Se enteraron por Twitter de una falla informática en un banco y transfirieron miles de pesos a billeteras virtuales

Todo comenzó con un posteo que se viralizó en la red social Twitter (actual X). Un usuario advirtió que un banco estaba “regalando plata ilimitada” y dio instrucciones sobre cómo obtenerla mediante una transferencia desde la aplicación de la entidad hacia billeteras virtuales.

“Atención, el Banco Nación está regalando plata ilimitada. Tienen que transferirse desde BNA+ a Mercado Pago o un CVU de Fintech, poniendo en el motivo de la transferencia la opción de expropiación y no se le va a descontar lo transferido. Pueden repetirlo infinitamente. Abrazo”, instruía el usuario en abril de 2022. Casi de inmediato y aprovechando lo que luego se determinó fue una falla informática se acreditaron miles de transferencias en billeteras virtuales sin que el dinero se debitara de las cuentas de origen.

La división Ciberpatrullaje de la Policía Federal detectó el posteo que le dio difusión pública a esa vulnerabilidad informática y se abrió una causa penal que terminó con catorce procesados, una decisión que confirmó este viernes la Cámara Federal porteña.

En la investigación a cargo del juez federal Sebastián Casanello se advirtió que hubo un beneficio indebido porque se acreditó el saldo transferido en la cuenta de destino sin debitarse de la de origen y ello derivó en que el Banco tuviera que “afrontar con sus recursos esa diferencia de dinero”. En uno solo de los casos, el acusado hizo 242 transferencias en dos días.

A los acusados se les atribuyó “haber defraudado el patrimonio del Banco de la Nación Argentina mediante la realización y/o recepción de diversas transferencias efectuadas a través de la aplicación BNA+ entre fines de marzo y mediados de abril de 2022″, según la resolución a la que accedió Infobae.

Los jueces del Tribunal de Apelaciones Eduardo Farah y Roberto Boico avalaron la acusación pero cambiaron el delito, pasó de estafa a defraudación mediante manipulación informática agravada en perjuicio de la administración pública.

Error y posteo en redes

La investigación comenzó cuando se detectó el mensaje en la red social.

Según informó el banco que es querellante en la causa penal, el error se originó tras cambios implementados el 31 de marzo de 2022 en los sistemas de pagos y transferencias de Red Link. Una descoordinación en la comunicación entre el banco y la red provocaba un funcionamiento irregular ante determinadas transferencias.

La maniobra consistía en enviar fondos desde una cuenta BNA+ hacia una billetera virtual o una cuenta virtual bancaria —como Mercado Pago, Ualá o Personal Pay— y consignar el concepto “ESE”, correspondiente a “Estado expropiaciones u otros”.

Ese código estaba destinado a operaciones de personas jurídicas. Cuando era utilizado desde cuentas de personas humanas, el sistema bancario debía rechazar la transferencia bajo el código de error 91, denominado “Destino no disponible”. Sin embargo, por la falla, la operación llegaba a acreditarse en la cuenta de destino, aunque el débito no impactaba de manera inmediata en la cuenta de origen.

El mecanismo tenía “un doble efecto en el sistema”: por un lado, “se admitía la operación”, razón por la que “el dinero se acreditaba en la cuenta destinataria”; por otro, “se rechazaba en el origen”, donde el débito no se aplicaba.

Difusión masiva

La anomalía se volvió pública y se difundió ampliamente al día siguiente. De acuerdo con los informes incorporados a la causa, cerca del 95% de las transacciones vinculadas al episodio se concentró en ese período.

En total, el Banco detectó movimientos de 10.410 clientes por $1.558.582.727. La entidad recuperó alrededor del 25% de ese monto, mientras que quedaron pendientes de recupero $1.161.732.215, según la resolución.

La pesquisa se enfocó en distinguir las operaciones que podían responder a un uso deliberado de la falla. Se consideró relevante la repetición de transferencias, el incremento progresivo de los importes, los ingresos frecuentes a las billeteras virtuales y la falta de correlación entre los montos operados y la actividad económica habitual de las personas investigadas.

En los casos confirmados, hubo transferencias repetidas en lapsos breves, por valores que llegaron hasta los $120.000 por operación. Algunos fondos fueron enviados a cuentas propias y otros a cuentas de terceros; además, parte del dinero fue retirado o reenviado antes de los procesos de compensación nocturna del banco.

Uno de los procesados concretó entre el 2 y 4 de abril de 2022 desde su cuenta en la aplicación bancaria 211 transferencias bajo el concepto “ESE” por $1.677.100. La mayoría se enviaron a otra cuenta propia en la Fintech Ualá Bis. En otro de los casos, entre el 31 de marzo y 1 de abril de 2022, se ejecutaron 242 transferencias bajo ese concepto por $1.557.450 desde la aplicación BNA+ hacia la cuenta del acusado en la plataforma de Mercado Pago para luego, desde allí, efectuar otras transferencias a distintas cuentas. El modus operandi se repitió entre los restantes procesados. Todos quedaron embargados y tienen que presentarse una vez por mes en el juzgado o en una comisaría.

Estafa o fraude informático

La defensa sostuvo que no existió un ardid dirigido a engañar a empleados del banco, porque la duplicación de acreditaciones se produjo exclusivamente a raíz de una falla informática.

La Cámara coincidió en que no correspondía aplicar la figura de estafa tradicional, prevista en el artículo 172 del Código Penal, que requiere engaño y error de una persona pero para los jueces hubo en cambio manipulación informática. “Esta modalidad comisiva se diferencia de la estafa tradicional”, indicó el tribunal, porque “el engaño y el error son reemplazados por el empleo de cualquier técnica de manipulación informática”.

La resolución remarcó que la hipótesis de la acusación se apoya en “la reiteración de esa manipulación informática y en el resultado que generó la acción”.

Para los magistrados, el uso del concepto “ESE” en transferencias entre personas humanas supuso la incorporación deliberada de “un dato que no correspondía a la operación intentada”, con el objetivo de provocar una respuesta anómala conocida en el sistema.