Cayó en una estafa virtual, le vaciaron la cuenta y la Justicia obligó al banco a devolver la mitad de lo robado

La Cámara Nacional de Apelaciones en lo Civil y Comercial Federal ordenó a una entidad bancaria pública restituir parte de los fondos perdidos y otorgar una indemnización por daño moral a un cliente que había sido víctima de una maniobra de phishing. La sentencia revocó la decisión de primera instancia y declaró la nulidad de operaciones realizadas sin consentimiento del titular de la cuenta, tras una compleja estafa virtual.

Según la resolución, el conflicto comenzó en febrero de 2021, cuando un cliente de la entidad denunció que personas desconocidas accedieron de forma ilegítima a su servicio de home banking. Los estafadores lograron obtener sus credenciales mediante engaños telefónicos, lo que permitió la conversión de todos sus ahorros en dólares a pesos argentinos y la transferencia de esos fondos a cuentas desconocidas. Además, se tomó un préstamo preaprobado a nombre del reclamante y se transfirieron importantes sumas a terceras cuentas, sin que existiera advertencia ni control suficiente por parte del banco.

De acuerdo con el expediente, la maniobra comenzó cuando la pareja del reclamante recibió un llamado telefónico de una persona que se presentó como representante de un reconocido supermercado y le comunicó que había sido seleccionada para participar de una campaña publicitaria con un premio en dinero. Tras ese primer contacto y otros llamados posteriores, los estafadores guiaron al cliente para que se dirigiera a un cajero automático, donde le indicaron que debía introducir un código y suministrar información personal, junto con los datos de su pareja. Bajo esta modalidad, lograron acceder a la cuenta bancaria, activar una clave digital y obtener la información necesaria para operar en el sistema de home banking, lo que facilitó la ejecución de las transacciones fraudulentas y la desaparición de los fondos.

El reclamante promovió una demanda en junio de 2021. Solicitó en sede judicial la nulidad de un préstamo personal no solicitado, la declaración de inexistencia de las operaciones realizadas sin su consentimiento, la restitución de los fondos sustraídos, una compensación por daño moral y la aplicación de daño punitivo. Fundó su reclamo en la presunta falta de cumplimiento de los deberes de seguridad, trato digno e información por parte de la entidad financiera, además de la omisión de adoptar medidas adecuadas de ciberseguridad.

La institución bancaria respondió en mayo de 2024. Planteó como defensa que el propio cliente habría facilitado el acceso a sus cuentas, argumentando que existió un “hecho de la víctima”. Además, solicitó el rechazo de la demanda y pidió que se impusieran las costas al demandante.

El juzgado de primera instancia rechazó el reclamo. El magistrado consideró que la responsabilidad era objetiva, conforme a la Ley de Defensa del Consumidor, pero concluyó que el banco había cumplido con sus obligaciones de seguridad al difundir campañas de prevención y emitir advertencias en cajeros automáticos. Según esta primera valoración, la maniobra delictiva se habría consumado por la conducta del cliente, quien, siguiendo indicaciones telefónicas de los estafadores, proporcionó datos confidenciales y activó servicios digitales a pedido de los delincuentes.

La sentencia de primera instancia sostuvo que, si bien existió una maniobra fraudulenta, la intervención del reclamante en la entrega de sus datos resultó determinante. En este contexto, el juzgado liberó al banco de responsabilidad, al considerar acreditado el cumplimiento de los protocolos de seguridad y de la normativa vigente impuesta por el Banco Central.

Ambas partes recurrieron esta decisión ante la Cámara. El cliente cuestionó principalmente que el fallo omitió analizar el incumplimiento de los deberes de seguridad e información, la inobservancia de normativas del Banco Central y la deficiencia de los sistemas de monitoreo transaccional. También señaló que no se valoró adecuadamente la situación de vulnerabilidad derivada de la pandemia ni el impacto económico y personal del hecho.

En tanto, la entidad financiera impugnó la distribución de costas judiciales, solicitando que fueran impuestas en su totalidad al reclamante.

En el análisis de la Cámara, los jueces de la Sala I destacaron que el sistema de home banking utilizado por la entidad, aunque ofrece ventajas, también implica riesgos considerables. Resaltaron que el banco, en su condición de profesional y dada su superioridad técnica, debe asumir una responsabilidad agravada en la protección de los usuarios, de acuerdo con la ley y el Código Civil y Comercial.

Los camaristas evaluaron pruebas periciales que revelaron inconsistencias en los controles del banco. Se detectó que, tras la activación de la clave digital en un cajero de la Ciudad de Buenos Aires, se realizaron operaciones sospechosas desde direcciones IP no habituales de otras provincias. También se advirtió que, días antes, el sistema había registrado múltiples bloqueos preventivos y rechazos por intento de fraude en otras cuentas vinculadas al cliente. A pesar de estos antecedentes, el banco permitió la realización de transferencias, la liquidación de divisas y la toma de un préstamo sin requerir medidas de seguridad adicionales ni comunicación alternativa.

Según la resolución, la entidad demandada no demostró que las operaciones cuestionadas guardaran correspondencia con el patrón habitual de comportamiento del usuario. Tampoco acreditó haber implementado mecanismos eficaces de monitoreo y alerta, como exige la normativa del Banco Central. El tribunal señaló: “El sistema de la demandada no era apto para detectar y bloquear las maniobras fraudulentas ocurridas”.

La Cámara observó además que los avisos y recomendaciones preventivas enviados a los clientes habían sido emitidos varios meses antes del hecho, perdiendo efectividad ante el incremento de los ciberdelitos durante la pandemia. El peritaje informático verificó que la notificación sobre los términos del préstamo objetado llegó recién después de su acreditación, impidiendo una reacción oportuna por parte del afectado.

Sobre la responsabilidad del cliente, el tribunal reconoció que la entrega voluntaria de datos personales a los estafadores tuvo incidencia en el resultado dañoso. Sin embargo, aclaró que la ley exige que para eximir en forma total al proveedor debe probarse la existencia de “culpa grave” del consumidor, lo que no se configuró plenamente en este caso.

En función de estos elementos, la Cámara decidió distribuir la responsabilidad en partes iguales entre el banco y el cliente. En la sentencia se dispuso la nulidad del préstamo preaprobado y de las transferencias de divisas y pesos realizadas sin consentimiento, así como la devolución del 50% de los fondos sustraídos.

El tribunal también reconoció un daño moral por el sufrimiento y la angustia ocasionada al cliente, fijando la indemnización en un millón de pesos. La suma fue establecida considerando el impacto de la situación y el tiempo transcurrido, y deberá ser abonada por la entidad demandada. La Cámara rechazó la aplicación de daño punitivo, al considerar que, si bien existieron incumplimientos, las medidas de seguridad estaban implementadas aunque resultaron insuficientes.

La sentencia estableció que el banco deberá restituir, en un plazo de diez días, la mitad de las divisas y la mitad de los pesos abonados por el préstamo no consentido, con los intereses correspondientes. La indemnización por daño moral se abonará en su totalidad, salvo en caso de mora, en cuyo caso se aplicarán intereses adicionales.

La Cámara resolvió que las costas de primera instancia se distribuyeran en el orden causado y que, en la instancia de apelación, fueran impuestas a la demandada por haber resultado vencida en lo sustancial.