Una IP sospechosa no alcanzó

Un juzgado de Cipolletti rechazó la demanda de un cliente contra el Banco Credicoop que aseguró haber sido víctima de una maniobra de vishing mediante la cual terceros habrían accedido de manera remota a su teléfono celular y transferido $322.000 de su cuenta.

El vishing es una modalidad particular de phishing y viene de voice + phishing: el engaño se realiza por teléfono o mediante una comunicación de voz. El estafador se hace pasar, por ejemplo, por un empleado del banco, la tarjeta de crédito o un organismo público y convence a la víctima de entregar datos, instalar una aplicación o realizar alguna operación.

La particularidad de este caso es que una pericia informática detectó movimientos considerados sospechosos e incluso concluyó que la entidad financiera debió adoptar medidas preventivas. Sin embargo, para el juez Mauro Alejandro Marinucci, subrogante del Juzgado Civil, Comercial, Minería y Sucesiones N.º 3 de Cipolletti, esos indicios no alcanzaron para demostrar cómo se produjo concretamente el fraude ni que el daño pudiera atribuirse al incumplimiento del deber de seguridad del banco.

Según relató el cliente, el episodio comenzó cuando llamó a un número que creía perteneciente a Visa para intentar destrabar un pago rechazado. Durante la comunicación, un supuesto operador le indicó que descargara la aplicación QuickSupport, que permite controlar un dispositivo en forma remota. Poco después, advirtió que habían retirado dinero de su cuenta y gestionado préstamos en otras entidades.

El banco negó que hubiera existido una falla en sus sistemas y sostuvo que las operaciones se realizaron utilizando las credenciales de seguridad correspondientes. También destacó que el propio cliente había permitido el acceso remoto a su dispositivo y, según la denuncia policial presentada después del hecho, había suministrado información de su cuenta.

Pese a esa conclusión técnica, el magistrado entendió que persistía un problema central: no se había probado adecuadamente el hecho que habría dado origen a la maniobra.

La prueba informática aportó un dato relevante. Los registros mostraron que el día del episodio hubo conexiones desde dos direcciones IP: la utilizada habitualmente por el cliente, geolocalizada en Río Negro, y otra ubicada en Córdoba. Desde esta última se efectuaron primero dos transferencias por apenas $1 y $323. Dos minutos después se concretó una transferencia por $322.000 desde la IP habitual. Las tres operaciones fueron validadas mediante clave móvil.

El perito consideró que la secuencia era anómala. Señaló que los ingresos desde una IP distinta y localizada en otra provincia, seguidos de dos pequeñas transferencias de prueba, constituían una operatoria sospechosa y sostuvo que el banco debió contar con mecanismos de alerta temprana para bloquear o suspender las operaciones.

Pese a esa conclusión técnica, el magistrado entendió que persistía un problema central: no se había probado adecuadamente el hecho que habría dado origen a la maniobra.

El fallo destacó que el cliente no acreditó la existencia de la llamada telefónica que, según su relato, desencadenó el fraude. Tampoco ofreció una pericia sobre su teléfono celular ni produjo prueba informativa de su compañía telefónica para demostrar las comunicaciones realizadas ese día. Además, las capturas de pantalla y la denuncia acompañadas fueron desconocidas por la contraparte y no se produjo prueba destinada a acreditar su autenticidad.

Para el juez, la aplicación de las normas de defensa del consumidor y de la carga dinámica de la prueba no liberan al usuario de acreditar los hechos constitutivos de su reclamo cuando éstos fueron expresamente controvertidos.

Marinucci reconoció que la recomendación del perito respecto del bloqueo preventivo tenía “valor técnico”, pero consideró que la eventual omisión del banco sólo podía tener relevancia causal si se demostraba que la operatoria sospechosa había sido ajena a la voluntad del cliente. Ese extremo, concluyó, no fue probado.

El magistrado también señaló que no podía descartarse que QuickSupport hubiera permitido a un tercero operar remotamente el teléfono, lo que explicaría que la transferencia principal apareciera realizada desde la IP habitual del usuario. Pero tampoco pudo determinarse con suficiente certeza de qué manera fueron comprometidas sus credenciales de seguridad.

En ese escenario, el juzgado resolvió rechazar la demanda contra Banco Credicoop y extender el resultado liberatorio a los terceros citados en el proceso. Las costas fueron impuestas al actor.