Este artículo surge al hilo de la desarticulación de una red de cibercriminales, liderados por un menor, a través de la cual se estafó a 200 personas en dos meses con técnicas como el «phishing». Pueden ver el detalle de la noticia, haciendo clic aquí.
Entre las muchas variantes de ciberataques se ha popularizado el «phishing» en el que los atacantes suplantan la identidad de otro, fingiendo ser empresas conocidas u organismos públicos, a menudo potenciados por inteligencia artificial para hacerlos más convincentes y personalizados.
El objetivo del «phishing» es conseguir que la persona revele información personal como contraseñas, datos de tarjetas de crédito y números de cuentas bancarias para retirar fondos. Para conseguir dicho objetivo, el atacante enviará mensajes de texto (SMS) o correos electrónicos fraudulentos que parecen provenir de organizaciones legítimas, por ejemplo, una entidad bancaria. Para generar confianza en la víctima, los atacantes copiarán la estética del sitio web oficial de la entidad bancaria, emplearán sus señas de identidad como colores corporativos, tipografía, etc.
Responsabilidad de las entidades bancarias
Frente a la reclamación del usuario –tras sufrir un perjuicio patrimonial por un ataque de «phishing»– la defensa habitual de las entidades bancarias es achacar al usuario una actitud negligente. Sin embargo, la balanza judicial se inclina más por evaluar la diligencia de la entidad bancaria en la protección de los intereses de sus usuarios.
La seguridad de las operaciones bancarias requiere soluciones tecnológicas avanzadas para garantizar la autenticidad, integridad y confidencialidad de los datos. Los avisos genéricos en sitios web, calificados como fórmulas predispuestas y vacías de contenido, son insuficientes. Un ejemplo de diligencia debida por las entidades bancarias sería implementar mecanismos capaces de detectar y suspender operaciones inusuales (por ejemplo, múltiples transferencias en horarios atípicos por montos elevados).
Los tribunales resuelven que no existe negligencia grave del cliente por introducir credenciales en una página que imita el sitio oficial de la entidad bancaria, ya que estos fraudes son cada vez más sofisticados y difíciles de detectar para un usuario medio (AP de Pontevedra, Sección 6ª, Sentencia nº 539/2021, de 21.12.2021, Rec. 346/2021).
Hacer clic en un enlace fraudulento y proporcionar datos de la tarjeta no alcanza la gravedad para atribuir responsabilidad a la víctima, dado que el método es difícilmente detectable por un cliente medio. La entidad bancaria, como proveedora de servicios de pago, debe adoptar medidas técnicas antiphishing avanzadas, más allá de información preventiva en su web, que resulta insuficiente. La falta de activación de alertas por el cliente no exonera al banco, que debe prevenir activamente (AP de Madrid, Sección 2ª, Sentencia nº 184/2022, de 22.05.2022, Rec. 945/2021).
Esta modalidad fraudulenta para operaciones no autorizadas es conocida –sobradamente– por las entidades bancarias, por lo que se les exige adoptar medidas de seguridad específicas. Las entidades no pueden ofrecer banca online sin antes haber adoptado medidas de seguridad, pues es quien ofrece el servicio con conocimiento de los riesgos que comporta (AP de Zaragoza, Sección 5ª, Sentencia nº 804/2022, de 01.07.2022, Rec. 1130/2021).
A lo anterior se une otra circunstancia que sirve para declarar la responsabilidad de las entidades bancarias, por ejemplo, cuando no adoptan medias de bloqueo inmediato de cuentas al ser notificados por el cliente sobre la desaparición de fondos (AP de Burgos, Sección 3ª, Sentencia nº 482/2022, de 05.12.22, Rec. 340/2022).
Pronunciamiento del TJUE
El Tribunal de Justicia de la Unión Europea resolvió en la sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka) que «un proveedor de servicios de pago no puede negarse a devolver inmediatamente a un ordenante el importe de una operación de pago no autorizada por entender que dicho ordenante hizo posible tal operación al cometer una negligencia grave incumpliendo las obligaciones que le incumben en virtud del artículo 69 de la Directiva 2015/2366″.
Este pronunciamiento marca un antes y un después en favor de los consumidores, así que ténganlo presente.
Conclusión
Estén atentos a los ciberataques que cada vez son más elaborados y van en aumento.
