Las estafas bancarias a través de home banking, phishing y programas maliciosos son una de las principales fuentes de conflictos entre clientes y entidades financieras. Cada vez son más frecuentes las demandas en las que quienes sufrieron transferencias no autorizadas reclaman que el banco reintegre el dinero perdido.
En ese contexto, la Cámara Federal de Apelaciones de Paraná dictó un fallo que aporta un criterio relevante sobre cuándo un banco debe responder por una estafa informática y cuándo la responsabilidad puede recaer sobre el propio usuario.
En la causa «José Omar Dizeo S.R.L. c/ Banco de la Nación Argentina s/ daños y perjuicios», el tribunal revocó una sentencia que había condenado al Banco Nación a devolver más de $18 millones transferidos desde una cuenta empresarial y concluyó que la entidad financiera no debía indemnizar a la empresa.
La decisión se apoyó en un aspecto determinante: el sistema de autenticación del banco funcionó correctamente y el fraude no se produjo por una vulneración del home banking, sino porque la computadora utilizada por la clienta había sido infectada con un malware que permitió a terceros operar utilizando credenciales válidas.
El caso comenzó el 21 de septiembre de 2023, cuando una de las socias gerentes de una empresa dedicada a la distribución de productos para kioscos y supermercados intentó ingresar al home banking del Banco Nación.
Según relató en la demanda, la plataforma comenzó a mostrar comportamientos inusuales. La pantalla permanecía con un reloj de carga y el sistema solicitaba reiteradamente el ingreso de la clave token. Luego apareció un mensaje que informaba que los servidores se encontraban en mantenimiento.
Al revisar posteriormente la cuenta corriente, la empresa detectó tres transferencias realizadas a favor de una persona con la que nunca había operado por:
El monto total superó los 18 millones de pesos.
Tras reclamar administrativamente sin éxito, la sociedad inició una demanda contra el Banco Nación por daños y perjuicios.
La empresa sostuvo que la entidad financiera había incumplido su deber de seguridad porque permitió operaciones completamente inusuales: transferencias de alto monto dirigidas a un destinatario nuevo, sin realizar verificaciones adicionales que hubieran permitido detectar el fraude.
En primera instancia, la jueza hizo lugar parcialmente a la demanda y ordenó al Banco Nación restituir el dinero transferido, además de otros gastos derivados del reclamo.
La magistrada entendió que la entidad financiera no había implementado controles suficientes para prevenir la maniobra y consideró que existía un incumplimiento del deber de seguridad que pesa sobre los proveedores de servicios financieros.
Para esa decisión resultó especialmente relevante que las operaciones fueran completamente atípicas respecto del historial de movimientos de la empresa.
Sin embargo, el banco apeló la sentencia y cuestionó tanto la valoración de la prueba como el marco jurídico utilizado para atribuirle responsabilidad.
Uno de los elementos decisivos del expediente fue la pericia informática.
Los especialistas determinaron que la computadora utilizada para operar había sido infectada con un troyano bancario luego de que la usuaria descargara un archivo enviado desde una dirección de correo electrónico falsa que simulaba pertenecer a una empresa de telecomunicaciones. Ese malware permitió que terceros manipularan el equipo y concretaran la maniobra fraudulenta.
Además, la investigación técnica concluyó que la titular de la cuenta ingresó la clave token cinco veces.
Dos de esas validaciones autorizaron la incorporación de nuevas cuentas destinatarias y las tres restantes habilitaron las transferencias posteriormente cuestionadas.
La pericia también indicó que todas las operaciones fueron autenticadas mediante los mecanismos de seguridad previstos por el Banco Nación y que no existían evidencias de una intrusión en los sistemas informáticos de la entidad.
La Cámara Federal revocó la condena por mayoría.
Los jueces Beatriz Aranguren y Mateo Busaniche concluyeron que el banco había cumplido con las medidas de seguridad exigidas por la normativa del Banco Central y que el fraude no fue consecuencia de una falla del home banking.
Según el fallo, el perjuicio se originó porque el dispositivo utilizado por la empresa fue comprometido mediante un malware y porque la usuaria validó las operaciones ingresando claves token bajo engaño.
Los magistrados también destacaron que todas las transferencias fueron realizadas desde la misma dirección IP que la empresa utilizaba habitualmente.
Además, señalaron que el sistema detectó movimientos sospechosos, pero que esas alertas fueron superadas mediante la validación efectuada con la clave token, mecanismo previsto precisamente para confirmar la identidad del usuario.
En esas condiciones, concluyeron que no podía responsabilizarse al Banco Nación por una conducta originada fuera de sus sistemas.
Uno de los aspectos más importantes del fallo es que la Cámara rechazó la idea de una responsabilidad automática de las entidades financieras.
Los jueces explicaron que los bancos tienen una obligación de medios, es decir, deben implementar medidas razonables de seguridad y cumplir con las exigencias regulatorias del Banco Central, pero no garantizar que nunca ocurran fraudes.
En esa línea, recordaron que las comunicaciones del BCRA exigen mecanismos de autenticación reforzada para determinadas operaciones, aunque no obligan específicamente a realizar llamados telefónicos, enviar mensajes de texto o aplicar validaciones biométricas cada vez que se efectúa una transferencia de elevado monto.
Por ese motivo, entendieron que la sola existencia de una estafa no alcanza para responsabilizar automáticamente a la entidad financiera.
La sentencia también resolvió una discusión jurídica relevante.
La mayoría sostuvo que la empresa demandante no podía ser considerada consumidora porque utilizaba la cuenta bancaria como una herramienta destinada al desarrollo de su actividad comercial.
En consecuencia, descartó aplicar la Ley de Defensa del Consumidor y analizó el caso bajo las reglas generales de la responsabilidad civil.
Esa conclusión también fue determinante para rechazar la demanda.
La jueza Cintia Gómez mantuvo una posición distinta.
Para la magistrada, el Banco Nación sí debía responder porque los mecanismos de seguridad implementados resultaban insuficientes para prevenir una operatoria claramente inusual.
Destacó que las transferencias fueron realizadas hacia una persona que nunca había operado con la empresa y por montos extraordinariamente elevados, circunstancias que, a su criterio, justificaban la adopción de controles adicionales antes de ejecutar las operaciones.
También sostuvo que existía una relación de consumo entre la sociedad comercial y la entidad financiera, por lo que correspondía aplicar los principios protectores de la legislación consumeril.
Aunque cada caso debe analizarse según sus circunstancias particulares, especialistas en seguridad informática y derecho bancario suelen recomendar actuar de inmediato:
La rapidez con la que se actúe puede resultar determinante tanto para intentar recuperar los fondos como para reunir pruebas en un eventual proceso judicial.
La decisión de la Cámara Federal de Paraná se suma a otros precedentes que intentan definir los límites de la responsabilidad de los bancos frente a las estafas digitales.
Mientras algunos tribunales consideran que las entidades financieras deben extremar los controles para impedir fraudes electrónicos, otros analizan con mayor detalle el comportamiento del usuario y si la maniobra fue posible por la entrega de credenciales, la instalación de programas maliciosos o el incumplimiento de medidas básicas de seguridad.
En este caso, la Cámara entendió que el Banco Nación cumplió con los estándares de autenticación previstos por la normativa vigente y que la estafa fue consecuencia de la infección del dispositivo utilizado por la empresa y de la validación de las operaciones mediante claves token.
El fallo deja así un criterio que probablemente sea citado en futuros litigios sobre estafas bancarias, phishing, home banking y transferencias electrónicas, un área del derecho que continúa creciendo a medida que aumentan las operaciones financieras digitales.
