El Supremo eleva a Europa la estafa del 'fraude del CEO' y pregunta hasta dónde deben responder los bancos
El fraude del CEO es siempre muy similar. Un empleado recibe un correo electrónico del máximo responsable de su empresa con una orden concreta y urgente: transferir dinero, realizar una compra o, en definitiva, mover dinero de forma poco habitual. La realidad es que detrás de esos mensajes no está el verdadero CEO de la empresa sino un estafador, aunque muchas veces las víctimas se dan cuenta demasiado tarde y para entonces el dinero ya está muy lejos de sus cuentas bancarias. El Tribunal Supremo, según ha podido comprobar elDiario.es, ha decidido elevar este tipo de fraudes hasta el Tribuna de Justicia de la Unión Europea con una batería de preguntas clave para sentenciar si los bancos de las empresas estafadas deben o no devolver el dinero.
El caso que ha estudiado la Sala de lo Civil es el del grupo Unísono, adquirido por Intelcia en 2021 y especializado en los 'contact centers' y la asesoría. Fue en enero de 2018 cuando una de sus empleadas empezó a recibir correos electrónicos de la CEO de la empresa ordenando transferencias bancarias urgentes a diferentes bancos chinos para, supuestamente, completar operaciones como comprar una empresa en ese país. Los correos exigían confidencialidad e incluían la firma de la dueña de la empresa.
Las órdenes llegaron a los bancos y las transferencias se hicieron después de que los empleados de las sucursales hablaran por teléfono con esta trabajadora de Unísono. Algo más de 1,6 millones de euros salieron de la cuenta de Bankia en dirección a China. En paralelo, más de 300.000 euros salieron de la cuenta del BBVA hacia una empresa radicada en Hong Kong. Las alarmas saltaron primero en Bankia, cuando el director de la sucursal decidió llamar a la CEO de la empresa para preguntar por estas operaciones y la CEO contestó que ella no había autorizado nada parecido.
Unísono llevó a ambos bancos a los tribunales reclamando que se hicieran cargo del dinero estafado y recibió respuestas diferentes de dos secciones civiles de la Audiencia Provincial de Madrid. En el caso de Bankia, los jueces rechazaron que el banco tuviera que hacerse cargo de ese dinero al responder a una “negligencia” de la empresa. En el caso del BBVA, sin embargo, los jueces sí condenaron al banco a reponer los más de 300.000 euros que salieron en una transferencia. La firma de la CEO era “manifiestamente falsa”, dijo la Audiencia de Madrid en este segundo caso, y no más que un “corta y pega” que el banco “ni cotejó ni examinó”. El proceso para hacer esta transferencia a un banco chino, añadió, no era el habitual.
El Tribunal Supremo, según ha podido comprobar este periódico, ha comprobado el caso de Bankia, en el que los tribunales se han puesto del lado de los bancos, y ha decidido elevar sus dudas al Tribunal de Justicia de la Unión Europea a través de una cuestión prejudicial. Los jueces de la Sala de lo Civil plantean hasta siete preguntas relacionadas con la normativa comunitaria y con un objetivo principal: decidir cuándo un banco es responsable en la estafa del CEO y si se le debe obligar a reponer el dinero, y cuándo se considera que actuó correctamente a pesar de autorizar las transferencias fraudulentas. “No puede afirmarse que constituya un hecho probado que las operaciones de pago fueron autorizadas y autenticadas y que la ordenante incurrió en negligencia grave”.
El fraude del CEO y la doctrina de Luxemburgo
El Tribunal Supremo ya se ha pronunciado sobre el conocido como 'fraude del CEO'. Fue el pasado mes de mayo, cuando la empresa Privalia de venta online de ropa denunció que el Banco Santander debía responder por los 1,5 millones de euros que había perdido en este tipo de transferencias fraudulentas. Los jueces se limitaron a avalar lo establecido previamente por la Audiencia de Barcelona: que ni el banco ni el cliente habían cumplido con sus obligaciones y que debían responder a medias: “El responsable del perjuicio era el autor del fraude y que el delito había sido favorecido por la propia perjudicada al no comprobar la autenticidad de la orden”.
En el caso de Unísono, el Supremo entiende que debe ser el TJUE el que resuelva dudas clave que ayuden a analizar otros casos de empresas afectadas por este fraude del CEO. Pregunta, por ejemplo, si la normativa comunitaria de servicios de pago considera que una transferencia ha sido correctamente autorizada y “autenticada” por los cauces habituales aunque la firma del CEO haya sido falsificada como en este caso. También si un tribunal puede ordenar al banco que reintegre el dinero de forma “inmediata” si la empresa afectada presenta una demanda y que ya sea el banco el que litigue.
El Supremo reconoce que el mismo TJUE se pronunció hace menos de un mes sobre cómo debe actuar un banco en casos de phishing, obligando al banco a hacerse cargo del dinero de forma inmediata si la operación no ha sido autorizada por el cliente. Las alegaciones de “negligencia grave”, añadió ya entonces el TJUE, no eximen automáticamente a un banco de responder en este tipo de estafas.