La Justicia confirmó una condena contra Movistar y Banco Galicia por un fraude cometido después de que un tercero duplicara sin autorización la tarjeta SIM de una clienta. Con el control de la línea, el estafador interceptó los mensajes de verificación y ordenó siete transferencias desde la cuenta bancaria hacia distintas cuentas de una billetera virtual.
El caso expone una cuestión cada vez más frecuente: la seguridad de una operación digital no depende únicamente de que el usuario conserve sus claves. También exige que las empresas involucradas puedan verificar de manera suficiente la identidad de quien pide acceso y detectar movimientos incompatibles con el comportamiento habitual de la cuenta.
La duplicación de la línea abrió la puerta al fraude
La maniobra comenzó cuando Movistar habilitó una nueva tarjeta SIM mediante su sistema de autogestión, sin consentimiento de la titular. El procedimiento se basaba en una serie de preguntas aleatorias que, para el tribunal, no alcanzaba frente a las consecuencias que podía producir una suplantación de identidad.
Una vez que obtuvo el control del número, el tercero pudo recibir los códigos enviados por mensaje de texto y operar sobre la cuenta de la clienta. En pocos minutos realizó siete transferencias consecutivas por un total de $19.200.000, dirigidas a cuentas vinculadas con Personal Pay.
La validación de identidad debe ser proporcional al riesgo de la operación: las preguntas aleatorias no bastaron para autorizar una nueva SIM.
El deber de seguridad alcanza a la empresa telefónica
La Cámara consideró que la prestadora incumplió el deber de seguridad previsto en la Ley de Defensa del Consumidor. La Resolución 263/2023 del Enacom fue valorada como una referencia relevante, porque exige mecanismos más robustos —entre ellos datos biométricos o validación multifactor— para operaciones de alto riesgo como la habilitación de una nueva tarjeta SIM.
El razonamiento judicial vinculó la falla de validación con el daño posterior: la duplicación permitió que otra persona se hiciera pasar por la titular y accediera a la información que circulaba por su línea. Por eso, la responsabilidad no quedó limitada al autor material de las transferencias.
El banco también debía detectar la conducta inusual
El tribunal atribuyó responsabilidad a Banco Galicia por no advertir la atipicidad de las operaciones. La cantidad, el monto y la concentración temporal de las transferencias no coincidían con el perfil de comportamiento de la clienta, un dato que debió activar controles adicionales.
La Cámara recordó que la Comunicación A 7224 del Banco Central obliga a las entidades a definir perfiles de usuarios y contar con sistemas capaces de identificar actividades inusuales. La obligación de seguridad bancaria, según el fallo, no se agota en proteger las credenciales: incluye reaccionar ante una secuencia de movimientos que se aparta claramente de los antecedentes del cliente.
La condena incluyó daño punitivo
Las dos empresas cuestionaron su responsabilidad. Movistar sostuvo que el perjuicio se originó exclusivamente en una falla bancaria, mientras que Galicia alegó que no había sido demandado directamente y que la pericia informática no demostraba deficiencias en su sistema. La Cámara rechazó esos argumentos y confirmó la extensión de los efectos de la sentencia al banco citado.
Además, mantuvo el daño punitivo. Al aplicar el artículo 52 bis de la Ley de Defensa del Consumidor, reiteró que basta el incumplimiento de obligaciones legales o contractuales, sin que sea necesario demostrar un reproche subjetivo especial. La multa, equivalente a cuatro canastas básicas, no fue considerada excesiva.
El criterio deja una señal concreta para los servicios digitales: la prevención debe contemplar la cadena completa del fraude. Si una compañía facilita la toma de control de una línea y otra permite transferencias extraordinarias sin activar alertas, ambas pueden responder por la falta de seguridad que hizo posible el resultado.
