El Banco Santander condenado a reintegrar 30.000 euros a una víctima de phishing con discapacidad

• El Juzgado de Instancia nº3 de Avilés condena a la entidad a reintegrar íntegramente el importe defraudado por phishing. 

• La sentencia, liderada por la Unión de Consumidores de Asturias, ratifica que la banca no puede lavarse las manos cuando fallan sus sistemas de control ante operaciones claramente anómalas.
• El engaño combinó el “call spoofing” con el control remoto del móvil mediante una app.

La Unión de Consumidores de Asturias ha logrado una sentencia pionera que condena al Banco Santander a devolver 30.000 euros a una víctima de un sofisticado fraude de ciberdelincuencia. Para el tribunal, la verdadera conducta negligente es la de la propia entidad, cuyos sistemas de control fallaron al permitir un movimiento de cuenta que rompía radicalmente con el patrón de conducta habitual de la clienta.

La sentencia del Tribunal de Instancia nº3 de Avilés estima íntegramente la demanda presentada por la Unión de Consumidores de Asturias, liderada por el abogado y Doctor en Derecho de Consumo José Antonio Ballesteros. El presidente de la Unión de Consumidores de Asturias, Dacio Alonso, denuncia también el desprecio de los bancos hacia las víctimas de phishing: “Unicaja, sin ir más lejos,acumula más de 200 sentencias en Asturias”.

Call Spoofing y AnyDesk para una víctima especialmente vulnerable

Los hechos de esta nueva técnica de ciberfraude nos llevan directamente a Avilés. La afectada, en esta ocasión, es una mujer de 72 años, clienta del Banco Santander desde hacía más de dos décadas, que mantenía una cuenta corriente exclusivamente para la domiciliación la pensión y gastos cotidianos. Nunca había contratado productos de inversión ni realizado operaciones bancarias complejas; cuando necesitaba hacer una transferencia, acudía presencialmente a la sucursal.

Resulta difícil ignorar la crudeza y el rostro humano detrás de las cifras del fraude digital. La víctima presenta limitaciones físicas y cognitivas relevantes, un cúmulo de circunstancias que dificultan notablemente el uso autónomo de herramientas digitales.

Fue precisamente esa vulnerabilidad la que explotaron los estafadores. Tras la reciente contratación de un fondo de inversión promovido por una empleada de la entidad, la afectada recibió una llamada de una persona que se identificó como gestor del Banco Santander y que conocía datos personales y circunstancias concretas de su relación bancaria. Con esa falsa legitimidad, convenció a la víctima para que instalara la aplicación AnyDesk, una herramienta de acceso remoto que permitió a los delincuentes tomar el control de su teléfono y ejecutar, sin su conocimiento en absoluto, altas en plataformas de criptomonedas y una transferencia de 30.000 euros. Al día siguiente, al acudir a la sucursal para actualizar su libreta, la afectada descubrió la transferencia que jamás había autorizado. La sentencia aclara que no se trata del phishing clásico, sino de un fraude en el que el tercero manipula el terminal creando una apariencia de actuación voluntaria de la cliente.

La reticencia del banco a asumir responsabilidades

Más allá del fraude en sí, lo que esta sentencia deja al descubierto es la actitud de la entidad bancaria ante una clienta en situación de especial vulnerabilidad. Cuando la perjudicada reclamó por la vía extrajudicial, el Banco Santander se limitó a reconocer que el origen de los hechos era una actuación fraudulenta de terceros y a negar su responsabilidad argumentando que la transferencia era irreversible. En ningún momento atribuyó a la cliente una conducta fraudulenta o gravemente negligente y, sin embargo, tampoco devolvió el dinero.

Para el juez, esa respuesta es del todo insuficiente. La sentencia subraya que la transferencia fue ordenada por canales digitales por una cliente que nunca había operado de esa forma, una operación de importe extraordinariamente elevado en relación con su perfil y su historial. «Debía constituir un claro indicador de riesgo susceptible de activar mecanismos reforzados de control, verificación o bloqueo preventivo«, señala el magistrado, que echa en falta «medidas eficaces de comprobación ante una operativa claramente extraordinaria».

«Ninguna explicación satisfactoria se ha ofrecido acerca de las razones por las que una transferencia de tan elevado importe, realizada digitalmente por una cliente que jamás había utilizado ese canal para ordenar pagos, no generó mecanismos de alerta suficientes», concluye.

La ley protege al consumidor; la banca, no

La resolución aplica el Real Decreto-ley 19/2018 de servicios de pago, que establece una responsabilidad cuasi objetiva del proveedor de servicios de pago. Cuando un usuario niega haber autorizado una operación, corresponde a la entidad bancaria demostrar que la operación fue autenticada, registrada y contabilizada correctamente, y que no existió fallo técnico ni deficiencia en el servicio. Y, sobre todo, le corresponde a la banca probar que el usuario actuó con fraude o con negligencia grave.

El magistrado descarta por completo la negligencia. La afectada actuó, en palabras del tribunal, «como lo haría un consumidor medio situado en una posición de especial vulnerabilidad frente a una estrategia delictiva cuidadosamente diseñada para generar confianza». El hecho de haber instalado la aplicación a instancias de quien aparentaba ser un empleado de la entidad bancaria » no alcanza la intensidad necesaria para integrar el concepto de negligencia grave”.

La sentencia advierte, además, que los hechos no responden al clásico phishing en el que la víctima cede voluntariamente sus claves. Si bien, los estafadores obtuvieron el control remoto del terminal y manipularon la información que veía la usuaria, creando «una apariencia de actuación voluntaria del cliente cuando, en realidad, quien dirige y controla las operaciones es un tercero».

30.000 euros recuperados para la persona afectada

El fallo condena al Banco Santander a reintegrar a la clienta la cantidad de 30.000 euros indebidamente extraída de su cuenta, más los intereses legales desde la fecha de la reclamación extrajudicial, e impone expresamente las costas a la entidad bancaria.

La Unión de Consumidores de Asturias considera esta resolución como mucho más que una victoria individual. Para José Antonio Ballesteros, abogado defensor del caso: “La sentencia debería servir de antesala para que el resto de las entidades revisen sus protocolos de detección de operaciones anómalas y endurezcan sus controles ante transferencias de importe inusual, especialmente cuando el titular es una persona mayor o con discapacidad”. Dacio Alonso añade: “Los bancos no pueden conformarse con colgar avisos genéricos en sus webs: la ley les exige medidas activas, y la justicia empieza a exigirlas con firmeza”.

La sentencia llega en un contexto de alarmante crecimiento de los fraudes digitales en España, donde las estafas basadas en técnicas de ingeniería social y control remoto de dispositivos se han convertido en una de las principales amenazas para la ciudadanía, especialmente dirigidas a personas mayores.

La Unión de Consumidores de Asturias, con un largo recorrido en la defensa de los derechos de las personas consumidoras, reitera su compromiso con los colectivos más vulnerables y anima a todas las personas que hayan sido víctimas de fraude bancario a reclamar. “Como ha demostrado este caso”, señala Dacio Alonso, “con asesoramiento jurídico especializado y perseverancia, es posible recuperar lo que los estafadores y, en ocasiones, la propia banca, daban por perdido”.

La dimensión del problema en cifras oficiales

De acuerdo con los datos consolidados del Informe sobre la Cibercriminalidad del Ministerio del Interior y los balances del Instituto Nacional de Ciberseguridad (INCIBE):

• Epidemia del fraude: Los ciberdelitos ya representan casi el 20% de todas las infracciones penales en España. De ellos, el 88,8% corresponde estrictamente a fraudes informáticos y estafas de sustracción de capital.
• La banca en la diana: El sector financiero es el objetivo principal de la delincuencia. Concentra el 34% de todos los ciberataques dirigidos a operadores de servicios esenciales del país, duplicando al transporte (14%) y cuadruplicando a la energía (8%).
• Desamparo ciudadano: El fraude online y el phishing representan más del 50% de las consultas de auxilio de los usuarios, provocando que se registren una media superior a los 300 fraudes diarios con pérdidas económicas directas.

Cuadro del modus operandi. La sofisticación contra el consumidor

Los métodos delictivos actuales han evolucionado gracias al uso de herramientas basadas en Inteligencia Artificial, diseñadas específicamente para anular por completo la capacidad de sospecha de un usuario de consumo medio:

Comparte esta entrada