La Cámara de Apelaciones en lo Civil, Comercial, Laboral y de Minería de Santa Rosa confirmó una multa contra el Banco de La Pampa por “no adoptar mecanismos adecuados para verificar la identidad del usuario y detectar operaciones inusuales” en el caso de una usuaria que fue estafada mediante una maniobra de phishing.

¿Qué es el phishing? Básicamente es una suplantación de identidad, una técnica de los ciber delincuentes para obtener información confidencial de una persona, apropiarse de sus datos y cometer el fraude.

En este caso una mujer publicó en su Facebook que vendía una computadora. Una mujer la contactó y le ofreció abonarla mediante una transferencia. La pareja de la presunta compradora continuó la negociación a través de Whatsapp, la llamó por teléfono y le pidió que fuera a un cajero automático para constatar que había recibido el dinero.

La usuaria constató que la transferencia no se había concretado y una tercera persona –familiar de la compradora– le indicó cómo habilitar la operación. El cajero emitió dos tickets y la usuaria, cuando le pidieron la información, dio su usuario y el número de token. Luego no pudo ingresar a su homebanking, fue al BLP y supo que le habían vaciado la caja de ahorro a través de tres transacciones desde su cuenta por 2.800.000 pesos.

La Dirección General de Defensa del Consumidor de La Pampa multó al banco por los incumplimientos a cuatro artículos de la Ley de Defensa del Consumidor: deber de información, protección al consumidor, cosas y servicios riesgosos y modalidad de prestación de servicios. El Banco de La Pampa recurrió esa sanción y ahora la jueza Carina Ganuza la ratificó.

¿Qué adujo el BLP en el recurso directo ante la Cámara? Que no se valoraron adecuadamente las pruebas; que no se acreditó una conducta concreta del banco que configurase una infracción a la ley 24.240 de Defensa del Consumidor; que en la resolución administrativa se usaron expresiones genéricas como ‘fragilidad’ o ‘ineficiencia’ del sistema, pero sin demostrar fallas técnicas, operativas ni el incumplimiento de una medida de seguridad específica; y que solo se estableció responsabilidad por el resultado dañoso.

Además el banco subrayó que la Dirección minimizó la responsabilidad de la usuaria, quien generó sus credenciales y luego entregó voluntariamente su usuario, clave y token a terceros. Por ello, concluyó que el sistema bancario funcionó correctamente, que las operaciones se realizaron con las credenciales legítimas de la clienta y que no se acreditó ninguna vulneración o falla informática.
Fundamentos.

Ganuza, en los fundamentos de la sentencia, indicó que si bien la Dirección de Defensa del Consumidor tuvo en cuenta que “la consumidora reconoció haber proporcionado su token; al estar viciado su consentimiento por el engaño, ello no eximía al banco de su responsabilidad; ya que no eliminaba el deber objetivo de seguridad que tenía, especialmente cuando existían operaciones inusuales que podían haber sido detectadas o validadas mediante medidas de seguridad adecuadas”.

En tal sentido, la jueza remarcó que el banco “no implementó mecanismos suficientes para detectar o confirmar las operaciones sospechosas; dado que las transferencias no fueron notificadas a la consumidora, los destinatarios eran ajenos a ella y los montos y movimientos no respondían a su operatoria habitual. Pese a ello, no retrotrajo las operaciones ni ofreció una solución”.
También coincidió con los dichos de la Dirección acerca de que “el aumento de los fraudes informáticos exige a las entidades bancarias reforzar las medidas preventivas y de seguridad, máxime cuando el Banco de La Pampa ya tenía conocimiento de numerosos casos similares”.

“El deber de seguridad inherente al riesgo y el deber de información consecuente deriva, en caso de incumplimiento, en la responsabilidad objetiva del proveedor, quien sólo se liberará total o parcialmente si demuestra que la causa del daño le ha sido ajena”, de acuerdo al artículo 40 de la LDC, acotó.

“Ese deber impuesto a las entidades bancarias respecto de sus clientes, comprende no solo el cumplimiento de medidas mínimas; sino también la adopción de todas aquellas medidas razonables para prevenir riesgos previsibles”, expresó Ganuza.
“En consecuencia –agregó–, cuando una estafa se concreta mediante los sistemas de atención y operación diseñados por el propio banco; la institución debe responder si no adoptó mecanismos adecuadas para verificar la identidad del usuario, detectar operaciones inusuales y prevenir maniobras fraudulentas”.

Más adelante, la magistrada aseveró que “la circunstancia de que el consumidor haya proporcionado determinados datos o claves no resulta, por sí sola, suficiente para interrumpir el nexo causal ni eximir al banco de su responsabilidad, cuando el daño pudo haberse evitado mediante mayores medidas de seguridad”.

“El hecho que el ingreso se produzca desde un equipo y una ubicación que no es la habitual puede ser detectado fácilmente por los sistemas, igual que la registración de operaciones poco habituales en escaso tiempo —por ejemplo, la solicitud de un préstamo y las transferencias de grandes sumas de dinero—, deberían generar alertas para el banco, que por lo tanto tendría que verificar si realmente emanaron del cliente y bloquearlas cuando no sea así”, resaltó. 

“En este caso (…) los deberes de seguridad, prevención y de información jugaron armónicamente –así como de modalidad de prestación de servicios–, toda vez que aun cuando fuera la usuaria quien suministró sus claves –producto de una maniobra de fraude–; hubo una  omisión de la entidad frente a los movimientos inusuales que podía detectar en la cuenta y tarjetas, y aun así no solamente no le informó a la usuaria sino que tampoco adoptó medidas preventivas y protectorias tendientes a evitar el daño”, concluyó Ganuza.