Le vaciaron la caja de ahorro tras una venta por Facebook: ahora el banco deberá pagar

La Cámara de Apelaciones en lo Civil, Comercial, Laboral y de Minería de Santa Rosa ratificó la multa que la Dirección General de Defensa del Consumidor de La Pampa le había impuesto al Banco de La Pampa por no contar con los mecanismos necesarios para verificar la identidad de sus usuarios y detectar movimientos fuera de lo común. El caso que originó todo: una clienta a la que le vaciaron la caja de ahorro con una maniobra de phishing.

La resolución, firmada por la jueza Carina Ganuza, puso el foco en la omisión de la entidad frente a operaciones que, por su tamaño y características, debían haber encendido alarmas.

La trampa que empezó con una computadora en venta

Todo arrancó cuando la mujer publicó en Facebook que vendía una computadora. Otra mujer la contactó y se ofreció a pagarle por transferencia. A partir de ahí la conversación siguió por WhatsApp, primero con la presunta compradora y después con su pareja, que la llamó por teléfono y le pidió que fuera a un cajero automático para comprobar que el dinero había llegado.

En el cajero, la usuaria verificó que la transferencia no se había acreditado. Entonces apareció un tercer integrante de la maniobra —un familiar de la compradora— que le indicó cómo habilitar la operación. La máquina emitió dos tickets y, cuando le solicitaron los datos, la mujer entregó su usuario y el número de token.

Minutos después ya no pudo entrar a su homebanking. Cuando fue al banco se enteró de que le habían vaciado la caja de ahorro con tres transacciones que sumaban 2.800.000 pesos.

Qué argumentó el banco para defenderse

La Dirección de Defensa del Consumidor había sancionado al BLP por incumplir cuatro artículos de la Ley de Defensa del Consumidor: el deber de información, la protección al consumidor, la responsabilidad por cosas y servicios riesgosos y la modalidad de prestación de servicios. El banco apeló esa multa y el expediente llegó a la Cámara.

En su recurso, la entidad sostuvo que las pruebas no se habían valorado bien, que no se acreditó ninguna conducta concreta que configurara una infracción a la ley 24.240 y que la resolución administrativa se apoyó en expresiones genéricas como “fragilidad” o “ineficiencia” del sistema, sin demostrar fallas técnicas u operativas ni el incumplimiento de una medida de seguridad puntual. También remarcó que solo se le atribuyó responsabilidad por el resultado dañoso.

El banco fue más lejos: consideró que la Dirección minimizó la responsabilidad de la usuaria, que generó sus propias credenciales y después entregó de manera voluntaria su usuario, su clave y su token a terceros. Con ese razonamiento concluyó que el sistema funcionó correctamente, que las operaciones se hicieron con las credenciales legítimas de la clienta y que no se comprobó ninguna vulneración informática.

La respuesta de la jueza

Ganuza rechazó esos planteos. Reconoció que la consumidora admitió haber dado su token, pero subrayó que su consentimiento estaba viciado por el engaño y que eso no liberaba al banco de su responsabilidad. “No eliminaba el deber objetivo de seguridad que tenía, especialmente cuando existían operaciones inusuales que podían haber sido detectadas o validadas mediante medidas de seguridad adecuadas”, escribió.

Para la magistrada, la entidad “no implementó mecanismos suficientes para detectar o confirmar las operaciones sospechosas”, porque las transferencias no fueron notificadas a la clienta, los destinatarios le eran ajenos y los montos no coincidían con su operatoria habitual. “Pese a ello, no retrotrajo las operaciones ni ofreció una solución”, agregó.

La jueza también hizo propia la advertencia de la Dirección de Defensa del Consumidor: el aumento de los fraudes informáticos obliga a los bancos a reforzar sus medidas de prevención y seguridad, más aún cuando el Banco de La Pampa ya tenía registro de numerosos casos parecidos.

“El deber de seguridad inherente al riesgo y el deber de información consecuente deriva, en caso de incumplimiento, en la responsabilidad objetiva del proveedor, quien sólo se liberará total o parcialmente si demuestra que la causa del daño le ha sido ajena”, sostuvo Ganuza, en referencia al artículo 40 de la Ley de Defensa del Consumidor.

En esa línea, la jueza remarcó que la obligación de las entidades bancarias no se limita al cumplimiento de medidas mínimas: “comprende no solo el cumplimiento de medidas mínimas; sino también la adopción de todas aquellas medidas razonables para prevenir riesgos previsibles”.

Las señales que el sistema podía ver

Uno de los puntos centrales del fallo es que el banco contaba con herramientas para detectar lo que estaba pasando. Según la sentencia, un ingreso desde un equipo y una ubicación que no son los habituales puede ser identificado con facilidad por los sistemas, igual que la registración de operaciones poco frecuentes en un lapso breve. La jueza puso como ejemplo la solicitud de un préstamo seguida de transferencias de grandes sumas.

Ese tipo de movimientos, indicó, “deberían generar alertas para el banco, que por lo tanto tendría que verificar si realmente emanaron del cliente y bloquearlas cuando no sea así”.

“La circunstancia de que el consumidor haya proporcionado determinados datos o claves no resulta, por sí sola, suficiente para interrumpir el nexo causal ni eximir al banco de su responsabilidad, cuando el daño pudo haberse evitado mediante mayores medidas de seguridad”, afirmó.

En el cierre de sus fundamentos, Ganuza concluyó que los deberes de seguridad, prevención, información y modalidad de prestación de servicios actuaron de forma armónica en este caso. Aun cuando fue la propia usuaria la que entregó sus claves producto del fraude, hubo una omisión de la entidad frente a los movimientos inusuales que podía detectar en la cuenta y en las tarjetas. Y no solo no le avisó a la clienta: tampoco adoptó medidas preventivas para evitar el daño.