Si una estafa de phishing termina con transferencias que vacían una cuenta bancaria, haber ingresado voluntariamente el usuario, la contraseña o incluso un código de seguridad no significa necesariamente que el banco quede liberado de responsabilidad. La cuestión jurídica es bastante más compleja: hay que analizar cómo funcionó el fraude, qué operaciones permitió el sistema, si esas operaciones eran compatibles con el comportamiento habitual del cliente y qué controles de seguridad aplicó la entidad.
Un reciente caso resuelto por la Justicia Civil y Comercial de La Plata vuelve a poner este problema en primer plano. Una mujer de 75 años ingresó a una página falsa que imitaba la banca digital de su entidad. Después de suministrar sus credenciales y un código recibido por correo electrónico, desde su cuenta se realizaron seis transferencias consecutivas por casi seis millones de pesos. El juzgado responsabilizó al banco, ordenó restituir el dinero sustraído y reconoció además daño moral y daño punitivo.
El dato verdaderamente relevante no es solamente que existió phishing. Lo decisivo fue que, mientras se desarrollaba la maniobra, el sistema permitió aumentar el límite de transferencias, incorporar nuevos destinatarios y enviar prácticamente seis millones de pesos mediante operaciones consecutivas sin que se activara un mecanismo eficaz capaz de detener o verificar una operatoria que el juzgado consideró anormal.
Qué ocurrió en el caso
La damnificada tenía 75 años cuando ocurrieron los hechos. El 11 de julio de 2024 buscó en Google el sitio de su banco e ingresó a una página que reproducía las características de la plataforma oficial.
Allí introdujo su usuario y contraseña. Luego recibió por correo electrónico un código de seis dígitos que también ingresó en el sitio falso. Esa maniobra permitió a los estafadores obtener los elementos necesarios para operar sobre la cuenta.
Posteriormente se produjeron seis transferencias sucesivas de $999.999,99 cada una hacia cuentas desconocidas por la clienta. Antes de realizarlas se había aumentado el límite de transferencias y se habían incorporado nuevos beneficiarios. Parte del dinero sustraído provenía, además, de fondos que se encontraban colocados en un plazo fijo.
La clienta efectuó el reclamo ante el banco y formuló una denuncia penal. Como no obtuvo una solución, promovió una demanda judicial.
El banco sostuvo que las operaciones habían sido correctamente autenticadas mediante usuario, contraseña y un segundo factor de seguridad. Su defensa, en términos simples, fue bastante habitual en este tipo de conflictos: si la persona entregó sus credenciales y el sistema recibió las validaciones necesarias, las transferencias debían considerarse autorizadas.
El juzgado no aceptó ese razonamiento.
Ingresar las claves no siempre libera al banco
Este es probablemente el punto más importante del caso.
El phishing funciona precisamente porque la víctima cree estar interactuando con una plataforma legítima. El delincuente no necesita necesariamente vulnerar directamente los servidores del banco: puede engañar al usuario para obtener las credenciales que después utilizará dentro del sistema.
Por eso, reducir todo el problema a la frase “el cliente entregó su contraseña” resulta jurídicamente insuficiente.
En una relación bancaria de consumo deben analizarse también los mecanismos que posee la entidad para detectar y prevenir operaciones fraudulentas. El banco tiene conocimientos técnicos, información histórica sobre la cuenta y sistemas de control que el consumidor común no posee.
El Banco Central exige a las entidades financieras gestionar los riesgos vinculados con tecnología y seguridad de la información, incluyendo prevención del fraude, monitoreo de las transacciones y controles sobre la actividad de los clientes en los servicios financieros digitales.
Esto no significa que el banco responda automáticamente ante cualquier estafa. Tampoco significa que el cliente pueda entregar deliberadamente todas sus credenciales y trasladar sin más cualquier consecuencia a la entidad. Cada caso depende de sus circunstancias.
Pero sí significa algo bastante concreto: la autenticación formal de una operación no necesariamente demuestra que exista una autorización real del cliente.
Las operaciones inusuales pueden ser decisivas
En este expediente existían varios elementos que, considerados conjuntamente, llamaron la atención del juzgado:
- se aumentó el límite de transferencias;
- se incorporaron nuevos beneficiarios;
- se realizaron seis operaciones consecutivas;
- cada transferencia fue de casi un millón de pesos;
- el dinero salió en un período muy breve;
- los fondos fueron enviados hacia cuentas desconocidas para la clienta;
- la operatoria se apartaba de su comportamiento habitual.
El problema, entonces, dejó de ser simplemente quién conocía la contraseña.
La pregunta pasó a ser otra: ¿un sistema bancario razonablemente seguro debía permitir que toda esa secuencia ocurriera sin una verificación adicional?
Ese análisis puede ser fundamental en cualquier reclamo por estafa bancaria en Argentina.
No existe una regla matemática según la cual determinada cantidad de transferencias genere automáticamente responsabilidad. Una persona puede realizar operaciones por montos muy elevados como parte de su actividad habitual. Otra puede no haber efectuado jamás movimientos semejantes.
Por eso resulta tan relevante reconstruir el perfil transaccional anterior de la cuenta.
La prueba tecnológica está principalmente en poder del banco
Otro aspecto especialmente interesante del fallo fue la prueba.
Una persona que descubre que le vaciaron la cuenta puede aportar capturas de pantalla, correos electrónicos, movimientos bancarios y otros elementos. Pero una parte sustancial de la información técnica se encuentra dentro de los sistemas de la propia entidad financiera.
Por ejemplo:
- direcciones IP utilizadas;
- dispositivos desde los cuales se realizaron las operaciones;
- horarios exactos de cada acceso;
- modificaciones de límites;
- alta de beneficiarios;
- mecanismos de autenticación utilizados;
- alertas generadas por el sistema;
- registros internos de seguridad;
- historial transaccional de la cuenta.
En el caso analizado, la pericia informática no pudo determinar determinada información sobre el origen de las operaciones porque el banco manifestó que ya no disponía de esos registros. También existieron dificultades para realizar la pericia contable debido a documentación que no fue puesta a disposición.
El juzgado valoró esa circunstancia al analizar la conducta procesal de la entidad.
Esto deja una enseñanza práctica evidente: en una estafa bancaria, actuar rápido no sirve solamente para intentar detener el dinero. También sirve para preservar prueba.
Qué documentación conviene guardar después de una estafa bancaria
Cuando una persona descubre movimientos que no reconoce, conviene conservar inmediatamente toda la información posible.
Entre otras cosas:
- extractos bancarios anteriores y posteriores al fraude;
- capturas de pantalla de las operaciones desconocidas;
- correos electrónicos recibidos;
- mensajes SMS o notificaciones de la aplicación;
- dominio o dirección de la página falsa, si todavía puede identificarse;
- comprobantes de transferencias;
- números de reclamo realizados ante el banco;
- respuestas escritas de la entidad;
- denuncia penal;
- identificación de las cuentas receptoras;
- cronología aproximada de todo lo ocurrido.
También conviene evitar borrar correos, historial, mensajes o información del dispositivo desde el cual se produjo el fraude hasta evaluar si pueden resultar útiles.
Qué reclamar al banco después de un phishing
El primer reclamo debería formularse cuanto antes y dejar constancia clara de que las operaciones son desconocidas y no fueron voluntariamente ordenadas.
No alcanza con comunicar informalmente que “hubo una estafa”. Conviene identificar cada movimiento, monto, horario y destinatario cuestionado, y solicitar expresamente la investigación de la operatoria.
Dependiendo del caso, puede resultar necesario requerir que se preserve la información técnica vinculada con los accesos y las transacciones.
Si el banco rechaza el reclamo alegando únicamente que las operaciones fueron autenticadas correctamente, ese argumento debe analizarse junto con el resto de las circunstancias.
La existencia de un segundo factor de autenticación es relevante, pero no necesariamente termina la discusión. Hay que estudiar qué permitió hacer ese mecanismo, qué controles adicionales existían y si el sistema reaccionó adecuadamente frente a movimientos objetivamente extraordinarios.
Por qué estos casos se analizan como relaciones de consumo
Los servicios bancarios prestados a consumidores están alcanzados por el régimen de protección del consumidor.
Esto resulta particularmente relevante porque la Ley de Defensa del Consumidor contempla la responsabilidad derivada del riesgo o defecto de la prestación del servicio y establece un sistema de protección que no parte de considerar al banco y al usuario como dos sujetos técnicamente equivalentes.
El consumidor utiliza la plataforma. La entidad la diseña, administra, controla y dispone de la infraestructura tecnológica que procesa las operaciones.
El Código Civil y Comercial, además, exige que las normas relativas a relaciones de consumo sean interpretadas conforme al principio protectorio.
En casos como este también puede adquirir importancia la situación particular del damnificado. La edad avanzada, determinadas dificultades tecnológicas u otras circunstancias pueden justificar una protección reforzada cuando exista una situación concreta de vulnerabilidad.
Eso fue expresamente considerado respecto de la mujer de 75 años involucrada en este caso.
El banco puede tener que devolver más que el dinero robado
La condena no se limitó a restituir los fondos transferidos.
El juzgado ordenó devolver $5.999.999,94, con los intereses correspondientes desde la fecha de las operaciones hasta el efectivo pago.
Además reconoció $1.200.000 por daño moral, tomando en consideración las consecuencias que produjo el vaciamiento de la cuenta y las gestiones posteriores que la damnificada debió realizar.
Finalmente, impuso una multa civil de $4.000.000, habitualmente conocida como daño punitivo, vinculada con las deficiencias atribuidas al servicio y con la respuesta brindada frente al reclamo.
La condena ascendió así a $11.199.999,94 más intereses.
Esto tampoco significa que cualquier phishing genere automáticamente daño moral o daño punitivo. Son rubros que deben justificarse según las características concretas del expediente y la conducta desplegada por el proveedor.
El error más frecuente: aceptar que “usaron mis claves” termina el caso
Desde mi experiencia profesional analizando conflictos bancarios y de consumo, uno de los errores más habituales es considerar que un rechazo administrativo del banco cierra necesariamente la discusión.
No es así.
Una respuesta que diga que las operaciones fueron realizadas con credenciales válidas describe cómo fueron procesadas técnicamente. No necesariamente determina quién manifestó realmente la voluntad de transferir el dinero ni responde si los controles antifraude funcionaron correctamente.
El análisis debe reconstruir toda la operación.
Como abogado y contador, en reclamos económicos de este tipo considero especialmente útil combinar la mirada jurídica con la reconstrucción numérica de los movimientos. El orden de las transferencias, los montos, los saldos anteriores, la liquidación de inversiones, las modificaciones de límites y el comportamiento histórico de la cuenta pueden mostrar con mucha más claridad si existió una operatoria extraordinaria.
Qué hacer si te vaciaron una cuenta bancaria
Las primeras horas pueden ser relevantes. En términos generales conviene:
- bloquear inmediatamente los accesos comprometidos;
- contactar al banco por sus canales oficiales;
- desconocer formalmente cada operación fraudulenta;
- guardar todos los números de reclamo;
- cambiar contraseñas y mecanismos de autenticación comprometidos;
- realizar la denuncia penal correspondiente;
- preservar correos, mensajes y registros del dispositivo;
- obtener los movimientos completos de la cuenta;
- evitar aceptar explicaciones telefónicas sin respaldo escrito;
- hacer revisar jurídicamente el caso si el banco rechaza la devolución.
La estrategia debe definirse según cómo ocurrió el fraude. No es igual una transferencia realizada después de una llamada telefónica que una cadena de operaciones desde un dispositivo desconocido; tampoco es igual una única transferencia habitual que la incorporación repentina de beneficiarios, aumento de límites y vaciamiento total de una cuenta en pocos minutos.
Conclusión
Una estafa mediante phishing no convierte automáticamente al banco en responsable, pero tampoco permite a la entidad desligarse simplemente porque los delincuentes consiguieron usuario, contraseña o un código de autenticación.
Hay que analizar qué operaciones se hicieron, cómo fueron autorizadas, qué controles existían, si el comportamiento era compatible con el historial del cliente, qué alertas se activaron y qué información conserva la entidad.
El caso resuelto en La Plata muestra precisamente eso: la discusión no terminó en la página falsa utilizada por los delincuentes. El juzgado examinó también qué permitió hacer posteriormente el sistema bancario y si los mecanismos destinados a prevenir operaciones anormales fueron suficientes.
Si sufriste una estafa bancaria, transferencias desconocidas o el vaciamiento de una cuenta en CABA, Provincia de Buenos Aires o Gran Buenos Aires, conviene revisar la documentación antes de aceptar como definitiva la respuesta del banco. Actuar tarde puede dificultar la reconstrucción de los hechos y la obtención de evidencia técnica.
Podés agendar una videollamada gratuita de 20 minutos para analizar qué ocurrió, revisar la respuesta de la entidad y evaluar si existe fundamento para reclamar la restitución del dinero y los demás daños que puedan corresponder.