Las estafas virtuales mediante phishing e ingeniería social continúan generando litigios entre usuarios y entidades financieras. En un fallo que puede convertirse en un antecedente relevante para futuros reclamos, la Cámara Nacional de Apelaciones en lo Comercial resolvió que un banco deberá indemnizar parcialmente a un cliente que perdió casi dos millones de pesos luego de ser engañado por delincuentes que lograron acceder de forma remota a su teléfono celular.
Sin embargo, a diferencia de otros pronunciamientos en los que la responsabilidad recayó exclusivamente sobre la entidad bancaria, los jueces entendieron que en este caso también existió una conducta negligente por parte del usuario. Por ese motivo, distribuyeron la responsabilidad en un 80% para el banco y un 20% para el cliente, al considerar que ambos contribuyeron, por distintos motivos, a la producción del daño.
La decisión fue adoptada por la Sala D de la Cámara Comercial por una demanda iniciada tras una maniobra fraudulenta ocurrida en marzo de 2023.
Según surge del expediente, el cliente tenía depositados $2.214.333,32 en una caja de ahorro del banco demandado cuando intentó comunicarse con Visa para realizar una consulta relacionada con el pago de su tarjeta de crédito.
Al no obtener respuesta por los canales habituales, buscó en Google un número alternativo de atención. Entre los resultados encontró un supuesto contacto de «Visa Atención al Cliente» y comenzó una conversación mediante WhatsApp.
Inicialmente fue atendido por un chatbot y luego recibió llamados de una persona que se presentó como operador de soporte técnico. Durante esa comunicación le solicitaron descargar la aplicación TeamViewer QuickSupport, una herramienta que permite controlar un dispositivo de manera remota.
El cliente siguió las instrucciones creyendo que se trataba de un procedimiento legítimo. Poco después comenzó a recibir correos electrónicos y mensajes de seguridad del banco y advirtió que podía estar siendo víctima de una estafa.
Al ingresar a su home banking comprobó que se habían realizado nueve transferencias por un total de $1.980.040 hacia cuentas desconocidas.
Tras denunciar lo ocurrido ante la entidad financiera y la policía, el banco rechazó el reclamo. Frente a esa respuesta, el usuario inició una demanda para recuperar el dinero sustraído, reclamar una indemnización por daño moral y solicitar la aplicación de daños punitivos.
Durante el proceso judicial, la entidad sostuvo los siguientes puntos:
El juez que intervino inicialmente consideró que la relación entre el banco y el cliente estaba alcanzada por la Ley de Defensa del Consumidor y analizó si la entidad había cumplido con los estándares de seguridad exigidos por la normativa del Banco Central.
Las pericias informática y contable revelaron que las operaciones realizadas el día de la estafa eran completamente atípicas respecto del comportamiento habitual de la cuenta.
En poco más de una hora y media se habían incorporado once nuevos destinatarios y efectuado nueve transferencias desde un dispositivo distinto al utilizado normalmente por el usuario.
Para el magistrado, esos movimientos debieron haber sido detectados por los sistemas de monitoreo del banco antes de autorizarse.
Con esos fundamentos condenó al Banco a reintegrar la totalidad del dinero sustraído, pagar $800.000 en concepto de daño moral más intereses y rechazó únicamente el pedido de daños punitivos.
La sentencia fue apelada tanto por el cliente como por el banco.
Al revisar el caso, la Sala D confirmó que el vínculo entre ambas partes debía analizarse bajo las reglas de la Ley de Defensa del Consumidor, que establece un régimen de responsabilidad objetivo para los proveedores de servicios financieros.
No obstante, los jueces realizaron un análisis más amplio sobre la conducta de ambas partes.
Por un lado, señalaron que el propio actor reconoció haber buscado un número telefónico en internet, comunicarse mediante WhatsApp con un supuesto operador y descargar una aplicación que permitió el acceso remoto a su dispositivo.
La pericia informática explicó que TeamViewer solo funciona cuando el usuario autoriza la conexión y proporciona la información necesaria para habilitar el control remoto del equipo.
Para la Cámara, esa conducta facilitó el accionar de los delincuentes y constituyó una actuación negligente que debía ser considerada al momento de distribuir las responsabilidades.
Pese a ello, la Cámara entendió que el Banco tampoco había cumplido adecuadamente con las obligaciones que le impone la regulación del Banco Central.
Los jueces señalaron que las entidades financieras deben contar con sistemas de monitoreo capaces de detectar operaciones inusuales y activar mecanismos alternativos de verificación cuando aparecen movimientos incompatibles con el perfil habitual del cliente.
En este caso, destacaron los siguientes puntos:
Con esos elementos, la Cámara modificó parcialmente la sentencia de primera instancia.
Los jueces concluyeron que existió una culpa concurrente, es decir, que tanto el comportamiento del usuario como las omisiones del banco fueron determinantes para que la estafa pudiera concretarse.
Por ese motivo distribuyeron la responsabilidad en un 80% para el banco y un 20% para el cliente.
Como consecuencia de esa decisión, redujeron la indemnización correspondiente al dinero transferido a $1.584.032, manteniendo los intereses establecidos en la sentencia con la actualización de la tasa aplicable desde enero de 2026.
Respecto del daño moral, la Cámara revisó los agravios presentados por la entidad financiera y analizó la afectación sufrida por el cliente a raíz de la pérdida de los fondos depositados en su cuenta. También quedó bajo análisis el planteo del actor para que se reconocieran daños punitivos, luego de que ese rubro hubiera sido rechazado en primera instancia.
Más allá de la resolución del caso concreto, la sentencia aporta un criterio que podría influir en futuros conflictos derivados de estafas bancarias.
En los últimos años, numerosos fallos responsabilizaron exclusivamente a las entidades financieras cuando los clientes sufrían transferencias fraudulentas. En esta oportunidad, la Cámara sostuvo que también debe analizarse la conducta del usuario cuando este facilita, aunque sea involuntariamente, el accionar de los delincuentes.
Al mismo tiempo, el tribunal reafirmó que esa circunstancia no exime automáticamente a los bancos de responder. Las entidades financieras continúan obligadas a implementar sistemas eficaces de monitoreo transaccional, detectar operaciones incompatibles con el perfil del cliente, emitir alertas oportunas y ofrecer canales de atención que permitan bloquear rápidamente una maniobra sospechosa.
El fallo también pone de relieve la creciente importancia que adquieren los mecanismos de prevención frente al aumento de las estafas mediante ingeniería social, una modalidad en la que los delincuentes manipulan a las víctimas para obtener acceso a sus dispositivos o credenciales sin necesidad de vulnerar directamente los sistemas informáticos del banco.
A partir de este tipo de maniobras, tanto las entidades financieras como los especialistas en ciberseguridad recomiendan adoptar medidas básicas de prevención para reducir el riesgo de fraude.
Entre las principales se encuentran:
La resolución de la Cámara deja un mensaje para ambas partes de la relación bancaria: mientras los clientes deben extremar los recaudos para evitar caer en maniobras de ingeniería social, las entidades financieras continúan obligadas a reforzar sus mecanismos de prevención, monitoreo y respuesta frente a operaciones que resulten incompatibles con el comportamiento habitual de cada usuario. Ese equilibrio entre las obligaciones del banco y el deber de cuidado del cliente fue el criterio que definió la distribución de responsabilidades en este caso y que podría servir de referencia para futuros reclamos por estafas virtuales.
