La Audiencia de Cantabria condena a Liberbank a abonar 25.000 euros a una clienta víctima de 'phishing'

La Audiencia Provincial de Cantabria ha condenado a Liberbank a abonar 25.000 euros a una clienta que fue víctima de una estafa informática, conocida como 'phishing', consistente en realizar un gran número de operaciones en solo dos días utilizando sus claves.

En una sentencia que no es firme, la Audiencia desestima el recurso de apelación presentado por el banco contra la decisión del Juzgado de Primera Instancia e Instrucción número 4 de Torrelavega, que atendió a la demanda presentada por la clienta, que vio cómo se realizaron reintegros en cajero, traspasos entre cuentas, transferencias y un aumento del límite disponible en sus tarjetas de crédito.

La Audiencia explica que la propia entidad bancaria reconoció en su respuesta a la reclamación de la mujer que esta había sido víctima de 'phishing', pero no la indemnizó; reconocimiento que a su juicio “evidencia que esta no había implementado todas las medidas o mecanismos necesarios para proteger a su cliente de tales ataques por ciberdelicuentes, cada vez más frecuentes”.

Junto a ello, considera relevante el hecho de que el banco, a pesar del gran número de operaciones realizadas con las claves de la víctima en solo dos días, “no tuviese capacidad para detectar que su cliente podía estar siendo víctima de un fraude informático”.

Los hechos tuvieron lugar en agosto de 2020, cuando la mujer recibió en su teléfono móvil un mensaje, aparentemente de su entidad bancaria, en el que se le requería pulsar un enlace para recibir una transferencia a su favor.

La mujer, “distraída por estar ocupada en su negocio, pinchó el enlace”. Posteriormente, tras tener un problema en la tarjeta de su móvil, que tuvo que ser sustituida, recibió en seis minutos tres mensajes que le requerían introducir un código para las operaciones que, según se le informaba, estaba realizando.

De esta forma, ese día y el posterior se realizaron, entre otras operaciones, 25 reintegros, aumentos del crédito disponible en tarjetas de crédito y órdenes de traspaso. Fruto de ello, la mujer sufrió un perjuicio de 23.000 euros y su abuela, titular de una de las cuentas afectadas, de 2.000 euros.

Al conocer estos hechos, la mujer reclamó sin éxito el dinero a la entidad, que reconoció la existencia del fraude y le trasladó una serie de medidas de seguridad que debía adoptar para evitarlo. La clienta reclamó entonces judicialmente y logró que se estimara su pretensión, si bien la entidad bancaria recurrió a la Audiencia la decisión del Juzgado de Torrelavega.

En su recurso, el banco imputa a la propia clienta el fraude sufrido, porque pinchó el enlace recibido “sin pensar, a pesar de que en el contrato digital firmado en el año 2004 se le advertía expresamente de que Liberbank no solicitaría código de usuario, PIN o tarjeta de coordenadas por ninguna vía”, recoge la sentencia.

Para Liberbank, su clienta actuó “de modo negligente, puesto queno recibió un solo mensaje sino cuatro, claramente burdos”. Pero la Audiencia no da la razón a la entidad y le recuerda que “salvo actuación fraudulenta, incumplimiento deliberado o negligencia grave del usuario, la responsabilidad será del proveedor del servicio de pago”.

Y en este sentido añade que “no cabe concluir” que la mujer, a pesar de haber pinchado el enlace recibido inicialmente e introducido después los códigos solicitados, “haya incurrido en negligencia grave”.

Señala al respecto que la propia entidad, en la contestación a la reclamación rechazando su responsabilidad, “afirma que 'no se discute que el origen de las operaciones se encuentre en una actuación fraudulenta' y que 'parece acreditado que el defraudador obtuvo previamente los datos necesarios para la comisión del fraude a través de phishing'”.

Por tanto, entiende que los términos y manifestaciones de dicha contestación a la reclamación de la usuaria “determinan la responsabilidad establecida legalmente para la entidad y excluyen lanegligencia grave de la actora”.

Además, según el funcionamiento de esta modalidad de estafa informática, “producido el ataque el usuario pierde todo control de sus credenciales”, “situación en la que no puede imputársele negligencia alguna, ni siquiera inicialmente”, concluye.