Fallas en la seguridad digital: un banco deberá devolver el dinero sustraído a una empresa

Una sentencia responsabilizó a BBVA Argentina por no detectar una serie de operaciones inusuales realizadas desde la cuenta de una firma dedicada a la venta de repuestos y accesorios para automotores. El fallo declaró inválidos un préstamo, la venta de moneda extranjera y ocho transferencias, además de ordenar la restitución de los fondos.

Una entidad bancaria deberá responder por las fallas en sus mecanismos de seguridad digital que permitieron realizar numerosas operaciones no autorizadas desde la cuenta de una empresa de Cipolletti.

El episodio comenzó cuando uno de los responsables de la firma ingresó a la plataforma bancaria para revisar los movimientos y autorizar un pago habitual. Poco después, la pantalla de su computadora quedó azul y mostró un supuesto aviso de actualización del sistema.

Cuando recuperó el acceso, advirtió una modificación abrupta del saldo. En pocos minutos se había incorporado un nuevo usuario con perfil de administrador, contratado un préstamo digital, vendido moneda extranjera y efectuado ocho transferencias hacia cuentas que no tenían relación previa con la actividad comercial.

El representante de la empresa se dirigió inmediatamente a una sucursal, informó lo sucedido y solicitó el bloqueo de los accesos. BBVA Argentina activó su protocolo antifraude y le indicó que debía radicar una denuncia penal.

La firma también presentó un reclamo formal para recuperar el dinero, pero la entidad bancaria rechazó la restitución. Ante esa respuesta, el conflicto llegó a la Justicia.

El banco atribuyó las operaciones al uso de credenciales válidas

Durante el proceso, la empresa sostuvo que ninguna persona autorizada había prestado consentimiento para efectuar las operaciones y cuestionó que el sistema bancario no detectara movimientos claramente alejados de su comportamiento habitual.

El banco, por su parte, negó su responsabilidad. Argumentó que las transacciones habían sido realizadas mediante credenciales válidas y aseguró que la custodia de las claves y los dispositivos de autenticación correspondía a los usuarios del servicio.

Sin embargo, las pruebas incorporadas al expediente permitieron reconstruir parcialmente la operatoria. La pericia contable estableció que las transferencias se concentraron en un período muy breve, se dirigieron a cuentas sin vínculos anteriores con la firma y alteraron sustancialmente su perfil normal de movimientos.

La pericia informática confirmó que la cuenta poseía dos usuarios habituales, cada uno asociado con un dispositivo físico de autenticación. También detectó la incorporación de un tercer administrador desconocido por la empresa, cuya creación y validación quedaron relacionadas con conexiones diferentes de las utilizadas normalmente por la firma.

No hubo alertas ni controles adicionales

El análisis del correo electrónico asociado con la cuenta no encontró avisos sobre la creación del nuevo administrador, la contratación del préstamo, la venta de divisas ni las ocho transferencias cuestionadas. En cambio, sí se hallaron mensajes correspondientes a operaciones legítimas efectuadas con anterioridad.

La sentencia consideró especialmente que BBVA Argentina no aportó todos los registros técnicos necesarios para explicar cómo fue incorporado el nuevo usuario, qué mecanismo de autenticación se empleó y por qué semejante secuencia de operaciones no activó controles adicionales.

La entidad tampoco logró acreditar que hubiera enviado alertas, solicitado una confirmación mediante un canal independiente o dispuesto un bloqueo preventivo antes de que el dinero saliera de la cuenta.

Para el fallo, el aparente uso de credenciales correctas no resultó suficiente para demostrar que la empresa hubiera consentido las transacciones. Además, remarcó que la intervención de terceros constituye un riesgo previsible dentro de la banca digital y que las entidades deben contar con sistemas de monitoreo, alerta y validación ante movimientos inusuales.

Deberá restituir los fondos

La sentencia declaró inoponibles para la firma el préstamo digital, la venta de moneda extranjera y las transferencias. En consecuencia, el banco no podrá exigirle que asuma los efectos económicos de esas operaciones.

El crédito, los cargos y los registros vinculados con la contratación tampoco deberán afectar el patrimonio ni la situación crediticia de la empresa.

Asimismo, el fallo ordenó la restitución de los fondos afectados, la rectificación de cualquier información desfavorable relacionada con el préstamo y la aplicación de una multa civil. Esta última medida se fundamentó en la magnitud de la operatoria, la falta de una explicación técnica individualizada y la respuesta brindada por la entidad después del reclamo.

La resolución fue dictada en primera instancia y todavía no se encuentra firme, debido a que puede ser apelada.