Una maniobra de phishing que comenzó con un llamado telefónico sobre un supuesto reintegro de Telecentro terminó en una condena millonaria para HSBC Bank Argentina. En la causa BARRETO, MAYRA ANALIA c/ HSBC BANK ARGENTINA S.A. s/SUMARISIMO, la Sala C de la Cámara Nacional de Apelaciones en lo Comercial revocó la sentencia de primera instancia y responsabilizó a la entidad financiera por los daños sufridos por su clienta, aun cuando fue ella quien proporcionó a los estafadores su usuario, contraseña y código de activación del dispositivo de seguridad.
Cómo ocurrió la estafa
Mayra Analía Barreto fue contactada telefónicamente por personas que se presentaron como representantes de Telecentro y le ofrecieron gestionar un reintegro a su favor. En el transcurso de esa comunicación, los estafadores la indujeron a brindar la totalidad de sus credenciales bancarias. Con esa información, ingresaron a su cuenta en HSBC Bank Argentina y ejecutaron cinco transferencias sucesivas a distintos destinatarios por un monto total de $1.464.000, todo ello en el lapso de pocos minutos.
El juez de primera instancia rechazó la demanda. Razonó que la propia usuaria había habilitado a terceros desconocidos a operar libremente en su cuenta al facilitarles todos los elementos necesarios para hacerlo, equiparando esa situación a la de quien actúa como si fuera la titular. Desde esa perspectiva, la responsabilidad recaía exclusivamente sobre la víctima.
El giro de la Alzada: la conducta del banco bajo la lupa
La Cámara Comercial adoptó un enfoque distinto. Los camaristas no negaron que Barreto había entregado sus credenciales, pero sostuvieron que ese hecho no agotaba el análisis de responsabilidad. Lo decisivo, para la Alzada, era determinar si el banco había cumplido con sus propias obligaciones de seguridad y vigilancia ante una operatoria que presentaba señales de alarma evidentes.
Las cinco transferencias se realizaron desde direcciones IP inusuales, con conexiones detectadas en la provincia de Córdoba y en Estados Unidos, en cuestión de minutos y hacia distintos destinatarios: la Cámara entendió que esas circunstancias debieron haber activado los mecanismos preventivos del banco.
La propia investigación interna del banco fue, paradójicamente, uno de los elementos de prueba más relevantes del expediente. Ese informe registraba que las operaciones se habían efectuado desde direcciones IP que no correspondían al perfil habitual de la usuaria, con accesos georreferenciados en Córdoba y en el exterior. A ello se sumó la velocidad y la multiplicidad de las transferencias: cinco movimientos consecutivos a beneficiarios diferentes en un intervalo muy breve.
Deber de seguridad y deber de información
La sentencia de la Sala C identificó dos incumplimientos concurrentes en la conducta del banco. Por un lado, la omisión de implementar —o de activar— mecanismos de detección y bloqueo ante patrones de operación anómalos. Por otro, la ausencia de prueba concreta de que la entidad hubiera informado a la clienta, de manera efectiva y específica, sobre la importancia de no compartir credenciales ni códigos de seguridad bajo ninguna circunstancia.
Este segundo punto tiene particular relevancia en el marco del derecho del consumidor. No basta con que la advertencia exista en los términos y condiciones del servicio: la jurisprudencia comercial viene exigiendo que la información sea brindada de modo claro, oportuno y verificable. La mera existencia de cláusulas contractuales no suple la acreditación de que el usuario las recibió y comprendió en términos reales.
La condena y sus límites
La Cámara condenó a HSBC Bank Argentina a pagar $2.244.000, cifra que comprende el reintegro de los $1.464.000 sustraídos y una indemnización por daño moral. Sin embargo, el tribunal fue selectivo respecto de los rubros reclamados: rechazó la pérdida de chance, el daño punitivo y la rectificación de información crediticia, por considerar que no se reunían los presupuestos necesarios para su procedencia en este caso.
La exclusión del daño punitivo resulta significativa. Este rubro, previsto en la Ley de Defensa del Consumidor, requiere acreditar una conducta particularmente grave o reiterada por parte del proveedor. La Sala C, si bien reconoció el incumplimiento del banco, no lo calificó con la entidad suficiente para habilitar esa sanción adicional.
Un criterio en consolidación
El fallo se inscribe en una línea jurisprudencial que viene ampliando el estándar de diligencia exigible a las entidades financieras en materia de seguridad informática. La tesis central es que el banco no puede trasladar íntegramente el riesgo al usuario cuando dispone de herramientas tecnológicas para detectar anomalías y no las activa. La vulnerabilidad humana ante técnicas de ingeniería social —como el phishing— es un fenómeno conocido y documentado, y los sistemas bancarios deben estar diseñados para operar como una red de contención adicional, no como el único y último eslabón de seguridad.
En ese sentido, el caso Barreto ilustra un principio que los bancos deberían incorporar en sus protocolos: la entrega de credenciales por parte del usuario no neutraliza automáticamente la responsabilidad de la entidad si esta contaba con indicadores objetivos de fraude y no actuó en consecuencia.
