Un banco deberá devolver 15.000 euros a un cliente de Cáceres engañado con un SMS y llamadas que parecían de la entidad

La Audiencia Provincial de Cáceres ha confirmado la condena a una entidad bancaria a la que obliga a reembolsar 14.940 euros a un cliente que fue víctima de un ciberataque. El tribunal ha desestimado el recurso del banco, sentenciando que el usuario no cometió una “negligencia grave” al caer en un engaño sofisticado que suplantaba a la perfección los canales de comunicación de la empresa.

Los hechos ocurrieron en septiembre de 2023. Según se recoge en la sentencia, la víctima recibió un SMS de alerta en el mismo hilo de mensajes que utilizaba habitualmente su banco donde se le informaba de una posible transferencia sospechosa de fraude, facilitándole un enlace para que moviera sus fondos “a una cuenta segura”.

Inmediatamente después, el cliente recibió una llamada telefónica desde un número, que corresponde a la entidad demandada. Una supuesta gestora lo guio durante más de media hora para realizar cuatro transferencias bajo la creencia de que estaba protegiendo su dinero. En total, se sustrajeron 14.940 euros mediante transferencias fraudulentas.

Esta técnica, conocida como 'Caller ID Spoofing', permite a los delincuentes enmascarar su número para que en la pantalla del móvil de la víctima aparezca el teléfono del banco, generando una apariencia de veracidad casi indetectable.

Recurso de la sentencia

El banco recurrió la sentencia de primera instancia alegando que el cliente había actuado con negligencia grave, argumento necesario para exonerarse de su responsabilidad según la Ley de Servicios de Pago. La entidad sostenía que el fraude ocurrió fuera de su aplicación oficial de la entidad bancaria y que el usuario facilitó voluntariamente las claves.

Sin embargo, la Sección Primera de la Audiencia Provincial de Cáceres ha rechazado estos argumentos. El tribunal entiende que la entidad bancaria es responsable de la seguridad del sistema y debe probar la negligencia grave del usuario si quiere evitar el reembolso. Además, la Audiencia considera que no se puede calificar de negligente la conducta de la víctima, ya que el mensaje llegó al hilo oficial de SMS y la llamada provenía del número oficial del banco. Según la sentencia, “cualquier persona con formación media y con un uso ordinario de la banca digital hubiera reaccionado de igual manera” ante tal nivel de manipulación.

El fallo señala también que el banco no implementó medidas suficientes, como tecnología antiphishing, para detectar que sus números y canales estaban siendo clonados.

La decisión de la Audiencia Provincial confirma el fallo del juzgado de primera instancia de Cáceres y condena a la entidad al pago de los 14.940 euros sustraídos, los intereses legales y las costas procesales del recurso.