Recibir una alerta de seguridad por SMS advirtiendo sobre un acceso sospechoso a la cuenta y, apenas unos segundos después, atender una llamada telefónica en cuya pantalla figura con exactitud el número oficial del servicio de atención al cliente de la propia entidad bancaria. Al otro lado de la línea, un interlocutor con tono profesional conoce los datos básicos del titular, menciona movimientos recientes y solicita un código puntual para abortar una supuesta transferencia fraudulenta. Esta combinación de técnicas de ingeniería social ha multiplicado las estafas financieras en los últimos meses. Así lo analiza el despacho reclamador.es en su blog, donde detalla los mecanismos técnicos que hacen posible esta suplantación y por qué los tribunales están obligando a los bancos a asumir la devolución de los importes sustraídos.
El éxito de este tipo de ataques no radica en el descuido del consumidor, sino en la sofisticación tecnológica empleada por las organizaciones criminales. Según expone la firma jurídica, los ciberdelincuentes combinan el SMS Spoofing —manipulación del remitente para que el teléfono agrupe el mensaje falso dentro del hilo legítimo de la entidad— con el Caller ID Spoofing, herramienta que permite falsear el identificador de la llamada entrante para proyectar el teléfono oficial del banco. Respaldados además por información personal obtenida en filtraciones previas en la red, consiguen una puesta en escena ante la que resulta imposible sospechar. Como remarcan desde reclamador.es, "ante un escenario donde el mensaje llega por el canal oficial y la llamada procede del número real del banco, es técnicamente imposible que un usuario medio detecte el fraude".
Durante años, las entidades financieras han intentado eludir el reembolso de los fondos escudándose en que fue el propio cliente quien facilitó las claves o validó la operación, acusándole de haber incurrido en una «negligencia grave». Sin embargo, desde el despacho especializado destacan que este argumento se está desmoronando sistemáticamente en sede judicial por dos motivos concluyentes.
En primer lugar, la normativa europea de servicios de pago (PSD2) y la jurisprudencia española e internacional delimitan la negligencia grave a conductas manifiestamente temerarias o voluntarias. Caer en una trampa que clona de manera fidedigna los canales bancarios no encaja en esa categoría: desde reclamador.es insisten en que "engaño sofisticado no es negligencia grave", dado que la apariencia de veracidad generada por los delincuentes desborda cualquier estándar de cautela exigible a un usuario común.
En segundo lugar, el análisis pone el foco en los deberes de control de la propia entidad financiera. Los bancos tienen la obligación legal de monitorizar y bloquear movimientos que se aparten del perfil habitual de gasto del usuario. Si se cursa una transferencia inusual por un importe elevado, hacia un destinatario desconocido o desde una ubicación atípica sin que los filtros de seguridad salten, la responsabilidad recae en la entidad por un fallo estructural en sus mecanismos de detección y prevención.
A este criterio se suma el respaldo de la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE). La corte comunitaria ha fijado de forma taxativa que las entidades no pueden denegar el reintegro automático de operaciones no autorizadas alegando supuestos descuidos de las víctimas de fraude, estableciendo que la restitución económica debe ejecutarse a más tardar al cierre del siguiente día hábil tras la notificación. De este modo, la justicia consolida un escudo protector que impide a las entidades trasladar a los clientes el coste de las brechas de ciberseguridad.
VER POST
