Ciberseguridad: reciente condena a un banco ante un caso de Phishing a un cliente:
En una reciente sentencia, un Tribunal de Apelaciones en lo Civil condenó a un banco de plaza a pagar 9 mil dólares a uno de sus clientes que fue víctima de un fraude cibernético conocido como “phishing” (entendiéndose éste como suplantación de identidad, técnica de ingeniería social que usan los ciberdelincuentes para obtener información confidencial de los usuarios de forma fraudulenta y así apropiarse de su identidad).Este fallo, que destaca la importancia del tema ciberseguridad en las instituciones financieras, subraya la responsabilidad de los bancos en la protección de los fondos de sus clientes y en su deber de monitorear cualquier actividad inusual como forma de prevenir y evitar los fraudes.
El Caso: El caso se originó cuando un cliente del banco “XX”, titular de una cuenta de ahorro en dólares, descubrió el 19 de noviembre de 2021, que su cuenta había sido vaciada mediante dos transferencias no autorizadas constatando que se habían realizado dos débitos por un total de 9 mil dólares a una cuenta a nombre de un tercero, “BB”. BB recibió mensajes de alguien que dijo ser AA solicitando la transferencia de esas sumas a una tercera cuenta, a nombre de “CC” quien, una vez acreditadas las transferencias, procedió al retiro total de la suma que mantenía en la cuenta. CC ya ha sido vinculado previamente a otras situaciones similares por lo que se confirmó rápidamente la existencia de un fraude.
El banco argumentó al apelar la sentencia de primera instancia, que no hubo falla en sus sistemas de seguridad y que el fraude se debió a la negligencia del cliente (hecho de la víctima), quien habría proporcionado sus credenciales de acceso al defraudador.
Esgrimió que, en el contrato de depósito de dinero, regulado por el Código de Comercio, el banco asume una obligación de medios y no de resultados (restituir los fondos). Sin embargo, aún bajo la posición de que se trate de una obligación de medios, el Tribunal determinó que el banco no actuó con la diligencia debida para detectar y prevenir la actividad fraudulenta del tercero que ingresó indebidamente y realizó las transferencias inusuales.
La sentencia: ciberseguridad y responsabilidad bancaria. La sentencia que comentamos confirma la condena al banco a pagar la suma de 9 mil dólares a AA, con intereses legales desde la demanda. El Tribunal consideró que, si bien existieron indicios de suplantación de identidad, no comparte que se haya dado por probado que la obtención de la información necesaria para efectuar la maniobra fraudulenta fuese por negligencia del cliente, víctima del fraude. Apalanca su razonamiento en una sentencia reciente de la Sala Primera de lo Civil del Tribunal Supremo Español (Sentencia Nro. 571/2025, de fecha 9 de abril de 2025) que dejó asentado: “… el que un tercero hubiera podido acceder a las claves de acceso a la banca digital del demandante no supone per se que haya incurrido en negligencia alguna, pudiendo existir múltiples explicaciones, muchas de las cuales resultan difícilmente atribuibles a título de negligencia, y menos aún, de negligencia grave”.
El Tribunal destacó que la relación contractual entre el banco y el cliente está regulada por las Condiciones Generales y Particulares de las Cajas de Ahorro, así como por un Contrato de Servicios Banca Digital Personas. Según estos contratos, el banco tiene la obligación de proteger los fondos de sus clientes y de actuar con diligencia para prevenir fraudes y para ello cuenta con atribuciones que le concede el cliente que acepta contractualmente que, con la finalidad de protegerlo de accesos indebidos, el banco pueda unilateralmente bloquear total o parcialmente su acceso a los servicios durante el tiempo que lo estime necesario, sin necesidad de notificación previa. Para el Tribunal, entonces, el banco no acreditó haber cumplido con su deber de seguridad, ya que no detectó la actividad inusual en la cuenta del cliente, a pesar de que los sistemas funcionaron normalmente ese día.
La sentencia del Tribunal oficia de buen recordatorio para los operadores de la plaza financiera y sus usuarios de la responsabilidad que tienen los bancos en la protección de los fondos de sus clientes, pero también de la obligación de los usuarios de mantenerse alerta frente a estos ataques. En un mundo cada vez más digitalizado, la ciberseguridad es esencial para prevenir fraudes y garantizar la confianza en los servicios bancarios en línea.
Es claro que los bancos deben estar preparados para detectar y responder a actividades sospechosas de manera proactiva, protegiendo así los intereses de sus clientes y manteniendo la integridad de sus sistemas financieros, pero también que los usuarios deben conocer los riesgos, cuáles son los indicios de phishing manteniendo una conducta diligente en el uso de sus datos personales, así como en la trasmisión de éstos a terceros.