El Tribunal Supremo ha dictaminado que los bancos son responsables de reintegrar el dinero perdido en estafas de ‘phising’ o de suplantación de identidad si no pueden demostrar que el cliente ha cometido una grave negligencia.
La Sala Civil dio la razón a una clienta que perdió más de 83.000 euros con 15 transferencias hechas la misma noche en una sentencia que se dio a conocer este miércoles. El alto tribunal ha resuelto que los bancos -en este caso Ibercaja- son los responsables de «rectificar y reintegrar de inmediato» los importes sustraídos en operaciones no autorizadas por los clientes.
La clienta sufrió una estafa denominada ‘SIM swapping’ que consiste en duplicar la tarjeta SIM para acceder a la información confidencial y tomar el control de la banca digital. Según el texto, el hecho de que terceros accedan a la banca digital del usuario «no supone que por si se haya incurrido en ninguna negligencia». Además, el magistrado ha precisado que las operaciones no autorizadas incluyen, también, aquellas que se han iniciado con las claves de usuario y contraseña necesarias y confirmadas mediante SMS, siempre que el cliente niegue haberlas realizado.
Precedente y jurisprudencia
La sentencia abre un precedente serio para las entidades financieras, que siempre han considerado que si una operación es autenticada, registrada con exactitud y contabilizada, no es suficiente para eximirle de responsabilidad. Normalmente se considera que se crea jurisprudencia si existen dos sentencias del Supremo con la misma justificación. La Organización de Consumidores y Usuarios (OCU) celebró la sentencia y anima a reclamar judicialmente en casos similares al juzgado. «El Tribunal Supremo da la razón a los usuarios y, por tanto, ningún pago realizado bajo los efectos de un engaño podrá ser considerado como autorizado y deberá ser reembolsado de forma automática», interpreta la OCU.
¿Qué es el ‘phising’?
Este término proviene de la palabra en inglés ‘fishing’ que significa pesca. Aplicado a la informática, es una técnica de engaño que utilizan los piratas informáticos para lograr datos personales y bancarios a través de un engaño. Un ejemplo típico es recibir un mensaje a través del correo electrónico, Whatsapp o cualquier otra plataforma con una excusa cualquiera que nos anima a acceder en un enlace, por ejemplo para acceder a un premio. Se nos requiere entrar en el banco para rechazar un cargo que se acaba de hacer de gran importe o hay que pagar una multa de aparcamiento. Si se accede a través del enlace se accede a una página web falsa que simula ser la oficial, como la Agencia Tributaria, un banco o cualquier empresa o tienda que consideraríamos de total confianza. Una vez allí, o bien nos piden que introduzcamos nuestros datos de acceso (usuario y contraseña) o los datos de nuestra tarjeta y es entonces cuando ya han conseguido la información que necesitan para cometer el robo.
La sentencia del Supremo
La sentencia subraya que el robo o sustracción de las claves no suponen una negligencia del usuario y se cuestiona que «un hecho tan inusual» como 15 transferencias por más de 80.000 euros en una noche «no hiciera saltar las alarmas en ese mismo momento». Según el Supremo, los actuales avances tecnológicos hacen «relativamente sencillo» por las entidades financieras «diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pagos». «No puede considerarse como normal e irrelevante que una persona que nunca efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado», sentencia.
Autorización y sistemas de validación
El relato del magistrado añade que el proveedor del servicio no ha acreditado «qué negligencia pudo cometer al demandante que permitiera que unos delincuentes le duplicaran la tarjeta SIM». El alto tribunal ha asegurado que si el usuario comunica que le han robado los datos de forma inmediata, y denuncia una operación no autorizada, «el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique estos motivos por escrito». Por otra parte, apuntan que «el mero hecho del registro por el proveedor de la utilización del instrumento de pago no es suficiente, necesariamente, para demostrar que la operación de pago fue autorizada» por el usuario.
El Tribunal observa una «conducta diligente del titular de la cuenta, que informó, inmediata y reiteradamente» de la estafa, y, por otra parte, «ante un servicio que el proveedor presta defectuosamente, tanto por no tomar en consideración la información recibida a pesar de su gravedad, como por omitir la adopción de medidas que posibilitan la detección de evento». En este punto, el Supremo continúa y apunta a que el hecho de que la operación fuera registrada por el banco «no es suficiente para eximirle de responsabilidad».
