El banco debe devolver primero. Después, ya discutiremos quién tiene la culpa. Esta es la conclusión más importante de la nueva sentencia del TJUE sobre phishing y operaciones bancarias no autorizadas (asunto C-70/25 Tukowiecka). El Tribunal lo deja claro, el banco no puede negarse inicialmente a devolver el dinero alegando que el cliente actuó con negligencia grave. Debe devolver el dinero y después, si considera que el cliente actuó con dolo o negligencia grave, tendrá que acreditarlo y reclamar, en su caso, que soporte finalmente la pérdida. En realidad esta situación cambiaria el mapa de las reclamaciones por fraudes tipo «phising», porque actualmente es el cliente el que demanda al banco y con este criterio tendrían que ser los bancos quienes demandaran al clientes tras devolverle el dinero. En la práctica actual los bancos están alegando que las operaciones han sido autenticadas con las claves, SMS, OTP o aplicación del cliente, sin embargo, esto no demuestra que hayan sido autorizadas por el cliente, la diferencia radica en la carga de la prueba que soporta el banco y la responsabilidad cuasi objetiva que le impone la LSP y la STS 571/2025. Esta sentencia del TJUE no significa que el Banco pierda todos los casos, pero tendrá que estudiar muy bien cada caso antes de aventurarse a reclamar al cliente si le ha reintegrado el importe defraudado como ya establece la Ley de Servicios de Pago 19/2018 y que las entidades financieras han incumplido sistemáticamente. Cambiará esta sentencia la respuesta de los bancos? No lo creo, porque el incumplimiento seguirá siendo parte del protocolo de los bancos hasta que sean condenadas por una sentencia firme en cada caso concreto, sin embargo, el problema radica en la fragilidad de los sistemas de seguridad diseñados por la banca para las operaciones de pago digitales, los códigos enviados por SMS o email no son seguros, las bases de datos de los principales bancos españoles han sido hackeadas en los últimos años y no han hecho nada al respecto. Conclusión, a los afectados les tocará seguir reclamando con un argumento más a su favor, la STJUE obliga a las entidades a devolver primero y reclamar después, aunque ya sabemos que no aplicarán en la práctica.