スペインのフィッシングと未承認の支払：銀行が返金しなければならないとき

そのメッセージは、あなたの銀行がこれまでに送ってきた本物のメッセージと同じスレッドに届きます。「通常と異なる引き落としが検知されました。こちらから取り消せます」。リンクの先のページは銀行のページにそっくりです。あなたはパスワードを入力します。十五分後には、身に覚えのない支払が口座から出ていき、その一週間後には、一切返金しないというメールが届きます。取引は「お客様の個人別セキュリティ認証情報によって正しく承認されている」から、というのです。この種の事案のほとんどで、これが銀行の最初の答えです。しかし、それは法律の答えではありません。スペインの決済法は正反対の側から出発します。支払が承認されたといえるのは、あなたが同意した場合だけです。未承認の支払は、翌営業日の終わりまでに返金しなければなりません。そして、詐欺や重大な過失を証明しなければならないのは、顧客ではなく銀行です。本稿では、2026 年 10 月現在のルール――法律の条文、2025 年 4 月の最高裁判所判決、カナリア諸島の二つの控訴審判決、そしてスペイン銀行（Banco de España）自身の数字――を読み、保護がどこで終わるのかを述べます。引用はスペイン語の原文で、日本語の読みを添えています。

「承認」とは同意のこと――「あなたのコードで入力された」ことではない

ルールは Real Decreto-ley 19/2018（決済サービス法）の第 36 条です。そこには Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución――支払取引は、支払人がその実行に同意を与えたときに承認されたものとみなされる――とあり、続けて A falta de tal consentimiento la operación de pago se considerará no autorizada――その同意がなければ、支払取引は未承認とみなされる――とあります。見知らぬ者があなたからだまし取った認証情報で行った支払は、あなたのコードを使って、しかしあなたの同意なしに行われたものです。

最高裁判所は 2025 年 4 月 9 日の判決 571/2025 で、このことを明言しました。「未承認の取引」には、利用者のユーザー名とパスワードで開始され、銀行が SMS で送ったコードで確認された取引も、利用者が承認を否定する限り含まれます。契約でこれと異なる定めをすることはできません。この制度は当事者双方に強制されるもので、自分のキーで行われた操作はすべて自分のものと認める、という条項があっても排除されません。

返金――翌営業日の終わりまでに

銀行は、未承認の支払を知ったら、de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación――直ちに、いかなる場合でも、その取引に気づいた日または通知を受けた日の翌営業日の終わりまでに（第 45 条 1 項）――お金を返し、口座を本来あるべき状態に戻さなければなりません。例外は一つだけです。顧客自身による詐欺を疑う合理的な理由があり、その理由を書面でスペイン銀行に通知した場合に限り、銀行は返金を留保できます。「調査中です」は、その通知ではありません。

あなたの側の義務――すぐに銀行へ、遅くとも十三か月以内に

顧客の義務は二つです（第 41 条）。todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas――個人別のセキュリティ認証情報を守るためのあらゆる合理的な措置――を講じること、そして支払手段の紛失、盗難、無断使用を遅滞なく銀行に通知することです。返金を受ける権利は、二つ目の義務にかかっています。銀行への通知は sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones――そのような取引のいずれかを知ったら、不当に遅れることなく――、そしていかなる場合でも dentro de un plazo máximo de trece meses contados desde la fecha del adeudo――引き落としの日から数えて最長十三か月の期間内に――行わなければなりません（第 43 条 1 項）。

十三か月は外壁であって、目指すべき日付ではありません。詐欺から電話までの一時間一時間が、後で銀行があなたに不利に使う時間になります。通知の後の損失は、あなたが不正に行為した場合を除いて銀行の負担であり（第 46 条 3 項）、銀行はこの通知のための窓口を常時、無料で開いておかなければなりません（第 42 条 1 項 c 号）。

誰が何を証明するのか

法律がもっとも役に立つのはここです。顧客が支払の承認を否定した場合、その取引が認証され、正確に記録され、記帳されたこと、そして技術的な故障やサービスのその他の欠陥の影響を受けなかったことを示すのは銀行です（第 44 条 1 項）。それでもなお、支払手段が使われたという記録は no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante――その支払取引が支払人によって承認されたことを証明するのに、必ずしも十分ではない――とされ、支払人が不正に、あるいは重大な過失をもって行為したことの証明としても同じです（第 44 条 2 項）。最後の点も銀行の負担です。probar que el usuario del servicio de pago cometió fraude o negligencia grave――決済サービスの利用者が詐欺を行い、または重大な過失を犯したことを証明する――のは、サービス提供者の側です（第 44 条 3 項）。

最高裁判所は判決 571/2025 で、その帰結を導きました。銀行の責任は tiene carácter cuasi objetivo――準客観的な性格をもつ――とされ、それには二つの意味があります。未承認の支払の通知を受けた銀行は、詐欺を証明しない限り責任を負います。そして、顧客が支払を否定している場合、正しいコードが使われたことを示すログがあっても銀行は免責されません。裁判所はさらに、「サービスの欠陥」とはコンピューターの故障だけではないと述べました。それは cualquier falta de diligencia o mala praxis en la prestación del servicio――サービスの提供におけるあらゆる注意の欠如または不適切な実務――を含み、その基準は通常の注意深い人ではなく専門の事業者の注意であり、適切な実務には、異常な支払のパターンに気づいて止める仕組みが含まれます。

この事件が、その意味を示しています。2021 年 3 月 17 日から 18 日にかけての夜、サラゴサのある口座から十五件の送金が出ていきました。十件は Bizum、五件はオンラインバンキングによるもので、手数料を含めて 83,692.73 ユーロ。確認に使われたコードは、その日の午後に別の州の店舗で SIM カードが複製された電話回線に送られていました。顧客は三週間前から、自分が指示していない送金のコードが届いていると支店に伝えていました。銀行は受取側の銀行から 27,218.10 ユーロを回収し、残りの返金を拒みました。三つの裁判所が順に、残る 56,474.63 ユーロの支払を銀行に命じました。No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado――未明に取引をしたことのない人が、突然、十七件もの取引を立て続けに、しかもこれほど高額で行うことを、通常で取るに足りないことと見ることはできない。

顧客が負担させられる額――50 ユーロ、全額、またはゼロ

50 ユーロは、紛失し、または盗まれた支払手段が使われた場合の顧客の負担分です。支払人に負担させることができるのは hasta un máximo de 50 euros――最大 50 ユーロまで――です。この上限がなくなり、損失の全額が顧客にかかるのは、顧客が por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41――不正に行為したこと、または第 41 条が定める義務の一つもしくは複数を故意もしくは重大な過失によって履行しなかったこと――によって損失を被った場合に限られます。そして、銀行が強力な顧客認証――あなたが知っているもの、持っているもの、あなた自身であるもののうち、独立した二つの要素――を求めなかった場合には、el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta――支払人は、不正に行為した場合にのみ、生じうる経済的な結果を負担する――とされています（第 46 条 2 項）。

「重大な過失」――裁判所はこれをどう解してきたか

つまり、すべては「重大な過失」という言葉にかかっています。スペイン法の背後にある EU 指令がその物差しを示しており、最高裁判所もこれを引用しています。la negligencia grave tiene que significar algo más que la mera negligencia――重大な過失は、単なる過失を超える何かを意味しなければならない――、すなわち、認証情報を誰でも読める形でカードのそばに保管するといった、相当な程度の不注意を示す行為です。よくできた偽物にだまされることは、その水準には当たりません。カナリア諸島の裁判所は、どの顧客にも見覚えのあるような事案で、二度そう述べています。

ラス・パルマス（県高等裁判所、2025 年 4 月 4 日の判決 207/2025）では、メッセージは銀行の名義を表示した SMS で届きました。通常と異なる引き落とし、そしてそれを取り消すためのリンクです。顧客はリンクの先のページでオンラインバンキングのパスワードを入力し、その後、カードによる購入が二件、合計 3,286 ユーロ続きました。銀行は、取引は「正しく承認されている」として返金を拒みました。裁判所は銀行を敗訴させた判決を維持しました。銀行自身が提出した証明書には、顧客を認証した端末または主体は「特定されていない」と記載されており、裁判所は la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación――銀行は求められる注意と安全の措置をとらずに行動したのであり、その義務違反の帰結は、取引の金額を返還する義務である――と述べました。

サンタ・クルス・デ・テネリフェ（県高等裁判所、2024 年 4 月 23 日の判決 177/2024）では、顧客はさらに踏み込んでいました。電話会社のオペレーターを装う人物との通話のなかで、銀行から届くコードを相手に伝えてしまい、その後、世界の反対側にある複数の都市からほぼ同時に、カードによる購入が立て続けに行われたのです。請求額は 44,227.28 ユーロでした。銀行はこれを重大な過失と呼びました。裁判所はそうは考えませんでした。法律が求める過失は cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo――弁解の余地のない注意の欠如という概念に近く、だからこそその認定は制限的でなければならない――ものであり、アクセス用パスワードとカードの限度額が変更された直後に、そのような一連の取引に気づくことのできる仕組みがあったことを何ら証明しない銀行は、人を信じすぎた顧客に損失を押しつけることはできません。

すべての事件がこのように終わるわけではありません。指令自体が、あらゆる事情を考慮しなければならないと述べており、事実が違えば結論も違うことがあります。

自分で送金してしまった場合

別の詐欺には別のルールが必要です。だまされて自分で支払を指示してしまった場合――口座番号を書き換えられた仕入先の請求書、貯蓄を「安全な口座」に移すよう説得する「銀行員」――には、法律の返金ルールはそのままでは当てはまりません。このルールは同意なしに行われた支払のために書かれており、どれほどだまされていたとしても、自分で指示した支払は、外形上は承認された支払だからです。スペイン銀行の苦情報告書はこれを「欺罔によって承認された取引」に分類し、顧客に警察、消費者当局または裁判所へ行くよう案内しています。裁判所で残るのは契約の一般法であり、そこではあなた自身の行動が銀行の行動と比較衡量されます。最高裁判所の 2026 年 5 月 25 日の判決 787/2026 が、その物差しを示しています。ある会社では、財務部門の従業員が役員になりすました者にだまされて中国への七件の送金を指示しましたが、会社は 1,566,951.50 ユーロの半額、783,475.75 ユーロを取り戻しました。会社が渡していた書面の手順を銀行が無視していたからであり、一方で会社は、この詐欺における自社の従業員の関与について責任を負ったからです。

2025 年 10 月 9 日からは、お金が出ていく前に働く道具が一つあります。ユーロ建ての送金について、ユーロ圏の銀行は、あなたが承認する前に受取人の名義と口座番号を照合し、両者が一致しないときはそれを知らせ、autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante――その送金を承認すると、支払人が指定した受取人が名義人ではない決済口座に資金が移されるおそれがある――と警告しなければなりません（規則 (EU) 260/2012 第 5c 条、2024 年に追加）。銀行がこの照合を怠り、そのために支払が誤った先に行った場合、銀行は遅滞なくその金額を返金しなければなりません。銀行が警告したのにあなたが続行した場合、銀行は、あなたが入力した口座への送金について責任を負いません。メールで届いた「新しい口座番号」に不一致の警告が出たときこそ、以前から知っている番号で仕入先に電話をかけるときです。

企業は消費者ほど保護されない

以上のルールは、消費者を全面的に、零細企業をほぼ全面的に保護します。それより大きな企業は、契約でこれを放棄するよう求められることがあります。利用者がそのどちらでもない場合、当事者は、第 44 条と第 46 条――立証責任と顧客の責任の限度――を適用しないと合意できます。また、消費者でない利用者であれば、零細企業を含めて、十三か月とは別の期間を合意で定めることができます（第 34 条 1 項）。会社の銀行取引契約は、詐欺の後ではなく、前に読んでおいてください。

手順――銀行、スペイン銀行、裁判所

三つの段階を、この順序で踏みます。最初は銀行の顧客サービス部門で、書面で行います。決済サービスについては、同部門は a más tardar quince días hábiles después de la recepción de la reclamación――苦情の受領後、遅くとも十五営業日以内に――回答しなければならず、遅れる理由を説明した場合でも最長で一か月以内です（第 69 条）。

二番目は、銀行が拒否した場合や回答しない場合のスペイン銀行です。同行の行為監督部門がオンラインまたは書面で苦情を受け付けており、消費者は銀行への苦情申立てから一年以内に申し立てることができます。この道を選ぶ前に、二つのことを知っておくべきです。報告書は四か月以内に出されることになっていますが、それは no tiene carácter vinculante――拘束力をもたない――ものであり（Orden ECC/2502/2012 第 12 条）、銀行は従わないこともできます。そして、この分野での実績は一様ではありません。2025 年にスペイン銀行が受け付けた苦情は 30,970 件で、その 30% は欺罔や詐欺の状況で行われた支払に関するものでした。前年より約 18% 多く、三分の二がカード、三分の一が送金によるものです。そしてカードに関する苦情では、同行自身の報告書によれば、銀行に有利な判断が多数を占めており、その大半は強力な認証を通過した不正な支払に関する案件です。監督機関が見るのは、銀行が適切な実務のルールに従ったかどうかです。裁判所は、上で述べた立証責任を適用します。

裁判所が第三の段階であり、本稿で引用した判決が得られたのもこの段階です。警察への届出は第四の段階ではありません。それは銀行が初日に求めてくる手続であり、日付と事実を固定するものです。その後の刑事捜査がどう進むかは別の問題で、本稿では扱いません。

最初の一時間と、最初の二週間にすべきこと

• 銀行に電話して、すべてを止める。 カード、オンラインバンキング、Bizum。通話の受付番号を聞いておきます。
• その日のうちに書面にする。 支払を承認していないことを述べ、支払を一件ずつ挙げ、第 45 条に基づく返金を、証拠の残る方法で求めます。
• 警察に届け出て、控えを保管する。 銀行から求められます。
• 取引を「承認した」と書かれた書類には署名しない。 申立書は自認書ではありません。何が書かれているかを読んでください。
• 電話はそのままにしておく。 メッセージ、通話履歴、リンクは証拠です。
• SIM カードが使えなくなっていたら、電話会社にも書面を送る。 コードが他人の手に渡ったのは、複製された SIM を通じてです。
• 十五営業日を数える。 そのうえで、書類を手に、スペイン銀行か裁判所かを選びます。

銀行の最初の手紙は、コードはあなたのものだったと言います。法律が問うのは別のことです。あなたは同意したのか――そして銀行は、過失が重大で、しかもあなたのものだったと証明できるのか。

当事務所の銀行法チームがすること

私たちは、法律と上記の判決に照らして案件を検討し――それぞれの支払の時刻、銀行の記録が実際に何を証明しているのか、あなたがいつ何を銀行に伝えたのか――、銀行への請求書面を作成し、銀行が拒否した場合には訴訟を提起します。相談は有料で、費用は事前にお知らせします。また、裁判所がどう判断するかを約束できる人はいません。銀行に対する請求はどれも同じではありません。フロア条項（最低金利条項）と IRPH 指数に関する記事では、別の二つの類型を扱っています。このサービスの内容は銀行法のページに、両事務所の営業時間はお問い合わせページに記載しています。

よくある質問

銀行は、支払は私の認証情報で認証されたと言っています。それで終わりですか。

いいえ。認証が証明するのは正しいコードが使われたことであって、あなたが同意したことではありません。法律は、銀行の記録は承認の証明として必ずしも十分ではないと定めており（第 44 条 2 項）、最高裁判所は 2025 年 4 月、利用者のパスワードと SMS コードで行われた支払であっても、利用者が否定すれば、銀行が詐欺または重大な過失を証明しない限り未承認であると判断しました。

請求できる期間はどれくらいですか。

気づいたその日に銀行に知らせてください。法律は不当に遅れることのない通知を求め、引き落としの日から十三か月という外側の期限を定めています。その後、消費者は銀行への苦情申立てから一年以内にスペイン銀行に申し立てることができます。待つことで得をするのは相手方だけです。

リンクをクリックしてパスワードを入力しました。これは重大な過失ですか。

本稿のために読んだ判決による限り、それだけでは重大な過失になりません。重大な過失は単なる過失を超えるものを意味し、制限的に認定されます。ラス・パルマスとサンタ・クルス・デ・テネリフェの裁判所は、偽の銀行メッセージや電話口の偽オペレーターにだまされた顧客について重大な過失を認めず、むしろ銀行のシステムが何を見逃したのかに目を向けました。事件はそれぞれ、その事実に基づいて判断されます。

会社の口座も保護されますか。

会社が零細企業であれば、ほぼ全面的に保護されます。本稿で述べたルールのうち、契約で変更できるのは十三か月の期間だけです。それより大きな会社では、契約によって立証責任と責任に関するルールも排除されていることがあります。また、従業員が送金を指示した詐欺は契約の一般法によって判断され、そこでは会社自身の不注意も考慮されます。

スペイン銀行の報告書は銀行を拘束しますか。

いいえ。それは四か月以内に出されることになっている理由付きの意見です。銀行はそれを受け入れるかどうかを表明しなければなりませんが、受け入れないこともできます。銀行に支払を義務づけるのは、裁判所の判決だけです。

2026 年 10 月現在のスペイン法（Real Decreto-ley 19/2018 第 34 条、第 36 条、第 41 条から第 46 条および第 69 条、規則 (EU) 260/2012 第 5c 条、Orden ECC/2502/2012）に関する一般的な情報であり、あなたの個別の事案についての助言ではありません。詐欺についての責任は、その正確な事実と日付によって決まります。