Фишинг и неавторизованные платежи в Испании: когда банк обязан вернуть деньги

Сообщение приходит в ту же ленту, что и все настоящие сообщения, которые ваш банк когда-либо вам присылал: обнаружено необычное списание, отменить его можно здесь. Страница за ссылкой похожа на страницу банка. Вы вводите пароль. Через четверть часа со счёта ушли платежи, которых вы не делали, а ещё через неделю письмо сообщает, что ничего возвращено не будет, потому что операции были «корректно авторизованы вашими персональными защитными данными». Таков первый ответ банка в большинстве подобных дел. Но это не ответ закона. Испанское платёжное право начинает с противоположного конца: платёж авторизован, только если вы дали на него согласие; неавторизованный платёж должен быть возвращён до конца следующего рабочего дня; и доказывать мошенничество или грубую небрежность должен банк, а не клиент. Эта статья читает правило в том виде, в каком оно действует в октябре 2026 года, — закон, решение Верховного суда от апреля 2025 года, два решения канарских апелляционных судов и цифры самого Banco de España — и говорит, где защита заканчивается. Цитаты даны по-испански, с прочтением по-русски.

«Авторизовано» значит «с согласия», а не «введено вашими кодами»

Правило — статья 36 Real Decreto-ley 19/2018, закона о платёжных услугах: Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución — платёжные операции считаются авторизованными, когда плательщик дал согласие на их исполнение, — и A falta de tal consentimiento la operación de pago se considerará no autorizada — при отсутствии такого согласия платёжная операция считается неавторизованной. Платёж, который посторонний совершает с помощью данных, выманенных у вас обманом, сделан вашими кодами и без вашего согласия.

Верховный суд прямо сказал это в решении 571/2025 от 9 апреля 2025 года: к «неавторизованным операциям» относятся и те, что начаты с именем пользователя и паролем клиента и подтверждены кодом, который банк прислал по СМС, всякий раз, когда клиент отрицает, что авторизовал их. Договор не может установить иное. Этот режим обязателен для обеих сторон, и условие, по которому клиент признаёт своими все операции, совершённые с его ключами, его не отменяет.

Возврат: до конца следующего рабочего дня

Как только банк узнаёт о неавторизованном платеже, он должен вернуть деньги de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación — немедленно и в любом случае не позднее конца рабочего дня, следующего за тем, когда он заметил операцию или был о ней уведомлён (статья 45.1), — и привести счёт в то состояние, в каком он был бы. Выход только один: банк может задержать возврат, если у него есть разумные основания подозревать мошенничество самого клиента и он письменно сообщает об этих основаниях в Banco de España. «Мы проводим проверку» — не такое сообщение.

Ваша часть: сообщить банку сразу и никогда не позже тринадцати месяцев

У клиента две обязанности (статья 41): принимать todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas — все разумные меры для защиты своих персональных защитных данных — и без промедления сообщать банку об утрате, краже или неавторизованном использовании инструмента. От второй зависит право на возврат. Банк нужно уведомить sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones — без неоправданной задержки, как только ему станет известно о любой из таких операций, — и в любом случае dentro de un plazo máximo de trece meses contados desde la fecha del adeudo — в пределах максимального срока в тринадцать месяцев с даты списания (статья 43.1).

Тринадцать месяцев — это внешняя стена, а не дата, на которую надо ориентироваться: каждый час между мошенничеством и звонком — это час, который банк потом использует против вас. После вашего уведомления убытки несёт банк, если только вы не действовали мошеннически (статья 46.3), и банк обязан в любое время и бесплатно держать открытым канал для такого уведомления (статья 42.1.c).

Кто что должен доказывать

Здесь закон полезнее всего. Когда клиент отрицает, что авторизовал платёж, банк должен доказать, что операция была аутентифицирована, точно зарегистрирована и проведена по счетам и что на неё не повлиял технический сбой или иной недостаток его услуги (статья 44.1). Даже тогда запись о том, что инструмент был использован, no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante — не обязательно достаточна, чтобы доказать, что платёжная операция была авторизована плательщиком, — как и то, что он действовал мошеннически или с грубой небрежностью (статья 44.2). И последнее слово — тоже бремя банка: именно поставщик должен probar que el usuario del servicio de pago cometió fraude o negligencia grave — доказать, что пользователь платёжной услуги совершил мошенничество или допустил грубую небрежность (статья 44.3).

Верховный суд сделал выводы в решении 571/2025. Ответственность банка tiene carácter cuasi objetivo — носит квазиобъективный характер — в двух смыслах: получив сообщение о неавторизованном платеже, он отвечает, если не докажет мошенничество; а когда клиент отрицает платёж, журнал, показывающий, что были использованы правильные коды, его не освобождает. «Недостаток услуги», добавил суд, — это не только компьютерный сбой: он охватывает cualquier falta de diligencia o mala praxis en la prestación del servicio — любое отсутствие должной заботливости или дурную практику при оказании услуги, — оцениваемые по мерке опытного коммерсанта, а не обычного осмотрительного человека, и к хорошей практике относятся системы, которые замечают аномальную серию платежей и останавливают её.

Дело показывает, что это означает. В ночь с 17 на 18 марта 2021 года со счёта в Сарагосе ушло пятнадцать переводов — десять через Bizum, пять через онлайн-банк, — 83 692,73 € вместе с комиссиями, подтверждённых кодами, отправленными на телефонную линию, SIM-карту которой в тот же день продублировали в магазине в другом регионе. Клиент три недели говорил в своём отделении, что получает коды для переводов, которых не заказывал. Банк вернул 27 218,10 € из банков-получателей и отказал в остальном; три суда один за другим обязали его выплатить оставшиеся 56 474,63 €. No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado — нельзя считать нормальным и не имеющим значения то, что человек, никогда не совершающий операций глубокой ночью, вдруг проводит до семнадцати операций подряд, да ещё на такую большую сумму.

Что можно возложить на клиента: 50 €, всё или ничего

50 € — это доля клиента, когда используется утерянный или украденный инструмент: на плательщика можно возложить hasta un máximo de 50 euros — не более 50 евро. Потолок исчезает, и весь убыток ложится на клиента, только если он понёс его por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41 — из-за того, что действовал мошеннически или умышленно либо по грубой небрежности не исполнил одну или несколько обязанностей, установленных статьёй 41. А там, где банк не потребовал усиленной аутентификации клиента — двух независимых элементов из того, что вы знаете, того, чем вы владеете, и того, чем вы являетесь, — el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta — плательщик несёт возможные экономические последствия, только если действовал мошеннически (статья 46.2).

«Грубая небрежность»: что из неё сделали суды

Итак, всё вращается вокруг двух слов. Европейская директива, стоящая за испанским законом, даёт мерку, и Верховный суд её цитирует: la negligencia grave tiene que significar algo más que la mera negligencia — грубая небрежность должна означать нечто большее, чем простая небрежность, — поведение, обнаруживающее значительную степень беспечности, например хранение данных рядом с картой в виде, который может прочитать кто угодно. Быть обманутым хорошо сделанной подделкой — не тот уровень, и канарские суды сказали это дважды, в делах, обстоятельства которых узнает любой клиент.

В Лас-Пальмасе (провинциальный суд, решение 207/2025 от 4 апреля 2025 года) сообщение пришло по СМС от имени банка: необычное списание, ссылка, чтобы его отменить. Клиент ввёл пароль онлайн-банка на странице за ссылкой; последовали две покупки по карте, всего 3 286 €; банк отказал в возврате, потому что операции были «корректно авторизованы». Суд подтвердил решение против банка. Сертификат, который представил сам банк, показывал, что устройство или организация, аутентифицировавшие клиента, не были идентифицированы, и la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación — банк действовал, не приняв требуемых мер заботливости и безопасности, и следствием нарушения является обязанность вернуть сумму операции.

В Санта-Крус-де-Тенерифе (провинциальный суд, решение 177/2024 от 23 апреля 2024 года) клиент зашёл дальше: говоря по телефону с человеком, выдававшим себя за оператора телефонной компании, он передавал коды, которые присылал ему банк, и последовала серия покупок по карте, сделанных почти одновременно из городов на противоположных концах света; иск был на 44 227,28 €. Банк назвал это грубой небрежностью. Суд — нет. Небрежность, которой требует закон, cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo — близка к понятию непростительного отсутствия заботливости, и поэтому усматривать её следует ограничительно, — и банк, не доказавший наличия системы, способной заметить такую серию операций сразу после смены пароля доступа и лимитов по картам, не может переложить убыток на клиента, который оказался слишком доверчив.

Не всякое дело заканчивается так. Сама директива говорит, что нужно взвешивать все обстоятельства, и другие факты могут дать другой результат.

Когда перевод сделали вы сами

Другому мошенничеству нужно другое правило. Если вас обманом заставили самому отдать распоряжение о платеже — счёт поставщика с изменённым номером счёта, «сотрудник банка», уговаривающий перевести сбережения на «безопасный счёт», — законное правило о возврате не подходит в готовом виде: оно написано для платежей, сделанных без вашего согласия, а платёж, который вы распорядились сделать сами, как бы вас ни обманули, на первый взгляд авторизован. Отчёт Banco de España о жалобах относит его к операциям, «авторизованным в результате обмана», и направляет клиента в полицию, в органы по защите потребителей или в суд. В суде остаётся общее договорное право, в котором ваше собственное поведение взвешивается против поведения банка. Решение Верховного суда 787/2026 от 25 мая 2026 года даёт мерку: компания, сотрудницу казначейства которой некто, выдававший себя за члена совета директоров, убедил распорядиться сделать семь переводов в Китай, вернула половину своих 1 566 951,50 € — 783 475,75 €, — потому что банк проигнорировал письменный протокол, который дала ему компания, а компания отвечала за долю своей сотрудницы в обмане.

С 9 октября 2025 года один инструмент работает до того, как деньги уйдут. При переводах в евро банки еврозоны обязаны сверить имя получателя с номером счёта до того, как вы авторизуете платёж, и сообщить вам, если они не совпадают, с предупреждением, что autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante — авторизация перевода может привести к тому, что средства будут переведены на платёжный счёт, владельцем которого не является получатель, указанный плательщиком (Регламент (ЕС) 260/2012, статья 5c, добавленная в 2024 году). Если банк не проведёт сверку и платёж из-за этого уйдёт не туда, он должен без промедления вернуть сумму; если он вас предупредил, а вы продолжили, он не отвечает за перевод на счёт, который вы ввели. Предупреждение о несовпадении при «новом номере счёта», пришедшем по электронной почте, — это момент позвонить поставщику по номеру, который у вас уже был.

Компании защищены хуже, чем потребители

Изложенные правила полностью защищают потребителей и почти полностью — микропредприятия. Более крупную компанию могут попросить отказаться от них по договору: если пользователь — ни то ни другое, стороны могут договориться, что статьи 44 и 46 — бремя доказывания и пределы ответственности клиента — не применяются; а с любым пользователем, который не является потребителем, включая микропредприятия, можно установить иной срок, чем тринадцать месяцев (статья 34.1). Прочитайте банковский договор своей компании до мошенничества, а не после.

Путь: банк, Banco de España, суд

Три шага, в таком порядке. Сначала — служба обслуживания клиентов банка, письменно. По платёжным услугам она должна ответить a más tardar quince días hábiles después de la recepción de la reclamación — не позднее чем через пятнадцать рабочих дней после получения претензии — и самое позднее в течение месяца, если объяснит задержку (статья 69).

Затем — Banco de España, если банк отказывает или молчит: его департамент по надзору за поведением принимает жалобы онлайн или на бумаге, и у потребителя есть год с момента претензии в банк, чтобы её подать. О двух вещах стоит знать до того, как выбрать этот путь. Его заключение должно прийти в течение четырёх месяцев, и оно no tiene carácter vinculante — не имеет обязательной силы (Orden ECC/2502/2012, статья 12): банк может ему не последовать. И в этой теме его итоги неоднозначны. В 2025 году Banco de España получил 30 970 жалоб; 30 % из них касались платежей, совершённых в ситуации обмана или мошенничества, — примерно на 18 % больше, чем годом раньше, две трети по картам и треть переводами, — а в жалобах по картам, говорится в его собственном отчёте, преобладают решения в пользу банков, в делах, которые касаются главным образом мошеннических платежей, прошедших усиленную аутентификацию. Надзорный орган смотрит, соблюдал ли банк правила хорошей практики; суды применяют описанное выше бремя доказывания.

Суд — третий шаг, и именно тот, на котором получены приведённые здесь решения. Заявление в полицию — не четвёртый: это действие, которого банк потребует в первый же день, оно фиксирует дату и факты, а то, что затем делает уголовное расследование, — отдельный вопрос, который эта статья не рассматривает.

Что делать в первый час и в первые две недели

• Позвоните в банк и заблокируйте всё. Карту, онлайн-банк, Bizum; попросите номер обращения.
• В тот же день изложите всё письменно. Напишите, что не авторизовали платежи, перечислите их и потребуйте возврата по статье 45, по каналу, который оставляет подтверждение.
• Подайте заявление в полицию и сохраните копию. Банк её попросит.
• Не подписывайте ничего, где сказано, что вы «авторизовали» операции. Бланк претензии — не признание; прочитайте, что в нём написано.
• Оставьте телефон как есть. Сообщения, журнал звонков и ссылка — это доказательства.
• Если ваша SIM-карта перестала работать, напишите и телефонному оператору. Через дубликат SIM-карты код попал к другому человеку.
• Отсчитайте пятнадцать рабочих дней. Затем выбирайте между Banco de España и судом с бумагами в руках.

В первом письме банка сказано, что коды были ваши. Закон задаёт другой вопрос: дали ли вы согласие — и может ли банк доказать, что вина была грубой, и вашей?

Что делает наша команда по банковскому праву

Мы проверяем дело по закону и по приведённым решениям — время каждого платежа, что на самом деле доказывают записи банка, что и когда вы сообщили банку, — составляем претензию в банк и, если он отказывает, передаём дело в суд. Консультация платная, стоимость называется заранее, и никто не может обещать, что решит суд. Банковские претензии не все одинаковы: наши статьи о «нижних порогах» ставки и об индексе IRPH посвящены двум другим. Услуга описана на нашей странице о банковском праве, а на странице контактов указаны часы работы обоих офисов.

Частые вопросы

Банк говорит, что платежи были аутентифицированы моими данными. На этом всё?

Нет. Аутентификация доказывает, что были использованы правильные коды, но не то, что вы дали согласие. Закон говорит, что записи банка не обязательно достаточно для доказательства авторизации (статья 44.2), а Верховный суд в апреле 2025 года решил, что платежи, сделанные с паролем пользователя и СМС-кодом, не авторизованы, если пользователь их отрицает, — если только банк не докажет мошенничество или грубую небрежность.

Сколько у меня времени на претензию?

Сообщите банку в тот же день, когда обнаружите. Закон требует уведомления без неоправданной задержки и устанавливает крайний предел в тринадцать месяцев с даты списания; затем у потребителя есть год с момента претензии в банк, чтобы обратиться в Banco de España. Ожидание помогает только другой стороне.

Я нажал на ссылку и ввёл пароль. Это была грубая небрежность?

Само по себе нет — судя по решениям, прочитанным для этой статьи. Грубая небрежность — нечто большее, чем простая небрежность, и усматривается ограничительно; суды в Лас-Пальмасе и Санта-Крус-де-Тенерифе отказались видеть её у клиентов, обманутых поддельным сообщением банка и ложным оператором по телефону, и посмотрели на то, чего не заметили системы банка. Каждое дело решается по его собственным фактам.

Защищает ли это счёт моей компании?

Почти полностью, если компания — микропредприятие: из описанных здесь правил её договор может изменить только срок в тринадцать месяцев. Договор более крупной компании мог исключить ещё и правила о бремени доказывания и об ответственности, а мошенничество, при котором перевод распорядился сделать сотрудник, оценивается по общему договорному праву, где учитывается неосмотрительность самой компании.

Обязательно ли заключение Banco de España для банка?

Нет. Это мотивированное мнение, которое должно прийти в течение четырёх месяцев; банк должен сообщить, принимает ли он его, и может не принять. Судебное решение — единственное, что обязывает банк платить.

Общая информация об испанском праве по состоянию на октябрь 2026 года (Real Decreto-ley 19/2018, статьи 34, 36, 41–46 и 69; Регламент (ЕС) 260/2012, статья 5c; Orden ECC/2502/2012), а не консультация по вашему делу: ответственность за мошенничество зависит от его точных фактов и дат.