¿Puedo reclamar al banco si he sido estafado?
Las tecnologías han traído consigo muchas ventajas, pero también numerosos fraudes informáticos relacionados con la banca y las tarjetas de crédito. La realidad es que muchas personas afectadas por esta situación no acuden a un abogado. Creen que es culpa suya por no haber prestado suficiente atención a la web. Es por ello que creemos importante dedicar este artículo a la posible responsabilidad del banco en estos casos. Como veremos, no solo existe una responsabilidad penal del estafador.
Principales tipos de fraude relacionados con cuentas bancarias.
El «Phishing» es una técnica que se utiliza para obtener datos personales y bancarios de los usuarios. Se inicia con un mensaje por distintas vías como e-mail, WhatsApp o SMS con los que los ciberdelincuentes suplantan la identidad del banco. De esta forma les engañan y manipulan para que sigan las indicaciones del mensaje y faciliten sus datos bancarios, poniéndolos en peligro.
Por ejemplo: al usuario le llega un mensaje con un link señalando que por motivos de seguridad deberán cambiarse las credenciales de seguridad. Normalmente el phishing utiliza contra la víctima el mismo código de programa del banco o un servicio similar, por lo que su página web adquiere la apariencia de la entidad bancaria.
Algunas de las formas más recurrentes de engaño son: pedir al usuario que confirme sus datos personales o que acceda a un enlace para realizar un pago, el envío de una factura falsa o la oferta de cupones gratis.
Junto al phishing, las estafas más frecuentes son las siguientes:
- Suplantar la identidad de correos o en redes sociales.
- La clonación de tarjetas.
- La creación de webs ficticias.
¿Cuál será el procedimiento más conveniente en estos asuntos? ¿Civil o penal?
En estos supuestos, lo más aconsejable es seguir la vía civil contra la entidad bancaria, puesto que es la que ofrece más posibilidades de recuperación de lo defraudado. Ahora bien, en caso de que queramos buscar responsables penales, será posible proceder contra el estafador por la vía penal y reclamar a la vez la responsabilidad civil y la entrega de los importes defraudados a la entidad bancaria.
No obstante, como hemos dicho lo que más nos interesa en este caso es reclamar al banco por la vía civil desde un primer momento. Como veremos más adelante, el banco deberá devolver al usuario esos importes en todo caso salvo que hubiese mediado negligencia por su parte. En todo caso, la negligencia del usuario deberá demostrarla el propio banco.
¿Qué tengo que hacer si he sufrido Phishing?
Lo primero que debemos hacer en caso de haber sufrido phishing es ponernos en contacto con nuestra entidad bancaria y comunicarle los hechos lo antes posible. De esta forma, podrá bloquear el medio de pago (anular las tarjetas, por ejemplo) y proporcionarnos nuevas credenciales de seguridad.
Además, tendremos que presentar denuncia ante la Policía Nacional detallando el método de fraude y guardar los mensajes o llamadas a través de los que ha operado el fraude conservándolos como pruebas.
Posteriormente tendremos que rellenar unos formularios del banco reclamando o solicitando por escrito la devolución de los importes y nos pedirán que aportemos una copia de la denuncia. Es importante que guardemos justificantes de entrega de las comunicaciones que realicemos.
¿Puedo reclamar al banco si he sufrido Phishing?
Sí, podemos reclamar al banco. Ahora bien, la realidad es que los bancos intentan exonerarse de su responsabilidad con diferentes argumentos.
Los artículos 43 y siguientes de la Ley de Servicios de Pago establece que cuando el usuario no reconoce la autoría de la operación de pago o una falta de diligencia en sus obligaciones de custodia, la entidad deberá reembolsar inmediatamente los importes defraudados. Sin embargo, esto no ocurrirá en los casos en los que el banco pueda demostrar que el titular de la cuenta o tarjeta ha actuado de forma fraudulenta o incumpliendo de forma grave o deliberada alguna de las obligaciones que tiene como usuario de servicios de pago.
Entonces, ¿por qué la entidad rechaza la devolución de los importes sustraídos aun cuando es evidente que el usuario ha sido víctima de estafa? ¿En qué se respaldan?
Lo que el banco hace es comprobar que la operación se ha realizado introduciendo las claves de seguridad de la tarjeta o de la cuenta bancaria online y de esta forma intenta eludir su responsabilidad.
Sin embargo, esta actuación es contraria a las buenas prácticas bancarias, puesto que los delincuentes han tenido acceso a esa información con métodos muy avanzados tecnológicamente. Por ello las operaciones han sido correctamente autenticadas, pero eso no implica que el usuario haya prestado realmente su autorización ni que no haya sido víctima de un fraude.
¿Qué puedo hacer ante la negativa del banco de devolvernos los importes de las operaciones fraudulentas?
Lo primero que aconsejamos en estos casos es presentar una reclamación ante el Servicio de Atención al Cliente (SAC) del banco en el que hayamos solicitado la devolución de los importes indebidamente cargados en tu cuenta o tarjeta.
La entidad responderá a esa solicitud en el plazo de 15 días y, en caso de que rechacen la petición, podríamos interponer otra reclamación ante el Banco de España. Ahora bien, esta opción no es aconsejable si los importes son altos, puesto que los plazos de resolución son largos y no serán vinculantes para la entidad.
Pero, ¿Qué más podemos hacer si el SAC ha rechazado nuestra reclamación? En caso de que se encuentre en esta situación, aconsejamos que contacte con un abogado experto en materia de operaciones bancarias no autorizadas. Así iniciaremos una reclamación contra la entidad por los daños y perjuicios ocasionados por esas operaciones de pago fraudulentas.
Si su entidad bancaria no se hace responsable, le ayudaremos a recuperar su dinero.
¿Me pueden acusar de negligencia?
Ya hemos visto que el banco suele argumentar que el usuario ha autorizado la operación fraudulenta mediante sus claves de seguridad.
En otras ocasiones, las entidades no niegan la estafa, pero se respaldan en que el usuario ha sido negligente en el cumplimiento de sus obligaciones. Es decir, entienden que no ha custodiado con la suficiente diligencia sus claves de seguridad por haberlas facilitado a un tercero. O incluso pueden llegar a decir que hemos incurrido en fraude y que existe una concurrencia de culpas. Es decir, que la culpa del fraude recae tanto en los ciberdelincuentes como en el propio usuario.
Sin embargo, los Tribunales resuelven en la mayoría de los casos a favor de los usuarios. Se entiende que la negligencia grave tiene lugar cuando no se ejerce la más mínima diligencia. Además, en la mayoría de las ocasiones el usuario es víctima de un fraude que podría engañar a la generalidad de las personas. Es por ello que no se considera que actúe con grave negligencia.
Por tanto, el banco podrá ser responsable frente al cliente por dos motivos: por incumplir sus obligaciones contractuales (por ejemplo: permitiendo que un tercero realice compras en lugar del titular) y por incumplir sus obligaciones legales.
¿Quién debe probar la negligencia del cliente?
Probar la negligencia grave del usuario es una de las obligaciones de la entidad, según establecen la Directiva 2015/2366 de Servicios de Pago y el Real Decreto-Ley 19/2018 de Servicios de Pago.
El banco deberá demostrar que la operación fue autenticada, registrada y contabilizada con exactitud.
La responsabilidad del banco: RDL 19/2018 de Servicios de Pago
El marco normativo en esta materia se contiene en el Real decreto-Ley 19/2018, de 23 de noviembre, de Servicios de pago, que traspone la Directiva 2015/2366 de Servicios de Pago en el mercado interior.
Esta regulación busca generar un entorno más seguro y fiable para los usuarios para protegerlos de las innovaciones tecnológicas y el riesgo de fraude. Así, la Directiva obliga a los bancos a la autenticación reforzada mediante factores de verificación que se caracterizan por el conocimiento (algo que solo conoce el cliente: contraseña), posesión (algo que solo tiene el cliente: tarjeta de débito) o inherencia (algo inherente al cliente: su huella dactilar).
Además, el Reglamento Delegado 2018/389 señala que los bancos deben contar con mecanismos de supervisión de las operaciones que les permitan detectar operaciones de pago no autorizadas. Es decir, el banco debe poder detectar señales de infección de programas informáticos maliciosos en el proceso de autenticación, así como la sustracción de los datos de autentificación del usuario. De hecho, la técnica actual permite a los bancos detectar operaciones inusuales y que pueden ser fraudulentas y bloquearlas en ese mismo momento.
En este sentido, la SAP Alicante (Sección 8) 107/2018, de 12 de marzo de 2018 establece que en caso de que ese deber de vigilancia de la entidad bancaria se incumpliera, esta tendría:
“responsabilidad por ‘culpa invigilando’ o responsabilidad objetiva por el mal funcionamiento de los servicios de la banca electrónica”.
Un caso de Phishing
El 28 de mayo de 2015 un cliente trató de operar a través del portal de internet de Caja Rural accediendo mediante su clave y contraseña a su cuenta. Sin embargo, no podía operar porque la cuenta le aparecía bloqueada. Además, se le indicó mediante una ventana de notificación que, por error, se había realizado por la entidad “SEGUROS Y REASEGUROS BANCO SABADELL» un ingreso de 8.920 euros en su cuenta, requiriéndole su devolución. Para ello, le indicaban que debía pulsar en la pestaña “devolución” que le aparecía en pantalla.
A la mañana siguiente, comprobando los movimientos de la cuenta comprobó que el supuesto abono no aparecía, pero sí que constaba una transferencia de 8.920 euros. El cliente contactó inmediatamente con la entidad bancaria comunicando lo sucedido, y le confirmaron que había sido víctima de una estafa.
El cliente presentó denuncia y queja ante la entidad bancaria (que no fue atendida). En consecuencia, formuló demanda contra la entidad por no haber proporcionado los medios de seguridad suficientes para evitar la pérdida patrimonial. Por ello solicitaba que se condenase a la entidad a abonarle la cantidad de 8.920 euros, intereses legales y costas.
La entidad contestó a la demanda alegando que había instalado en 2015 un banner que informaba al cliente en caso de aparecer un posible intento de fraude. Es decir, alegaba que el fraude había sido causado por la negligencia del cliente, al no atender el aviso de posible Phishing.
La sentencia en primera instancia estimó íntegramente la demanda al entender que no había existido actuación tardía ni negligente del cliente. Así pues, la entidad bancaria debía responder por el funcionamiento defectuoso del servicio. Esta sentencia fue confirmada por la Audiencia Provincial de Sevilla en sentencia n.º 285/2018 de 4 de octubre de 2018.
Medidas de seguridad para prevenir el fraude bancario.
Lo primordial es que aprendamos a detectar los correos electrónicos o mensajes que puedan ser sospechosos de Phishing. ¿En qué debemos fijarlo? Utilizan los nombres y la apariencia de entidades reales y sus páginas web y figura como remitente la propia empresa o uno de sus empresarios reales. Por otra parte, utilizan como gancho regalos (cupones, ofertas, etc.) o la pérdida de nuestra cuenta (para evitarlo solicitan nuestros datos).
Debemos tener claro que nuestro banco nunca nos va a pedir nuestras claves por correo electrónico. Antes de enviar nuestras credenciales, debemos llamar directamente a nuestro banco para aclararlo y salir de dudas. De la misma forma, no debemos entrar en la web del banco pulsando en los links que aparecen en mensajes, puesto que podrían dirigirnos a la web fraudulenta. En su lugar, entraremos en la web bancaria buscando directamente desde el navegador.
Otros puntos a tener en cuenta son:
- Prestar atención a la seguridad de nuestro ordenador y tenerlo siempre protegido con un buen antivirus.
- Introducir nuestras claves únicamente en webs seguras. Lo sabremos si vemos en la barra del navegador el icono de un candado cerrado.
- Debemos recordar que el Phishing no reside únicamente en la banca, sino también en redes sociales y otras webs.
- Es aconsejable revisar periódicamente nuestras cuentas para apreciar cualquier posible irregularidad.
Lo más importante es que, ante la menor duda, llamemos a nuestra entidad para aclararlo.
Esperamos que este artículo haya ayudado a resolver sus dudas sobre el fraude bancario, las formas de prevenirlo y lo que debemos hacer si somos víctimas de Phishing bancario. No obstante, debido a la complejidad de estos casos, aconsejamos que se ponga en contacto con profesionales que le asesoren debidamente.