Una pensionista de 72 años ha recuperado casi 2.000 euros después de que el Juzgado de Primera Instancia número 4 de Oviedo haya determinado que la transferencia mediante la que vaciaron su cuenta no fue autorizada y que el banco no actuó con la diligencia exigible. Pese a que la operación, de carácter internacional y por un importe inusual para su perfil, fue sin autorización y sin que la víctima interviniera, el banco rechazó inicialmente la devolución, afirmando que la orden de transferencia "estaba correctamente validada".

PUBLICIDAD

Ahora, la Justicia da la razón a la mujer, obligando al banco a reembolsar el importe, más intereses y costas. Así consta en la sentencia, a la que ha tenido acceso El Independiente. Tras detectar el cargo, alertó de inmediato a la entidad bancaria y a la Policía Nacional. El fraude digital avanza hacia formas cada vez más sofisticadas, y suelen afectar a usuarios sin experiencia digital avanzada. Una de las más inquietantes es la suplantación de identidad, sin que la víctima tenga contacto alguno con los ciberdelincuentes. Sin mensajes, sin llamadas y sin enlaces fraudulentos, como ha ocurrido en este caso.

PUBLICIDAD

Según explican especialistas en ciberseguridad a este periódico, estos ataques se basan en accesos indebidos a credenciales filtradas, brechas externas o técnicas de automatización capaces de emular la identidad digital de un usuario. Para la banca, su proliferación implica una obligación reforzada de controlar movimientos atípicos y bloquear operaciones incoherentes con el historial del cliente.

Las operaciones no autorizadas sin interacción previa están experimentando un notable crecimiento en España, según organismos de seguridad digital. A diferencia de los fraudes clásicos basados en engaños directos, estos ataques no dejan señales visibles para el usuario y avanzan sin que el cliente cometa ningún error. La única forma de detectarlos es a través de los sistemas de monitorización de las propias entidades, que deben analizar patrones de riesgo, origen de la transferencia, comportamiento previo del cliente y señales de operación anómala.

En el caso de esta pensionista, la transferencia no guardaba relación con su actividad bancaria habitual. Era por un importe elevado, enviada a una cuenta extranjera y ejecutada en un horario atípico. Todos estos factores debieron activar las alertas internas y motivar una verificación adicional. La sentencia recuerda que, conforme a la normativa europea de servicios de pago, el banco debe reembolsar el dinero si no puede acreditar que la operación fue autorizada o que la víctima actuó con negligencia grave.

Para el sector financiero, este tipo de resoluciones contiene un mensaje contundente: no basta con sistemas de doble factor si los delincuentes pueden operar mediante accesos automatizados o vulnerabilidades externas. Debe reforzar sus algoritmos de análisis de riesgo y adaptar sus protocolos a un escenario donde el usuario puede convertirse en víctima sin haber interactuado con ningún canal fraudulento.

La banca debe probar que el cliente autorizó la operación

Para profundizar en el impacto del caso, este periódico ha consultado a Patricia Belisario, asesora de Asoban Abogados, despacho de abogados especialistas en fraudes online que ha dirigido la defensa de la afectada. La especialista explica que la sentencia "refuerza el principio esencial de la normativa de servicios de pago, si la operación no ha sido autorizada por el cliente, es la entidad bancaria quien debe acreditar que hubo negligencia grave. El consumidor no tiene que demostrar nada".

Belisario destaca que "la víctima no interactuó con los delincuentes en ningún momento, no autorizó la operación fraudulenta. La operación era completamente ajena a su comportamiento financiero, además se registró en un horario comúnmente empleado por los delincuentes para aprovechar las debilidades del sistema de seguridad de los bancos", explica. "Por tanto, la entidad debía haber aplicado medidas efectivas de seguridad, como por ejemplo, el bloqueo de la operación que es la medida antifraude por excelencia. No lo hizo, y en consecuencia, esa falta de diligencia de la entidad del cliente es la que determinó la responsabilidad del banco".

La asesora subraya que la edad de la afectada conlleva, además, un deber reforzado de diligencia por parte de la banca. "Cuando el titular es una persona mayor, las entidades están obligadas a extremar los controles y a no ejecutar operaciones que no se correspondan con su perfil habitual. Existe un principio básico que rige la actividad bancaria: el de 'conoce a tu cliente' (del inglés, Know Your Client)". "Si este principio se aplicara de forma efectiva, una parte muy significativa de los fraudes podría evitarse desde la propia entidad", explica Belisario, que agrega que la supervisión reforzada no es una recomendación, sino una obligación legal.

Belisario destaca también la relevancia del trabajo documental realizado: "La afectada comunicó la operación fraudulenta en cuanto tuvo conocimiento de ella, presentó una reclamación formal solicitando la devolución del importe y formuló la correspondiente denuncia ante la Policía Nacional. Dejar constancia de cada paso fue clave para acreditar que no existió negligencia por su parte. Cuando el usuario actúa con diligencia desde el primer momento y con buena fe, la ley le ampara".

Obligación de reembolsar

El incremento de los fraudes silenciosos está obligando a las entidades a revisar sus protocolos internos. El sector reconoce en privado que los ciberdelincuentes han elevado el nivel tecnológico de los ataques y que las operaciones no autorizadas sin contacto previo suponen un desafío para los modelos tradicionales de seguridad. Algunos bancos han comenzado a introducir sistemas de monitorización basados en inteligencia artificial para predecir comportamientos atípicos, aunque los expertos consideran que la implantación aún es desigual.

Para los consumidores, especialmente los mayores, este tipo de sentencias recuerda que la responsabilidad no recae en ellos cuando no han participado en ningún proceso fraudulento. Las asociaciones de consumidores subrayan que muchos afectados, al no haber sido víctimas de un phishing o smishing tradicional, creen erróneamente que no pueden reclamar. Sin embargo, la jurisprudencia es clara: si no hay autorización expresa y el banco no puede probar negligencia, debe devolver el dinero, en parte, por haber prestado un servicio deficiente a su cliente.

En paralelo, los analistas financieros advierten que la proliferación de estos fraudes genera costes operativos significativos para las entidades, desde la revisión de protocolos internos hasta el incremento de reclamaciones y litigios. Pero también señalan que la confianza del consumidor es un activo esencial para el sistema y que la transparencia en la devolución de fondos no autorizados será crucial para mantenerla.