Banco Santander devuelve 6.090€ a una víctima de phishing

La Audiencia Provincial de Madrid da la razón a un usuario víctima de una fraude por mensaje y su banco debe devolverle el dinero estafado

Banco Santander devuelve 6.090 € a un usuario que fue víctima de una estafa por mensaje en la que un ciberdelincuente suplantaba a su entidad bancaria.

El Banco presentó un recurso de apelación contra la sentencia del juzgado de primera instancia en la que se le condenaba a devolver el importe del dinero al usuario.

¿Qué sucedió?

El usuario recibió un sms asociado a su tarjeta y contrato de cuenta corriente, en el que se le invitaba a hacer clic en un enlace clonado a la página web de Banco Santander.
Dos días más tarde, el cliente descubrió que se habían sustraído 6000€ de su cuenta a través de 6 operaciones.
El Banco nunca había advertido al cliente de posibles fraudes de suplantación de identidad. Además, tampoco alertó por sms al teléfono del usuario de la primera extracción del dinero, lo que hubiera permitido al consumidor poder bloquear su cuenta a tiempo para evitar más sustracciones.

Sin embargo, la entidad bancaria considera que en su página web aparece información sobre cómo prevenir e identificar phishing. También cree que el usuario pulsó de manera voluntaria en el enlace y que facilitó sus datos, promoviendo las disposiciones, que entraban dentro del límite autorizado, por lo que cree que no era necesario notificar al cliente.

¿Qué opinan los jueces de la Audiencia Provincial?

La Audiencia Provincial considera que no se aprecia comportamiento negligente por parte del cliente ya que el phishing es muy difícil de detectar por los usuarios.

Aunque en el mensaje que recibió el cliente se empleaba lo en vez de le, era muy difícil identificar que era un fraude.

El Banco es quien tiene que encargarse de detectar páginas clonadas a las oficiales para eliminarlas.
Además, los conocimientos relacionados con el phishing no pueden considerarse acreditados con la información que se proporciona en la página web en cuanto a la efectividad de las medidas preventivas.
Para los jueces es obligación de la entidad y no del cliente el tener activada la alarma de tarjeta.

Por otro lado, el teléfono desde el que se había solicitado la activación no se encontraba entre los que había registrado en su nombre el usuario en sus datos de cliente.

Por lo que no queda acreditado que Banco Santander cumpliese con los deberes de autenticación en las operaciones de pago.

Aspectos relevantes de esta sentencia

Tu banco nunca te va a solicitar información relevante a través de sms. Desconfía siempre de los mensajes en los que te piden datos personales o información de carácter privado.

Debes fijarte bien en la ortografía. Aunque en este caso era más difícil de percibir, hay otras situaciones en las que es más sencillo detectar que no está bien redactado el texto del mensaje.

Según el Real Decreto-ley 19/2018 de Servicios de pago las entidades bancarias -si un usuario niega haber autorizado una operación de pago que ya ha sido ejecutada- deben demostrar que esta operación fue autenticada, registrada y contabilizada.

Por lo tanto, el banco debe devolver el importe de la operación al cliente cuando se ejecute una orden de pago que no haya sido autorizada por este.

En este caso se demuestra que el usuario no actuó de manera fraudulenta.