Un juez de Las Palmas condena a un banco por no evitar una ciberestafa
Una clienta de la entidad bancaria movió todo su dinero a la cuenta de unos delincuentes tras ser engañada mediante mensajes al móvil que la llevaban a una réplica exacta de la web del banco
Pepe Rojas Molina
´Liberado y crítico de la realidad´
Vocero judicial
viernes, 15 de noviembre de 2024
En la era digital en la que todo se gestiona a golpe de click, la seguridad bancaria se ha convertido en una auténtica odisea de laberintos legales y tecnocráticos. Los bancos, esos gigantes invisibles que prometen velar por nuestro dinero, se encuentran en el ojo del huracán cada vez que la tecnología de los estafadores les toma la delantera. Y este es precisamente el escenario que nos presenta la sentencia que hoy analizamos,una historia de engaño sofisticado, con SMS fraudulentos y transferencias que desaparecen en un parpadeo.La parte demandante, una usuaria confiada de los servicios digitales, reclama el reembolso de 4.902 euros que, según ella, fueron transferidos a una cuenta engañosa como consecuencia de una estafa a la que fue inducida a través de un falso aviso de seguridad del banco. La entidad bancaria, por su parte, niega toda responsabilidad, escudándose en el cumplimiento de las normativas de seguridad vigentes y atribuyendo a la víctima la culpa por haber compartido sus credenciales bancarias. Lo que tenemos aquí es un clásico “juego de espejos” donde, una vez más, la víctima parece ser la culpable por confiar.
Las bases legales que sustentan esta demanda se apoyan en el Real Decreto Ley 19/2018, que regula los servicios de pago y la responsabilidad de las partes involucradas. La ley es clara en algunos aspectos:
los proveedores de servicios de pago están obligados a garantizar la seguridad de las credenciales de los usuarios y a responder de inmediato ante operaciones no autorizadas, salvo que se demuestre que el usuario actuó de forma fraudulenta o negligente.
En este caso, sin embargo, la cuestión no es tan sencilla. La estafa fue tan meticulosamente ejecutada que la actora no tuvo razones aparentes para sospechar que el SMS que recibió, y que la redirigió a una falsa web del banco, no era legítimo. Los estafadores no solo manipularon la tecnología, sino que también aprovecharon la confianza inherente que los usuarios depositan en las entidades bancarias.
Pero, ¿cómo se mide la responsabilidad en estos casos? El banco asegura que cumplió con todas las medidas de seguridad exigibles y que la culpa recae en la usuaria por haber facilitado sus claves de acceso. Sin embargo, esto plantea una pregunta crucial:
Pero, ¿cómo se mide la responsabilidad en estos casos? El banco asegura que cumplió con todas las medidas de seguridad exigibles y que la culpa recae en la usuaria por haber facilitado sus claves de acceso. Sin embargo, esto plantea una pregunta crucial:
¿realmente hizo el banco todo lo posible para evitar que una situación como esta ocurriera?
Es aquí donde la sentencia nos invita a reflexionar sobre la fragilidad de los sistemas de seguridad que, a menudo, no son tan infranqueables como se nos quiere hacer creer. Las campañas de concienciación frente al fraude pueden ser útiles, pero no eximen a las entidades de mejorar sus mecanismos de detección de irregularidades.
¿Cómo es posible que un fraude de esta magnitud, con transferencias de grandes sumas, no haya levantado ninguna alarma interna en la entidad?La estructura de responsabilidades en los servicios de pago en línea se fundamenta en un delicado equilibrio. Por un lado, el proveedor del servicio tiene la obligación de probar que la operación fue autenticada correctamente, que no hubo fallos técnicos y que el cliente actuó de manera fraudulenta o negligente. De otro lado, el ordenante asume la responsabilidad si actuó de manera fraudulenta o con negligencia grave, según lo establece el artículo 41.
En este caso, la demandada argumenta que la operación no presentó problemas técnicos y fue ejecutada correctamente. Sin embargo, sostiene que la negligencia de la actora fue grave al incumplir con la protección de sus credenciales de seguridad (PIN y acceso a su móvil). La actora, confiando en un SMS malicioso que simulaba ser de su entidad financiera, proporcionó sus datos personales a terceros. Este comportamiento, argumenta la demandada, derivó en un fraude que la actora no supo prever.
La actora introdujo sus datos personales en una web fraudulenta que simulaba ser de su banco, recibiendo llamadas de individuos que se hicieron pasar por empleados de la entidad. Estos sucesos llevaron a la realización de transferencias desde su cuenta, las cuales fueron efectuadas por la propia actora, aunque bajo la manipulación del esquema de phishing (sitios web falsos). Sin embargo,
la clave del caso radica en que la actora actuó bajo la convicción de que operaba dentro de un entorno seguro proporcionado por la entidad bancaria,
lo cual no debería imputarle una negligencia grave.
El banco, por su parte, no aportó suficiente evidencia para demostrar que la actora actuó negligentemente en la conservación de sus credenciales. Tampoco se acreditó que los sistemas de seguridad implementados por el banco fueron lo suficientemente robustos como para evitar este tipo de ataques de phishing. De hecho, el fraude se produjo mediante la manipulación de un sistema tecnológico complejo, diseñado específicamente para engañar al usuario promedio.
Al no probarse que la actora incurrió en una negligencia grave, y dado que las transferencias fueron realizadas bajo engaño, se estima que
El banco, por su parte, no aportó suficiente evidencia para demostrar que la actora actuó negligentemente en la conservación de sus credenciales. Tampoco se acreditó que los sistemas de seguridad implementados por el banco fueron lo suficientemente robustos como para evitar este tipo de ataques de phishing. De hecho, el fraude se produjo mediante la manipulación de un sistema tecnológico complejo, diseñado específicamente para engañar al usuario promedio.
Al no probarse que la actora incurrió en una negligencia grave, y dado que las transferencias fueron realizadas bajo engaño, se estima que
el banco debe restituir a la actora la cantidad de 4.902 €,
según los artículos 44 y 45 del Real Decreto-Ley 19/2018. La responsabilidad patrimonial cuasi objetiva que recae sobre las entidades de pago, tal como lo han establecido reiteradas audiencias provinciales, exige que estas asuman el riesgo inherente al uso de sus sistemas, exonerándose únicamente si pueden probar una negligencia grave por parte del usuario, lo cual no ha sido acreditado en este caso.
En resumen, no se considera que la actora actuara con imprudencia, sino que fue víctima de una sofisticada maniobra de phishing que comprometió la ciberseguridad de la entidad financiera, lo que refuerza la obligación del banco de mejorar sus sistemas de protección frente a este tipo de fraudes.
En resumen, no se considera que la actora actuara con imprudencia, sino que fue víctima de una sofisticada maniobra de phishing que comprometió la ciberseguridad de la entidad financiera, lo que refuerza la obligación del banco de mejorar sus sistemas de protección frente a este tipo de fraudes.
Comentarios
Publicar un comentario