El Tribunal de Instancia número 3 de Avilés ha condenado al Banco Santander a reintegrar 30.000 euros a una clienta de 72 años que fue víctima de una estafa mediante técnicas de ingeniería social y control remoto de su teléfono, al considerar que la entidad no activó mecanismos suficientes de control ante una operación «claramente extraordinaria».
La sentencia, obtenida a raíz de una demanda presentada por la Unión de Consumidores de Asturias, estima íntegramente la reclamación y condena además a la entidad bancaria al pago de los intereses legales desde la reclamación extrajudicial y de las costas del procedimiento.
La afectada, clienta del Banco Santander desde hacía más de dos décadas, utilizaba la cuenta exclusivamente para recibir su pensión y afrontar sus gastos cotidianos y, según la resolución, nunca había realizado operaciones bancarias complejas ni había utilizado los canales digitales para ordenar transferencias.
La víctima, que presenta limitaciones físicas y cognitivas relevantes, fue contactada telefónicamente después de haber contratado un fondo de inversión promovido por una empleada de la entidad.
Los estafadores se hicieron pasar por personal del banco y, utilizando datos personales y relacionados con su operativa bancaria, consiguieron ganarse su confianza y convencerla para instalar en su teléfono la aplicación AnyDesk, una herramienta legítima de acceso remoto.
A través de este procedimiento, los delincuentes tomaron el control del dispositivo y realizaron operaciones que incluyeron altas en plataformas de criptomonedas y una transferencia de 30.000 euros.
La mujer descubrió la transferencia al día siguiente, cuando acudió a una sucursal bancaria para actualizar su libreta. La entidad reconoció que los hechos tenían un origen fraudulento, pero rechazó devolver el dinero al considerar que la transferencia era irreversible.
Una operación que debía haber activado las alarmas
El tribunal considera que la entidad bancaria no puede limitarse a acreditar que la operación fue formalmente autenticada, sino que debe disponer de mecanismos capaces de detectar operaciones anómalas y adoptar medidas de control cuando existan indicios de fraude.
La sentencia destaca que la transferencia fue realizada a través de canales digitales por una clienta que nunca había utilizado ese procedimiento, por un importe extraordinariamente elevado en comparación con su comportamiento bancario habitual.
Esa circunstancia, según el magistrado, debía haber constituido «un claro indicador de riesgo susceptible de activar mecanismos reforzados de control, verificación o bloqueo preventivo».
La resolución también cuestiona que una operación de esas características no hubiera generado una alerta suficiente dentro de los sistemas de seguridad de la entidad.
«Ninguna explicación satisfactoria se ha ofrecido acerca de las razones por las que una transferencia de tan elevado importe, realizada digitalmente por una cliente que jamás había utilizado ese canal para ordenar pagos, no generó mecanismos de alerta suficientes», señala la sentencia.
El tribunal descarta además que la actuación de la afectada pueda calificarse como negligencia grave. Considera que actuó como lo haría un consumidor medio situado en una posición de especial vulnerabilidad ante una estrategia diseñada para generar confianza.
Un fraude distinto del phishing tradicional
La sentencia incide en que el caso no responde al modelo clásico de phishing, en el que la víctima entrega voluntariamente sus claves o credenciales a los delincuentes.
En este caso, los estafadores utilizaron el denominado call spoofing, que permite falsificar la identificación de una llamada para hacer creer al receptor que procede de su entidad bancaria, y posteriormente recurrieron al control remoto del dispositivo.
De esta forma, los delincuentes pudieron manipular el teléfono y generar una apariencia de actuación voluntaria de la clienta cuando, en realidad, las operaciones estaban siendo dirigidas por terceros.
La resolución aplica las previsiones del Real Decreto-ley 19/2018 de servicios de pago, que atribuye al proveedor de servicios de pago la carga de acreditar que una operación fue correctamente autenticada, registrada y contabilizada y que no existió una deficiencia en el servicio.
Además, corresponde a la entidad demostrar que el usuario actuó fraudulentamente o con negligencia grave cuando este niega haber autorizado una operación.
El abogado de la Unión de Consumidores de Asturias que ha dirigido el procedimiento, José Antonio Ballesteros, ha considerado que el fallo debería llevar a las entidades financieras a revisar sus protocolos de detección de operaciones anómalas y reforzar los controles ante transferencias inusuales, especialmente cuando afectan a personas mayores o con discapacidad.
El presidente de la organización, Dacio Alonso, ha advertido de que las entidades «no pueden conformarse con colgar avisos genéricos en sus webs» y ha defendido que la normativa exige «medidas activas» de protección de los clientes.
La Unión de Consumidores de Asturias ha destacado que la sentencia supone una victoria para la afectada y ha animado a las personas que hayan sufrido fraudes bancarios a reclamar por las vías correspondientes.
