Cuando el banco avisa de que no se pueden entregar las claves personales, el aviso puede tener implicaciones jurídicas, incluso cuando el cliente está convencido de haberlas introducido en un sistema seguro. Eso es lo que le está ocurriendo a las personas afectadas por la reciente oleada de fraudes como el phishing, en los que se suplantan los números de teléfono del banco, su web o mensajes de SMS. Los jueces entienden al menos por ahora que la responsabilidad es del usuario, y no de los bancos.
La asociación de usuarios de banca Asufin, que canaliza buena parte de las denuncias, indica que las primeras sentencias responden a este criterio. Los fallos reconocen que los clientes han sido estafados, pero entienden que la actitud del banco "no puede calificarse de incumplimiento contractual". La entidad, dicen en algunos casos, "no es responsable de que el sistema operativo del teléfono del demandante identifique una llamada como remitida por el banco cuando procede de un tercero".
Estas primeras sentencias marcan un hito para miles de defraudados, que pueden ver ahora muy reducido el margen para recuperar el dinero. Cuando los importes son inferiores a 3.000 euros, no cabe impugnación, conforme a lo establecido en el artículo 455.1 de la Ley de Enjuiciamiento Civil.
"El consumidor queda a los pies de los caballos"
"El consumidor queda a los pies de los caballos en materia de phishing bancario y el resto de ciberdelitos, cada vez más frecuentes", afirma Asufin. "El sistema judicial no está dando una respuesta adecuada a un entramado de vacíos de seguridad que perjudican, fundamentalmente, al usuario de banca, por la sustracción de fondos que le origina", añade.
La oleada de fraudes a los clientes no es un asunto menor. La última Memoria de reclamaciones del Banco de España, del 2022, muestra que una de cada tres denuncias presentadas ante la institución, o 10.361, tuvieron que ver con cobros digitales o de tarjetas en los que el cliente no reconoce el cargo o dice no haberlo autorizado. En el 47% de los casos, el Banco de España no pudo hacer nada porque el asunto escapa a sus competencia.
Los bancos dicen que el problema escapa a su ámbito y piden implicación a las 'telecos'
El problema ya sido denunciado por el Instituto Nacional de Ciberseguridad (Incibe) y tiene en guardia a los propios bancos, que exigen a las telecos que atajen el problema. Quieren además que el Ministerio de Transformación Digital se implique. El mensaje de los bancos es que es necesario buscar una solución "holística" porque estas estafas escapan a sus ámbitos de actuación.
Una sentencia de un juzgado de Barcelona remitida como ejemplo por Asufin muestra el patrón más extendido de fraude y decisión judicial. El afectado dio las claves porque un telefonista que disponía de sus datos personales le impelió a actuar con velocidad ante un posible fraude.
Los estafadores suplantan el teléfono del banco y obligan a actuar con urgencia
"Si el demandante, nervioso por la situación, facilitó los códigos a pesar de que en el mensaje se le indicaba que era para confirmar las compras, y no para anularlas, debe asumir las consecuencias de sus actos", dice la sentencia. El dinero que perdió asciende a casi 2.000 euros.
Asufin critica la sentencia y destaca que el fallo no da relevancia a aspectos como que el SMS que le llegó al cliente se colocó en la línea de mensajes auténticos que previamente había recibido de la entidad ni a que la llamada que recibió provenía de un número que su teléfono directamente identificó como del banco. El interlocutor, indica, se dirigió al cliente por su nombre y apellido, dándole determinados datos que le hicieron creer que hablaba con su banco. El banco, die la asociación, es el que dispone de los medios para proteger al consumidor.
Qué dice la ley
El artículo 41 del Real Decreto-ley 19/2018 dice que es el usuario el que tiene la obligación de "tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas", pero no precisa qué se entiende por razonable.
La entidad está obligada a demostrar que ha habido una negligencia del cliente. "Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraude o negligencia grave", indica. "En caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato", añade.