وقد قالت ذلك محاكم جزر الكناري مرتين، في قضيتين سيتعرّف كل عميل على وقائعهما.

في لاس بالماس (محكمة المقاطعة، الحكم رقم 207/2025 الصادر في 4 أبريل 2025) وصلت الرسالة في رسالة نصية قصيرة تحمل اسم البنك: خصم غير معتاد، ورابط لإلغائه. كتب العميل كلمة مرور خدمته المصرفية الإلكترونية في الصفحة التي يفتحها الرابط؛ فتلت ذلك عمليتا شراء بالبطاقة، بمجموع 3,286 يورو؛ ورفض البنك ردّ المبلغ لأن العمليات كانت «مأذوناً بها على الوجه الصحيح». وأيّدت المحكمة الحكم الصادر ضد البنك. فالشهادة التي قدّمها البنك نفسه سجّلت أن الجهاز أو الجهة التي صادقت على العميل غير محدَّدة الهوية، وبعبارة المحكمة: la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación — البنك تصرف دون أن يتخذ تدابير العناية والأمان المطلوبة، ونتيجة هذا الإخلال هي الالتزام بردّ مبلغ العملية.

في سانتا كروز دي تينيريفي (محكمة المقاطعة، الحكم رقم 177/2024 الصادر في 23 أبريل 2024) كان العميل قد ذهب أبعد من ذلك: فعلى الهاتف، مع شخص ينتحل صفة موظف في شركة اتصالات، أملى الرموز التي كان البنك يرسلها إليه، فتلت ذلك موجة من عمليات الشراء بالبطاقة، أُجريت في وقت شبه واحد من مدن على طرفَي العالم؛ وكانت الدعوى بمبلغ 44,227.28 يورو. سمّى البنك ذلك إهمالاً جسيماً. أما المحكمة فلم تفعل. فالإهمال الذي يشترطه القانون cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo — قريب من مفهوم انعدام العناية الذي لا يُغتفر، ولهذا يجب أن يكون تقديره تقييدياً — والبنك الذي لا يثبت وجود أي نظام قادر على ملاحظة موجة كهذه من العمليات، مباشرةً بعد تغيير كلمة مرور الدخول وحدود البطاقات، لا يستطيع أن يُلقي الخسارة على عميل أفرط في الثقة.

ليست كل قضية تنتهي هكذا. فالتوجيه نفسه يقول إنه يجب وزن كل الظروف، ووقائع مختلفة قد تُفضي إلى نتيجة مختلفة.

حين تكون أنت من أجرى التحويل

احتيال مختلف يحتاج إلى قاعدة مختلفة. إذا خُدعت فأمرت أنت بالدفع — فاتورة المورّد التي غُيّر فيها رقم الحساب، أو «موظف البنك» الذي يقنعك بنقل مدخراتك إلى «حساب آمن» — فإن قاعدة الردّ القانونية لا تنطبق كما هي: فهي مكتوبة للمدفوعات التي تُجرى دون موافقتك، والدفعة التي أمرت بها بنفسك، مهما بلغ الخداع، هي في ظاهرها دفعة مأذون بها. وتقرير الشكاوى الصادر عن بنك إسبانيا يصنّفها عملية «مأذوناً بها عن طريق الخداع» ويحيل العميل إلى الشرطة أو سلطات حماية المستهلك أو المحاكم. وأمام القضاء، ما يبقى هو القانون العام للعقود، وفيه يوزَن سلوكك أنت مقابل سلوك البنك. وحكم المحكمة العليا رقم 787/2026 الصادر في 25 مايو 2026 يبيّن المقياس: شركة خُدعت موظفة في قسم الخزينة لديها، على يد من انتحل صفة أحد أعضاء مجلس إدارتها، فأمرت بسبعة تحويلات إلى الصين، استردّت نصف مبلغها البالغ 1,566,951.50 يورو — أي 783,475.75 يورو — لأن البنك تجاهل البروتوكول المكتوب الذي سلّمته إياه الشركة، ولأن الشركة تُسأل عن نصيب موظفتها في الخديعة.

منذ 9 أكتوبر 2025 توجد أداة تعمل قبل أن يخرج المال. ففي التحويلات باليورو، على بنوك منطقة اليورو أن تتحقق من مطابقة اسم المستفيد لرقم الحساب قبل أن تأذن أنت بالعملية، وأن تخبرك حين لا يتطابقان، مع التحذير من أن autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante — الإذن بالتحويل قد يؤدي إلى تحويل الأموال إلى حساب دفع ليس صاحبه هو المستفيد الذي حدّده الآمر بالدفع (اللائحة (الاتحاد الأوروبي) رقم 260/2012، المادة 5c، المضافة في 2024). فإذا لم يُجرِ البنك هذا التحقق وأخطأت الدفعة وجهتها بسبب ذلك، وجب عليه أن يردّ المبلغ دون تأخير؛ وإذا حذّرك ومضيت في العملية، فلا يُسأل عن التحويل إلى الحساب الذي أدخلته. وتحذير عدم التطابق عند «رقم حساب جديد» وصل بالبريد الإلكتروني هو اللحظة المناسبة للاتصال بالمورّد هاتفياً على الرقم الذي كان لديك من قبل.

الشركات أقل حماية من المستهلكين

القواعد السابقة تحمي المستهلكين حماية كاملة، والمنشآت المتناهية الصغر حماية شبه كاملة. أما المنشأة الأكبر فقد يُطلب منها أن تتنازل عنها في العقد: فحيث لا يكون المستخدم هذا ولا تلك، يجوز للطرفين أن يتفقا على ألا تنطبق المادتان 44 و46 — عبء الإثبات وحدود مسؤولية العميل —؛ ومع كل مستخدم ليس مستهلكاً، بما في ذلك المنشآت المتناهية الصغر، يجوز الاتفاق على مدة غير الثلاثة عشر شهراً (المادة 34.1). اقرأ العقد المصرفي لشركتك قبل الاحتيال، لا بعده.

الطريق: البنك، ثم بنك إسبانيا، ثم المحكمة

ثلاث خطوات، بهذا الترتيب. أولاً خدمة عملاء البنك، كتابةً. وفي خدمات الدفع عليها أن تجيب a más tardar quince días hábiles después de la recepción de la reclamación — في موعد أقصاه خمسة عشر يوم عمل من استلام الشكوى — وخلال شهر على الأكثر إذا بيّنت سبب التأخير (المادة 69).

ثانياً بنك إسبانيا، إذا رفض البنك أو لزم الصمت: إدارة السلوك فيه تتلقى الشكاوى عبر الإنترنت أو على الورق، وللمستهلك سنة من تاريخ شكواه إلى البنك ليقدّمها. وهناك أمران ينبغي معرفتهما قبل اختيار هذا الطريق. فتقريره يُفترض أن يصدر خلال أربعة أشهر، وهو no tiene carácter vinculante — ليس ملزِماً (Orden ECC/2502/2012، المادة 12): فللبنك ألا يأخذ به. وسجلّه في هذا الموضوع متفاوت. ففي 2025 تلقّى بنك إسبانيا 30,970 شكوى؛ 30 % منها تعلّقت بمدفوعات أُجريت في سياق خداع أو احتيال، بزيادة نحو 18 % على العام السابق، ثلثاها بالبطاقة وثلثها بالتحويل — وفي شكاوى البطاقات، كما يقول تقريره نفسه، تغلب القرارات المؤيدة للبنوك، في ملفات معظمها عن مدفوعات احتيالية اجتازت المصادقة القوية. فالجهة الرقابية تنظر في ما إذا كان البنك قد اتبع قواعد حسن الممارسة؛ أما المحاكم فتطبّق عبء الإثبات المبيَّن أعلاه.

والمحكمة هي الخطوة الثالثة، وهي التي صدرت فيها الأحكام المقتبسة هنا. أما البلاغ لدى الشرطة فليس خطوة رابعة: إنه إجراء سيطلبه البنك منذ اليوم الأول، وهو يثبّت التاريخ والوقائع، وما يفعله التحقيق الجنائي بعد ذلك مسألة مستقلة لا تتناولها هذه المقالة.

ماذا تفعل في الساعة الأولى، وفي الأسبوعين الأولين

• اتصل بالبنك واحظر كل شيء. البطاقة والخدمات المصرفية الإلكترونية وخدمة Bizum؛ واطلب رقم مرجع المكالمة.
• دوّن ذلك كتابةً في اليوم نفسه. قل إنك لم تأذن بالمدفوعات، وعدّدها، واطلب ردّ المبلغ بموجب المادة 45، عبر قناة تترك دليلاً.
• بلّغ الشرطة واحتفظ بالنسخة. سيطلبها البنك.
• لا توقّع أي شيء يقول إنك «أذنت» بالعمليات. نموذج المطالبة ليس إقراراً، فاقرأ ما يقوله.
• اترك الهاتف كما هو. الرسائل وسجل المكالمات والرابط أدلّة.
• إذا توقفت شريحة SIM عن العمل، فاكتب إلى شركة الاتصالات أيضاً. فالشريحة المنسوخة هي الطريق التي وصل بها الرمز إلى غيرك.
• عُدّ خمسة عشر يوم عمل. ثم اختر بين بنك إسبانيا والمحكمة والأوراق في يدك.

رسالة البنك الأولى تقول إن الرموز كانت رموزك. أما القانون فيطرح سؤالاً آخر: هل وافقتَ — وهل يستطيع البنك أن يثبت أن الخطأ كان جسيماً، وأنه خطؤك؟

ما الذي يفعله فريقنا المصرفي

نراجع الملف على ضوء القانون والأحكام المذكورة أعلاه — وقت كل دفعة، وما تثبته سجلات البنك فعلاً، وما الذي أبلغت به البنك ومتى — ونكتب المطالبة إلى البنك، وإذا رفض نرفع القضية إلى المحكمة. الاستشارة مدفوعة، ويُحدَّد سعرها مسبقاً، ولا أحد يستطيع أن يعد بما ستقرّره المحكمة. والمطالبات المصرفية لا تتشابه كلها: مقالتانا عن شروط الحدّ الأدنى للفائدة وعن مؤشر IRPH تتناولان نوعين آخرين. الخدمة موصوفة في صفحتنا عن القانون المصرفي، وفي صفحة الاتصال مواعيد عمل المكتبين.

أسئلة شائعة

يقول البنك إن المدفوعات جرت مصادقتها ببيانات اعتمادي. هل انتهى الأمر عند هذا الحد؟

لا. المصادقة تثبت أن الرموز الصحيحة استُعملت، لا أنك وافقت. فالقانون يقول إن سجلّ البنك لا يكفي بالضرورة لإثبات الإذن (المادة 44.2)، والمحكمة العليا قضت في أبريل 2025 بأن المدفوعات التي تُجرى بكلمة مرور المستخدم ورمز الرسالة النصية تكون غير مأذون بها إذا أنكرها المستخدم، ما لم يثبت البنك الاحتيال أو الإهمال الجسيم.

كم لديّ من الوقت للمطالبة؟

أبلغ البنك في اليوم الذي تكتشف فيه الأمر. فالقانون يشترط الإبلاغ دون تأخير غير مبرَّر ويضع حدّاً أقصى هو ثلاثة عشر شهراً من تاريخ القيد المدين؛ ثم يكون للمستهلك سنة من تاريخ شكواه إلى البنك ليتوجّه إلى بنك إسبانيا. والانتظار لا ينفع إلا الطرف الآخر.

ضغطت على الرابط وكتبت كلمة المرور. هل كان ذلك إهمالاً جسيماً؟

ليس بذاته، بحسب الأحكام التي قُرئت لهذه المقالة. فالإهمال الجسيم يعني شيئاً أكثر من مجرد الإهمال ويُقدَّر تقديراً تقييدياً؛ وقد رفضت محكمتا لاس بالماس وسانتا كروز دي تينيريفي أن تراه في عميلين خُدع أحدهما برسالة مصرفية مزوّرة والآخر بموظف زائف على الهاتف، ونظرتا بدلاً من ذلك في ما أخفقت أنظمة البنك في ملاحظته. وكل قضية تُحسم بوقائعها.

هل يحمي هذا حساب شركتي؟

حماية شبه كاملة إذا كانت الشركة منشأة متناهية الصغر: فمن القواعد المبيّنة هنا لا يستطيع عقدها أن يغيّر إلا مدة الثلاثة عشر شهراً. أما عقد الشركة الأكبر فقد يكون استبعد كذلك قواعد عبء الإثبات والمسؤولية، والاحتيال الذي يأمر فيه موظف بالتحويل يُحكم فيه وفق القانون العام للعقود، وفيه يُحسب إهمال الشركة نفسها.

هل تقرير بنك إسبانيا ملزِم للبنك؟

لا. إنه رأي مسبَّب يُفترض أن يصدر خلال أربعة أشهر؛ وعلى البنك أن يقول هل يقبله، وله ألا يقبله. والحكم القضائي هو القرار الوحيد الذي يُلزم البنك بالدفع.

معلومات عامة عن القانون الإسباني كما هو سارٍ في أكتوبر 2026 (Real Decreto-ley 19/2018، المواد 34 و36 و41 إلى 46 و69؛ اللائحة (الاتحاد الأوروبي) رقم 260/2012، المادة 5c؛ Orden ECC/2502/2012)، وليست مشورة في قضيتك: فالمسؤولية عن الاحتيال تتوقف على وقائعه وتواريخه بدقة.