Una transferencia de un millón de pesos terminó abriendo en La Plata una discusión que va mucho más allá de este caso.
El Juzgado Civil y Comercial N°10 responsabilizó a una entidad bancaria por una operación realizada después de un episodio de phishing y consideró que el sistema no reaccionó frente a señales que podían mostrar que ese movimiento no coincidía con el comportamiento habitual del cliente.
La sentencia, dictada por la jueza Silvina Cairo, ordenó restituir el millón de pesos transferido y fijó además una indemnización de $4 millones por daño moral y psicológico.
La pericia informática fue una de las claves del expediente.
La operación cuestionada había sido realizada desde una dirección IP ubicada en Córdoba, mientras el titular operaba habitualmente desde La Plata. El dinero fue enviado, además, a una cuenta que no figuraba entre sus destinatarios frecuentes.
La transferencia se concretó igual.
En muchas estafas por phishing, los delincuentes consiguen claves, usuarios o códigos suficientes para entrar a una cuenta. El problema es qué ocurre después.
Si una operación aparece desde otra provincia, incorpora un destinatario nuevo y se aparta del movimiento habitual del cliente, la discusión deja de ser solamente si las credenciales utilizadas eran correctas.
Pasa a ser qué controles debía activar el banco frente a una operación con características distintas.
Ese fue uno de los puntos sobre los que avanzó la Justicia platense.
El fallo vuelve concreta una pregunta que afecta a cualquier usuario de homebanking: cuánto de la seguridad depende de cuidar una contraseña y cuánto corresponde a los mecanismos internos de la entidad.
No todos los casos son iguales.
Que una persona haya entregado datos mediante un engaño no significa que cualquier movimiento posterior deba ser automáticamente reintegrado por el banco. Cada expediente depende de cómo ocurrió la estafa, qué sistemas de autenticación existían y qué señales tuvo disponible la entidad.
En este caso, la operación presentaba diferencias respecto del comportamiento normal del usuario y, aun así, avanzó.
Los sistemas antifraude pueden analizar variables como ubicación, dispositivo, monto, horario y destinatario. Cuando varias cambian al mismo tiempo, una entidad puede disponer validaciones adicionales, alertas o demoras para confirmar que la operación es legítima.
La discusión judicial pasa justamente por determinar cuándo esas herramientas deberían activarse.
La decisión del Juzgado Civil y Comercial N°10 no convierte este criterio en una regla automática para todos los casos de phishing y todavía falta saber si la sentencia será apelada.
Sí suma una decisión local a una discusión que crece junto con el fraude digital: hasta dónde llega el deber de seguridad del banco cuando una transferencia se aparta del comportamiento habitual del cliente.
La condena tampoco se limitó al dinero perdido.
La Justicia reconoció además el impacto personal y psicológico que produjo el episodio y fijó otros $4 millones por esos daños.
Ese punto amplía el alcance económico del fallo porque no se trató solamente de devolver el monto transferido. La sentencia también tuvo en cuenta las consecuencias que la estafa generó sobre la víctima.
Todavía quedan aspectos importantes por conocer.
Hace falta acceder a la sentencia completa para determinar con precisión qué normas de defensa del consumidor utilizó la jueza, qué obligaciones concretas atribuyó al banco y qué elementos de la pericia fueron decisivos.
También falta saber si la entidad recurrirá la decisión y cuál fue su argumento frente a la operación cuestionada.
Hasta entonces, el caso no puede presentarse como una regla general para todas las estafas digitales.
Pero deja una pregunta difícil de esquivar.
Cuando una transferencia aparece desde otra provincia, hacia una cuenta nueva y fuera del patrón habitual del cliente, ¿cuántas señales hacen falta antes de que un banco decida frenar y preguntar?
