西班牙的网络钓鱼与未经授权的支付：银行何时必须退款

一条信息出现在您的银行发来过的所有真实信息的同一个对话里：检测到一笔异常扣款，您可以在这里取消。链接后面的页面看起来就是银行的页面。您输入了密码。一刻钟后，几笔您从未做过的付款已经离开账户；一周之后，一封邮件告诉您分文不退，因为这些操作「已用您的个性化安全凭证正确授权」。在大多数这类案件里，这是银行的第一个答复。但这不是法律的答复。西班牙的支付法从相反的一端出发：只有您同意过的付款才算已授权；未经授权的付款必须在下一个工作日结束前退还；而需要证明欺诈或重大过失的是银行，不是客户。本文按 2026 年 10 月的现行规定来读这条规则——法律条文、最高法院 2025 年 4 月的判决、加那利两家上诉法院的判决以及西班牙央行（Banco de España）自己的数字——并说明保护止于何处。引文为西班牙语原文，后附中文释读。

「已授权」意味着同意过，而不是「用您的密码输入过」

规则是 Real Decreto-ley 19/2018（支付服务法）第 36 条：Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución——付款人同意执行的，支付交易即视为已获授权——以及 A falta de tal consentimiento la operación de pago se considerará no autorizada——没有这种同意的，支付交易视为未经授权。陌生人用从您那里骗来的凭证所做的付款，用的是您的密码，却没有您的同意。

最高法院在 2025 年 4 月 9 日第 571/2025 号判决中明确说过：凡是用客户的用户名和密码发起、并用银行通过短信发送的验证码确认的交易，只要客户否认授权，同样属于「未经授权的交易」。合同不能作出相反约定。这套制度对双方都是强制性的，客户承认凡用其密钥所做操作均为本人操作的条款，并不能排除它。

退款：下一个工作日结束之前

银行一旦知道有未经授权的付款，就必须把钱退回，de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación——立即退还，无论如何最迟在其发现该交易或接到通知之日的下一个工作日结束之前（第 45 条第 1 款）——并把账户恢复到本应有的状态。出路只有一条：银行有合理理由怀疑客户本人欺诈，并把这些理由书面通报西班牙央行的，可以暂不退款。「我们正在调查」不是这种通报。

您的部分：立刻通知银行，最迟不得超过十三个月

客户有两项义务（第 41 条）：采取 todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas——一切合理措施保护其个性化安全凭证——以及在支付工具遗失、被盗或被擅自使用时毫不迟延地通知银行。退款的权利取决于第二项。必须 sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones——在知悉任何此类交易后毫无不当迟延地——通知银行，并且无论如何 dentro de un plazo máximo de trece meses contados desde la fecha del adeudo——最长不超过自扣款之日起十三个月（第 43 条第 1 款）。

十三个月是外墙，不是该瞄准的日期：从欺诈到打出电话之间的每一个小时，日后都会被银行用来对付您。在您通知之后，损失由银行承担，除非您本人有欺诈行为（第 46 条第 3 款）；银行必须随时、免费地为这种通知保留一条渠道（第 42 条第 1 款 c 项）。

谁应当证明什么

这是法律最有用的地方。客户否认授权某笔付款的，应由银行证明该交易经过了认证、被准确记录并入账，而且没有受到技术故障或其服务的其他缺陷的影响（第 44 条第 1 款）。即便如此，关于支付工具被使用的记录，no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante——未必足以证明该支付交易已获付款人授权——也未必足以证明付款人有欺诈行为或重大过失（第 44 条第 2 款）。最后一步同样是银行的举证责任：应由服务提供者 probar que el usuario del servicio de pago cometió fraude o negligencia grave——证明支付服务用户实施了欺诈或存在重大过失（第 44 条第 3 款）。

最高法院在第 571/2025 号判决中得出了结论。银行的责任 tiene carácter cuasi objetivo——具有准客观性质——含义有二：接到未经授权付款的通知后，除非证明存在欺诈，否则银行就要负责；客户否认付款的，一份显示使用了正确密码的日志并不能使银行免责。法院还说，「服务缺陷」不只是计算机故障：它包括 cualquier falta de diligencia o mala praxis en la prestación del servicio——提供服务过程中任何欠缺注意或不良做法——衡量标准是专业商人的注意程度，而不是普通谨慎之人的注意程度；良好做法包括能够发现异常付款模式并加以拦截的系统。

这个案件说明了这意味着什么。2021 年 3 月 17 日至 18 日夜间，萨拉戈萨的一个账户转出了十五笔转账——十笔通过 Bizum，五笔通过网上银行——连同手续费共 83,692.73 欧元，用于确认的验证码发到了一条电话线路上，而该线路的 SIM 卡当天下午在另一个大区的一家店里被复制。此前三个星期，客户一直告诉支行，他收到了并非自己发起的转账的验证码。银行从收款银行追回了 27,218.10 欧元，拒绝退还其余部分；先后三级法院判令它支付剩余的 56,474.63 欧元。No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado——一个从不在凌晨操作的人突然连续进行多达十七笔操作，而且金额如此之高，这不能被视为正常和无关紧要。

客户可能要承担的：50 欧元、全部，或者分文不担

50 欧元是遗失或被盗的支付工具被使用时客户承担的份额：可以要求付款人承担 hasta un máximo de 50 euros——最多 50 欧元。只有在客户 por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41——因有欺诈行为，或者故意或因重大过失没有履行第 41 条规定的一项或多项义务——而遭受损失时，这一上限才会消失，全部损失才落在客户身上。而在银行没有要求强客户认证的场合——即从您所知道的、您所持有的和您本身的特征中取两个相互独立的要素——el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta——付款人只有在有欺诈行为时才承担可能的经济后果（第 46 条第 2 款）。

「重大过失」：法院是怎么理解的

于是，一切都取决于这四个字。西班牙法律背后的欧盟指令给出了尺度，最高法院也引用了它：la negligencia grave tiene que significar algo más que la mera negligencia——重大过失的含义必须超出单纯的过失——即表现出相当程度疏忽的行为，例如把凭证以任何人都能读懂的形式和卡放在一起。被一件做得很像的伪造品欺骗，达不到这个程度；加那利的法院已经两次这样说过，案情是每一位客户都会觉得眼熟的。

在拉斯帕尔马斯（省法院 2025 年 4 月 4 日第 207/2025 号判决），这条短信是以银行的名义发来的：一笔异常扣款，一个用来取消它的链接。客户在链接后面的页面上输入了网上银行密码；随后发生了两笔刷卡消费，共 3,286 欧元；银行拒绝退款，理由是这些操作「已正确授权」。法院维持了对银行不利的判决。银行自己提交的证明记载，对客户进行认证的设备或机构未被识别，而 la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación——银行行事时没有采取所要求的注意和安全措施，这一违约的后果就是返还交易金额的义务。

在圣克鲁斯-德特内里费（省法院 2024 年 4 月 23 日第 177/2024 号判决），客户走得更远：在电话里，面对一个冒充电话公司客服的人，他把银行发来的验证码一一告诉了对方，随后出现了一连串刷卡消费，几乎同时发生在世界两端的城市；诉讼请求金额为 44,227.28 欧元。银行称之为重大过失。法院不这么看。法律所要求的过失是 cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo——接近于不可原谅的欠缺注意，因此对它的认定必须从严——而一家银行如果不能证明自己有任何系统能够发现这样一连串操作——而且正好发生在登录密码和卡片限额刚被修改之后——就不能把损失转嫁给一个过于轻信的客户。

并非每个案件都这样收场。指令本身就说必须权衡所有情节，事实不同，结果也可能不同。

如果转账是您自己做的

不同的骗局需要不同的规则。如果您是受骗后自己下达了付款指令——供应商的发票上账号被改掉了，或者一个「银行员工」劝您把积蓄转到「安全账户」——法律上的退款规则就不能直接套用：它是为未经您同意的付款而写的，而您自己下令的付款，无论受了多大的骗，表面上都是已授权的付款。西班牙央行的投诉报告把它归为「因受骗而授权」的交易，并让客户去找警方、消费者主管部门或法院。到了法院，剩下的是一般合同法，在那里，您自己的行为要与银行的行为相互权衡。最高法院 2026 年 5 月 25 日第 787/2026 号判决给出了尺度：一家公司的财务部员工被冒充董事的人欺骗，下令向中国汇出七笔转账，公司最终追回了 1,566,951.50 欧元中的一半——783,475.75 欧元——因为银行无视了公司交给它的书面操作规程，而公司也要为其员工在这场骗局中的那一份负责。

自 2025 年 10 月 9 日起，有一件工具在钱转出之前就起作用。对于欧元转账，欧元区的银行必须在您授权之前核对收款人姓名与账号是否相符，不相符时要告知您，并提示 autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante——授权该笔转账可能导致资金被转入一个其持有人并非付款人所指明收款人的支付账户（第 260/2012 号条例（欧盟）第 5c 条，2024 年增补）。银行没有做这项核对、付款因此出错的，必须毫不迟延地退还款项；银行提示过您而您仍然继续的，它对转入您所输入账户的这笔转账不负责任。通过电子邮件收到的「新账号」触发了不相符提示，这正是按您原来就有的号码给供应商打电话的时候。

企业受到的保护少于消费者

上述规则完全保护消费者，对微型企业的保护也近乎完全。规模更大的企业可能会被要求以合同放弃它们：用户既不是消费者也不是微型企业的，双方可以约定不适用第 44 条和第 46 条，即举证责任和客户责任的限额；而对任何不是消费者的用户，包括微型企业，都可以约定不同于十三个月的期限（第 34 条第 1 款）。请在遭遇欺诈之前，而不是之后，阅读贵公司的银行合同。

路径：银行、西班牙央行、法院

三个步骤，依此顺序。第一步是书面向银行的客户服务部门投诉。对于支付服务，它必须 a más tardar quince días hábiles después de la recepción de la reclamación——最迟在收到投诉后十五个工作日内——作出答复；说明了迟延理由的，最长不得超过一个月（第 69 条）。

第二步是西班牙央行，如果银行拒绝或不予答复：其行为监管部门接受在线或纸质投诉，消费者自向银行投诉之日起有一年时间提出。在选择这条路之前，有两点应当知道。它的报告应在四个月内作出，而且它 no tiene carácter vinculante——不具有约束力（Orden ECC/2502/2012 第 12 条）：银行可以不遵从。在这个问题上，它的记录喜忧参半。2025 年，西班牙央行收到 30,970 件投诉；其中 30% 涉及在欺骗或诈骗情境下发生的付款，比上一年多出约 18%，三分之二通过银行卡，三分之一通过转账——而在银行卡投诉中，它自己的报告说，有利于银行的决定占多数，这些案卷主要涉及已经通过强认证的欺诈性付款。监管机构看的是银行是否遵循了良好做法的规则；法院适用的则是上文所述的举证责任。

法院是第三步，本文引用的判决正是在这一步取得的。向警方报案不是第四步：这是银行在第一天就会要求的手续，它固定了日期和事实，至于此后的刑事调查如何进行，则是另一回事，本文不涉及。

第一个小时和头两个星期该做什么

• 致电银行，冻结一切。 银行卡、网上银行、Bizum；记下这次通话的编号。
• 当天就写成书面。 写明您没有授权这些付款，逐笔列出，并依据第 45 条要求退款，使用能留下凭证的渠道。
• 向警方报案并保存副本。 银行会向您索要。
• 不要签署任何写着您「授权」了这些操作的文件。 投诉表不是承认书，请读清楚上面写了什么。
• 让手机保持原样。 短信、通话记录和链接都是证据。
• 如果您的 SIM 卡突然失灵，也要写信给电话运营商。 验证码正是通过复制的 SIM 卡到了别人手里。
• 数满十五个工作日。 然后带着材料，在西班牙央行和法院之间作出选择。

银行的第一封信说，密码是您的。法律问的是另一个问题：您同意了吗——银行能否证明过失是重大的，而且是您的？

我们的银行法团队做什么

我们对照法律和上述判决审查案卷——每笔付款的时间、银行的记录究竟能证明什么、您在何时告诉了银行什么——起草给银行的投诉，在银行拒绝时把案件提交法院。咨询是收费的，费用事先报价，而且没有人能够承诺法院会如何裁判。银行索赔并不都是一个样子：我们关于利率下限条款和关于 IRPH 指数的文章讲的是另外两种。这项服务的介绍见我们的银行法页面，两个办公室的办公时间见联系页面。

常见问题

银行说这些付款是用我的凭证认证的。事情就到此为止了吗？

不是。认证证明的是使用了正确的密码，而不是您同意过。法律规定，银行的记录未必足以证明授权（第 44 条第 2 款），最高法院在 2025 年 4 月认定，用用户密码和短信验证码完成的付款，只要用户否认，就属于未经授权，除非银行证明存在欺诈或重大过失。

我有多长时间可以提出索赔？

发现的当天就告诉银行。法律要求毫无不当迟延地通知，并规定了自扣款之日起十三个月的最长期限；此后，消费者自向银行投诉之日起有一年时间向西班牙央行提出。等待只对另一方有利。

我点了链接，输入了密码。这算重大过失吗？

就为本文所读的判决而言，单凭这一点不算。重大过失的含义超出单纯的过失，而且要从严认定；拉斯帕尔马斯和圣克鲁斯-德特内里费的法院拒绝认定被伪造的银行短信和电话里的假客服欺骗的客户有重大过失，而是去看银行的系统没有发现什么。每个案件都按自身的事实裁判。

这能保护我公司的账户吗？

如果公司是微型企业，保护近乎完全：在本文所述的规则中，它的合同只能改变十三个月的期限。规模更大的公司，合同还可能排除了关于举证责任和责任承担的规则；而由员工下达转账指令的骗局，则依一般合同法裁判，公司自身的疏忽也要计入。

西班牙央行的报告对银行有约束力吗？

没有。它是一份应在四个月内作出的附理由意见；银行必须表明是否接受，也可以不接受。法院判决是唯一能迫使银行付款的决定。

以上是关于 2026 年 10 月现行西班牙法律的一般信息（Real Decreto-ley 19/2018 第 34、36、41 至 46 条和第 69 条；第 260/2012 号条例（欧盟）第 5c 条；Orden ECC/2502/2012），并非针对您个案的意见：欺诈的责任取决于其确切的事实和日期。