Un Tribunal de La Plata condenó al banco BBVA a pagar $140 millones a una pequeña empresa que sufrió una ciberestafa. El fallo determina que el fraude fue posible debido a una vulneración del sistema de seguridad de la entidad bancaria, lo cual le impone responsabilidad por los daños causados.
El caso y las transferencias fraudulentas
El incidente ocurrió el 20 de marzo de 2023. José Luis Aronna, socio gerente del Grupo Logística Uno SRL, intentó realizar una transferencia a un proveedor mediante el sistema Homebanking del BBVA. Durante la operación, la pantalla se congeló y minutos después descubrió que se habían realizado 18 transferencias no autorizadas por un total de $39.999.342,29, además de una solicitud de préstamo no autorizado por $3.500.000.
Las transferencias fueron realizadas a cuentas bancarias de personas y empresas desconocidas, algunas de las cuales figuraban en una «lista negra» de cuentas fraudulentas mantenida por el propio banco. La empresa denunció el hecho ante la entidad y presentó una denuncia penal por defraudación informática.
El rol del malware y la responsabilidad del banco
Según el perito informático, la computadora de la empresa estaba infectada con un malware. Al acceder al Homebanking para realizar una operación rutinaria, Aronna ingresó sus claves y token necesarios. Sin embargo, el malware capturó las credenciales y permitió a los ciberdelincuentes controlar la cuenta desde remoto.
Los delincuentes lograron vaciar la cuenta corriente en menos de 30 minutos mediante 18 operaciones fraudulentas a 17 cuentas bancarias distintas. Además, solicitaron y transfirieron el préstamo no autorizado a cuentas desconocidas.
La responsabilidad del banco según el fallo
El juez encuadró el caso dentro de una relación de consumo regulada por la Ley 24.240, ya que el servicio bancario se ofrece para facilitar operaciones financieras cotidianas. Además, se refirió a la Circular «A» 7969 del Banco Central de la República Argentina, que establece estándares de protección para los usuarios de servicios financieros.
El juez sostuvo que el banco asume la obligación de garantizar que su sistema sea seguro y confiable al ofrecer servicios electrónicos como el Homebanking. Sin embargo, no cumplió con esta obligación al no monitorear ni controlar adecuadamente las operaciones.
El fallo señala que el banco no verificó adecuadamente la identidad del usuario antes de autorizar transferencias o préstamos, lo cual facilitó el fraude. Además, autorizó transferencias a cuentas fraudulentas incluidas en una «lista negra».
Los argumentos del banco y su rechazo
El banco defendió que la empresa actuó con negligencia al no proteger su computadora con un antivirus y al facilitar sus datos a terceros. Sin embargo, el juez rechazó esta defensa, destacando que el banco no aportó pruebas concretas para sostenerla.
El juez también rechazó la idea de que el banco pueda trasladar su responsabilidad al cliente, ya que reconoce que advierte activamente sobre la protección de dispositivos, pero esto no lo exime de garantizar la seguridad de sus sistemas.
Las medidas de seguridad incumplidas
El perito informático determinó que el banco no cumplió con dos deberes clave: el deber de monitoreo y el deber de control. El primero se refiere a la supervisión insuficiente de las operaciones realizadas desde la cuenta de la empresa, lo cual permitió transferencias a cuentas sospechosas.
El segundo deber implica la falta de mecanismos eficaces para detectar y prevenir operaciones fraudulentas. El sistema «challenge» utilizado por el banco no es preventivo, sino reactivo, lo que lo hace insuficiente para evitar fraudes.
Impacto del fallo
El juez estableció una multa sin precedentes con el objetivo de incentivar a las entidades bancarias a reforzar sus políticas de ciberseguridad. El banco ofrecía un servicio electrónico expuesto a riesgos como el fraude y el malware, por lo que tenía la obligación de implementar medidas de seguridad adecuadas para prevenir estos riesgos.