Phishing: qué hacer si me han robado las claves y el dinero del banco o de la tarjeta

Hoy en día los servicios bancarios se prestan casi por completo utilizando medios tecnológicos digitales, lo que comporta ventajas para los usuarios, pero a su vez, constituye una nueva oportunidad para que los delincuentes cometan estafas bancarias con la utilización de las nuevas tecnologías.

Internet, los SMS, el correo electrónico constituyen herramientas de las que no podemos, ni queremos, prescindir, pero también constituyen los medios con los que organizaciones criminales cometen delitos.

En relación con los medios de pago, son los bancos, las entidades financieras las que han impuesto y promovido la utilización masiva de sistemas de pago digitales.

La tecnología genera riesgos, y son los bancos los que determinan y establecen las medidas de seguridad y la forma en que los clientes han de utilizar estos medios de pago, de forma que la normativa determina que son los bancos los que deben asumir las consecuencias de las denominadas fugas o brechas de seguridad.

El riesgo ha de ser asumido por el banco, pues es quien determina la forma en que se han de utilizar esos medios de pago, su funcionamiento, y las medidas de seguridad que ha de seguir el usuario.

El mal funcionamiento de los sistemas de banca electrónica ha de recaer en las entidades financieras, siéndoles exigible un deber de vigilancia y de seguridad que evite la ineficacia de los medios de autentificación de la identidad y operativa del cliente.

¿Qué es el Phishing?

Es el delito que se comete mediante el envío de correos electrónicos que tienen enlaces (links), o documentos adjuntos que, una vez abiertos por quien recibe el mensaje, infectan el concreto dispositivo (ordenador o móvil) con virus informáticos que permiten acceder a las cuentas corrientes de las víctimas y vaciárles las cuentas.

Otra de las modalidades de este tipo de delitos consiste en realizar llamadas directamente a las víctimas haciéndose pasar por personal de entidades financieras, y consiguiendo mediante el engaño, acceder a información, datos bancarios, e incluso claves, para a continuación vaciar también las cuentas corrientes de la víctima.

En muchos supuestos se remite a la víctima a una supuesta y suplantada web, que aparenta ser la del banco, con una apariencia casi idéntica a la real, induciéndole a introducir sus datos, claves y contraseñas. En no pocas ocasiones dichas páginas únicamente tienen algún elemento distinto de la página real, haciendo ciertamente difícil al usuario percatarse del engaño.

También se suele utilizar el envío de SMS o mensajes suplantando no sólo a entidades financieras, sino también a Administraciones Públicas, engañando al destinatario, y consiguiendo que faciliten datos bancarios, personales y de todo tipo para, con esa información, robarles el dinero de sus cuentas corrientes o de sus tarjetas de crédito.

También se suele aparentar que se llama desde el banco, precisamente, para evitar que su tarjeta de crédito sea utilizada por terceros, para evitar que se le bloquee la tarjeta. Y una vez que la víctima facilita los datos (claves de acceso de banca electrónica o de tarjetas de crédito o débito) en la creencia de que quien le llama es efectivamente el banco, el delincuente realiza cargos y/o vacía sus cuentas.

Y no son pocas las veces en las que, con los datos personales de la víctima, incluso, el ciber-estafador solicita créditos en su nombre, aprovechando también las brechas de seguridad de esas compañías de créditos que se conceden de forma rápida.

¿Qué hacer si se es víctima de este tipo de delitos?

Lo que se debe hacer es, en cuanto se tiene la sospecha o la certeza de que se ha sido víctima de este tipo de conductas, es acudir a la policía para interponer denuncia.

Esta denuncia es fundamental, incluso, para poder, en su caso, reclamar al banco el dinero sustraído.

Y lo siguiente que, de forma inmediata, se ha de hacer es comunicar al banco lo sucedido y enviar copia de la denuncia que se ha interpuesto.

Lo que se ha de comunicar al banco es que sin autorización ni consentimiento del titular se han realizado cargos y pagos en nuestras cuentas corrientes o tarjetas de crédito o débito.

Esta comunicación sin demora al banco es un requisito imprescindible para poder reclamar después.

¿Qué responsabilidad tiene el banco en relación con la seguridad de nuestras cuentas corrientes y tarjetas de crédito?

Cuando abrimos una cuenta corriente o libreta en un banco tiene la obligación de disponer y desplegar todas las medidas de seguridad exigibles para que no se produzcan este tipo de sustracciones de dinero.

Y si se producen tiene que asumir la devolución al cliente del dinero que le han sustraído, a excepción de aquellos supuestos en los que se pueda probar que el cliente ha actuado con negligencia o culpa. Pero es el banco el que debe probar esa negligencia o culpa.

La normativa sobre servicios de pago que obliga a los bancos a adoptar esas medidas de seguridad que impidan un uso fraudulento de cuentas o tarjetas de sus clientes. Y esas obligaciones comportan un deber de vigilancia y la adopción de precauciones para evitarlo.

La entidad bancaria es la que debe demostrar “que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago”.

El Real Decreto Ley de servicios de pago establece que salvo que la persona afectada incurra en una negligencia grave en su obligación de mantener secretas sus credenciales (datos y claves y contraseñas de acceso o para operar), tendrá derecho a que el banco le indemnice lo daños que haya sufrido.

De este modo, salvo negligencia grave del cliente, el banco, la entidad de servicios de pago tiene una responsabilidad denominada casi objetiva en aplicación del citado Real Decreto Ley.

Sólo se verá exonerado el banco si concurre un supuesto de fuerza mayor o en el supuesto de que el cliente haya sido el único culpable.

A tal efecto, el artículo 45 del RDL 18/2018 establece que, “…en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato …”.

No obstante tener el citado artículo una redacción tan clara, en muchas ocasiones los bancos se niegan a devolver o reintegrar el dinero al cliente alegando, sin razón, que ha sido el cliente el único culpable, y que habría incumplido su deber de custodia y conservación de las claves y contraseñas, cuando en realidad no es así.

Para que el banco sea responsable del dinero sustraído de las cuentas corrientes del cliente, o respecto de los cargos en las tarjetas de crédito o débito, es necesario que se acrediten los siguientes hechos.

1. Que exista un daño, consistente en el dinero sustraído o los cargos efectuados con las tarjetas.
2. Que se pruebe una relación de causalidad entre la conducta del banco (normalmente la falta de medidas de seguridad) y el daño producido (la pérdida del dinero).

El régimen de responsabilidad que la Ley aplica a los bancos se denomina casi-objetiva, debiendo acreditar que ha desplegado las medidas y mecanismos de seguridad que, salvo que el cliente haya actuado de forma fraudulenta o con una negligencia grave, no se hubiese producido la sustracción.

Por tanto, el banco será siempre responsable, y le corresponderá demostrar que ha sido el cliente el que con su conducta ha quebrado con las medidas de seguridad y mecanismos que el banco ha adoptado y ha suministrado al cliente, para que mantuviera la privacidad y secreto de sus claves y contraseñas. Debiendo demostrar, asimismo, que dichas medidas eran cualificadas y diligentes.

Existe, en consecuencia, una presunción legal de que el cliente ha actuado cumpliendo con sus obligaciones, recayendo la carga de la prueba de la negligencia en el banco que lo alegue.

Por ejemplo, hoy en día cada vez más las entidades financieras “obligan” o disuaden para que los trámites y operaciones bancarias se realicen con la denominada banca online.

El principal interesado en la utilización de la banca online es el banco, además del propio cliente.

Pero es el banco el que ha de asegurarse de que ha adoptado las medidas de seguridad que comporten la garantía para el usuario.

En los supuestos, lamentablemente, más habituales de lo normal, en los que se produce un funcionamiento incorrecto, con medidas insuficientes, son los bancos los que han de responder de las consecuencias y daños que se ocasionen a los clientes.

Hemos de tener en cuenta que son los bancos los que deciden y aplican las medidas de seguridad que consideran adecuadas, de forma que su defectuoso funcionamiento ha de comportar asumir e indemnizar los daños.

Los Juzgados y Tribunales atribuyen a los bancos la responsabilidad sobre la seguridad de su sistema de banca online. Tienen los bancos toda la responsabilidad cuando no acreditan que han desplegado toda la diligencia exigible.

Y las sentencias son coincidentes en que es el banco el que ha de restituir las cantidades sustraídas por parte de un tercero de las cuentas, puesto que, al depositar los fondos en sus cuentas, el banco tiene la obligación legal de conservar y devolver el dinero.

Sólo en supuestos en que se demuestre la negligencia grave del cliente, o que esté cometiendo un fraude contra el banco, quedará exonerado de su responsabilidad.

Caer en la trampa o en el fraude por medio de un correo o una página web que suplantan al banco no constituye una negligencia grave del cliente.

No se considera que haya existido negligencia o culpa grave el que un cliente al que se le ha enviado un correo supuestamente enviado por el banco y/o redirigiéndole a una página web que también ha suplantado al banco, para conseguir sus claves y contraseñas. Así lo han declarado muchísimas resoluciones judiciales.

Obviamente, antes de acudir a los Juzgados y Tribunales, el cliente ha de comunicar al banco que se ha producido una operación de pago que no ha autorizado o no ha realizado.

¿Puede incluir el banco en los contratos de cuenta corriente o de operativa de sistemas de pagos cláusulas que le exoneren de responsabilidad por el uso fraudulento de sus claves y contraseñas por terceros?

Evidentemente no. Una cláusula de ese tipo supone imponer al consumidor una condición que contraviene directamente las obligaciones legales establecidas por la normativa.

¿Qué importe se puede reclamar al banco si he sido víctima de phishing y no he actuado con negligencia grave?

El objeto de la reclamación es el importe sustraído mediante las operaciones no autorizadas y los intereses legales.

Por qué confiar en nosotros

En Durán & Durán Abogados somos expertos en este tema y disponemos de un departamento especializado en derecho bancario con ámplia experiencia y compromiso. Le aconsejamos que se asesoren y reclamen, bajo la dirección jurídica de un despacho de experiencia y profesionalidad como nosotros.

No dude en llamarnos al 900.83.30.20 o enviarnos un mensaje desde nuestro formulario de contacto a fin de que les indiquemos la forma en que se habrá de proceder.

Confíe en nosotros. Le estamos esperando.

Miguel Ángel Durán Muñoz
Socio Director