Un jutjat de Martorell obliga Banc Sabadell a retornar 22.676 euros a una clienta afectada per un ciberfrau

El Jutjat de Primera Instància número 3 de Martorell ha condemnat Banc Sabadell a retornar els més de 22.000 euros sostrets del compte d'una clienta, representada per Col·lectiu Ronda, que va ser víctima d’un frau informàtic. Els estafadors van aconseguir obtenir una còpia de la targeta SIM del seu telèfon mòbil per autoritzar operacions bancàries sense el seu consentiment. El tribunal considera que l’entitat va incomplir el deure de vetllar per la seguretat de les operacions i descarta que la clienta actués amb negligència a l’hora de protegir les seves credencials.

El cas que ha portat el tribunal de Martorell s’inicia amb una estafa de la modalitat de phishing, coneguda com SIM swapping. Amb aquesta tècnica, els ciberdelinqüents aconsegueixen obtenir un duplicat de la targeta SIM d’un usuari per accedir i controlar la seva línia telefònica. Els delinqüents obtenen així l'accés a les trucades i SMS que rep la víctima, inclosos els codis de verificació enviats pel banc. D'aquesta manera, els atacants poden accedir a la informació personal i prendre el control de la banca digital, fent transferències, compres o altres operacions no autoritzades.

En aquesta ocasió, el passat 12 de juny de 2023, els ciberdelinqüents van sol·licitar un duplicat de la targeta SIM a l’operadora de telefonia mòbil, que va transferir la línia a una nova targeta. Aquest canvi de SIM va passar inicialment desapercebut per a la víctima fins que, després d’experimentar problemes de connexió amb la seva línia telefònica i rebre diverses alertes de que s’havien produït intents d’accedir al seu correu electrònic, va alertar Banc Sabadell de que podria estar patint un intent de suplantació d’identitat que posava en risc la seguretat dels seus comptes.

Malgrat l’advertència, la sentència assenyala que aquesta no va actuar fins que, transcorregudes tres setmanes, la víctima va comprovar que en el transcurs d’una sola nit, els ciberdelinqüents havien accedit al seu compte i realitzat una trentena d'operacions sense el seu consentiment per un import de 22.676,66 euros, incloent-hi 16 transferències internacionals i diversos enviaments de diners a través de Instant Money i Bizum. Uns moviments que, tal i com ha quedat acreditat, es van realitzar a través de dispositius amb IP diferents a les habituals de la clienta a través dels quals els estafadors van poder accedir als codis d’autenticació i realitzar les successives disposicions de diners.

Responsabilitat contractual de Banc Sabadell

La sentència fonamenta l’existència de responsabilitat per part de Banc Sabadell basant-se en les obligacions que la normativa vigent, com el Reial decret llei 19/2018, sobre serveis de pagament, imposa a les entitats financeres a l’hora de garantir la seguretat de les operacions bancàries en línia. Segons l’article 44 d’aquesta norma, el banc ha de garantir la restitució immediata dels imports de les operacions no autoritzades, i tan sols en cas de frau o negligència molt greu per part de la clienta en relació amb la privacitat de les seves dades personals és possible eximir-se de la responsabilitat que la legislació atribueix a les entitats proveïdores de serveis bancaris.  En aquest sentit, la sentència recorda que és el banc qui està obligat a «adoptar les mesures de seguretat necessàries per garantir el correcte funcionament del sistema de serveis de pagament".

La magistrada considera que, en el cas analitzat, els moviments i les operacions ordenades fraudulentament pels delinqüents resultaven tan inusuals i allunyades dels patrons habituals de conducta de la clienta que haurien d’haver despertat immediatament les sospites de Banc Sabadell. La sentència valora que «els avenços de la tecnologia actual fan relativament senzill dissenyar sistemes o aplicacions informàtiques idonis per detectar certes anomalies en la prestació dels serveis de pagament.

La clienta no va ser negligent

Tot i això, durant el procediment judicial, l'entitat bancària va insistir en l'actitud negligent per part de la demanant i va assegurar que totes les operacions "van ser autentificades, i es van dur a terme amb els paràmetres de seguretat previstos". La sentència, però, descarta que existís un actitud negligent per part de la víctima. «Cal observar que, en contra del que sosté la recurrent, que un tercer hagués pogut accedir a les claus d’accés a la banca digital del demandant no implica per se que aquest hagi incorregut en cap negligència, ja que poden existir múltiples explicacions, moltes de les quals difícilment són atribuïbles a títol de negligència i, menys encara, de negligència greu», afirma la sentència.

Una normativa protectora

En declaracions a aquest diari, l’advocat de Col·lectiu Ronda Òscar Serrano, que ha representat la clienta en aquest procediment, explica que sentències com aquesta, que condemna Banc Sabadell a retornar a la clienta les quantitats estafades, són cada vegada més freqüents. «La normativa vigent estableix amb molta claredat que els bancs tenen l’obligació de ser una caixa forta i de vigilar i garantir la seguretat de les operacions. Són molt poques les sentències que aprecien l’existència de negligència greu per part de les víctimes. Parlem de casos en què el banc pot acreditar que s’ha actuat d’una forma inversemblant, contrària al més elemental sentit comú, però en cap cas se’ns pot fer responsables a nosaltres de caure en els paranys que ens posen els delinqüents informàtics, cada vegada més sofisticats» afirma l’advocat.

En canvi, Òscar Serrano lamenta que «els bancs no estiguin fent tot el possible per evitar que cada dia, només a Catalunya, més de 300 persones siguin víctimes de cibercrims». Segons el seu parer, "amb els serveis informàtics de què disposen entitats com Banc Sabadell, és evident que és possible detectar i paralitzar operacions que criden tant l’atenció com ara fer 16 transferències bancàries en el decurs d’una sola nit per imports elevats amb destinació a comptes bancaris d’Alemanya i Holanda quan aquesta persona mai de la vida havia enviat diners a aquests països, ni feia transferències de matinada». El deure dels bancs, recorda Òscar Serrano, és «assegurar-se que tota operació està sent veritablement autoritzada pel seu client i davant el més mínim dubte, paralitzar-la per assegurar-se que no hi ha cap activitat delictiva al darrere".

Subscriu-te per seguir llegint