¿Hasta dónde llega la responsabilidad del banco si el cliente entrega sus claves? La Sala C condenó a una entidad por phishing al demostrar que sus alarmas de fraude debieron activarse ante accesos simultáneos desde IPs locales e internacionales.
En los autos "BARRETO, MAYRA ANALIA c/ HSBC BANK ARGENTINA SA s/SUMARISIMO", la Alzada redefinió los alcances del deber de seguridad que pesa sobre las entidades financieras en la era digital.
La controversia se originó cuando la usuaria, mediante una comunicación telefónica engañosa referida a un supuesto reintegro de la empresa Telecentro, entregó sus datos de acceso (usuario, contraseña y código de activación). Con estos datos, los ciberdelincuentes realizaron cinco transferencias sucesivas en escasos minutos, por un total de $1.464.000.
El magistrado de grado había rechazado la demanda tras considerar que el daño se produjo por la exclusiva culpa de la víctima (rompiendo el nexo causal), al haber suministrado información confidencial a un tercero.
Al revisar el caso, la Sala C modificó sustancialmente el criterio de responsabilidad. Los camaristas señalaron que la entrega de las claves por parte de la víctima no exime de manera automática al banco, puesto que la entidad omitió activar mecanismos preventivos eficaces ante un patrón transaccional evidentemente sospechoso. Para fundar la responsabilidad del proveedor financiero, el tribunal ponderó las siguientes pruebas recabadas en la investigación interna del propio banco:
Geolocalización anómala: Las operaciones se ejecutaron desde direcciones IP totalmente ajenas al historial de la usuaria, detectándose conexiones simultáneas en la provincia de Córdoba y en los Estados Unidos.
Frecuencia temporal: Se realizaron cinco transferencias correlativas a distintas cuentas de destino en un lapso de pocos minutos.
Déficit de información: No se acreditó que el banco hubiera suministrado advertencias específicas, oportunas y efectivas a la clienta sobre los riesgos de compartir credenciales de seguridad en ese contexto.
Bajo estos parámetros, la Cámara dictaminó que HSBC incumplió de forma concurrente con el deber de seguridad (art. 5, 6 y conc. Ley 24.240) y el deber de información (art. 4 de la misma norma). Consecuentemente, la Alzada condenó al banco a abonar la suma total de $2.244.000, la cual se compone de: el reintegro histórico del capital sustraído ($1.464.000), una reparación en concepto de daño moral. Sin embargo, el tribunal limitó el alcance de la condena al rechazar los rubros solicitados por la actora respecto a pérdida de chance, daño punitivo y rectificación de la información crediticia.
BARRETO, MAYRA ANALIA c/ HSBC BANK ARGENTINA SA s/SUMARISIMO