El método phishing está a la orden del día y ya se cuentan por miles las personas afectadas por este tipo de ciberestafas. Íñigo Serrano, del despacho de abogados Sello Legal, advierte de la responsabilidad bancaria en los casos en los que los datos de sus clientes no han sido debidamente custodiados.
El Real Decreto-Ley 19/2018, de 23 de noviembre, de Servicios de Pago, es el documento legal que aporta todas las claves ante los casos de phishing. Lograr que internet sea un lugar seguro para los usuarios es fundamental en un momento en el que la innovación tecnológica no cesa de crecer. Por ello, se establece una responsabilidad cuasi-objetiva de los bancos ante estafas en las que claramente han dejado a sus clientes desprotegidos.
Esta ley es clave para comprender cuáles son los derechos y obligaciones tanto de las entidades bancarias como de los usuarios de productos bancarios. Los proveedores de servicios de pago están obligados a cumplir correctamente el contrato que tienen con el cliente, asegurándose de que albergan las medidas de seguridad oportunas, que se encarguen de garantizar la identidad de la persona que está efectuando la operación de pago.
Por su parte, los usuarios deben cumplir tres obligaciones por ley: ser fieles a las condiciones de contratación; tomar medidas para proteger sus claves y credenciales de seguridad; y notificar rápidamente la pérdida, sustracción u operación no autorizada de sus medios de pago o claves.
Ante un caso de estafa por phishing es importante revisar los derechos y obligaciones del proveedor de servicios de pago y del afectado, con el objetivo de determinar si existiera una responsabilidad clara de la entidad. El despacho de abogados Sello Legal está especializado en casos de phishing y estafas a través de internet. Las sentencias condenatorias que obligan a reponer el dinero sustraído a los bancos han comenzado a ver la luz. En este bufete han conseguido que entidades bancarias respondan ante usuarios que han sido engañados a través de ciberestafas.
En la Directiva de Servicios de Pago se establece que las entidades proveedoras de medios de pago deben solicitar una autenticación reforzada a la hora de realizar órdenes de pago. Esto implica que cada operación se valide por dos vías: a través de las contraseñas personales y un dato biométrico (puede ser la huella dactilar, el reconocimiento facial o una clave que se entrega al cliente para confirmar cada operación de pago).
Esta autenticación reforzada es fundamental para que la entidad bancaria pueda verificar con éxito que quien ordena la operación de pago es realmente el titular del medio de pago, ya sea una tarjeta de crédito, débito o una cuenta bancaria. Es obligación del banco contar con los suficientes medios para supervisar cada operación, pudiendo detectar fraudes con facilidad.
De este modo, la entidad bancaria podría averiguar si los datos de autenticación han podido verse comprometidos. En este caso, es su obligación notificarlo al cliente con la mayor celeridad, con el fin de evitar ciberestafas y daños económicos.
Las estafas por phishing suceden porque el usuario de servicios bancarios entrega a un tercero sus credenciales y claves de seguridad. El phisher consigue esta información recurriendo a técnicas ilegales y, generalmente, suplantando la identidad del banco. Lo más frecuente es que el cliente introduzca sus credenciales en una página web idéntica a la de su banco, sin ser consciente de que detrás de esa web hay un estafador.
Al suceder esto, el consentimiento en la orden de pago no existe. Sin embargo, el banco podría advertir que el usuario no ha protegido correctamente sus propios datos personales, alegando negligencia grave por parte de su cliente. Es responsabilidad de la entidad bancaria demostrar que realmente existe esa negligencia grave. La jurisprudencia, en estos casos, suele estar a favor del usuario.
El despacho de abogados Sello Legal advierte que los casos de phishing y estafas electrónicas crecen constantemente. Es habitual que los clientes reciban mensajes de texto de estafadores que se hacen pasar por bancos, entidades de crédito, empresas de mensajería, etc. con el único objetivo de hacerse con sus claves y contraseñas. Actuar con rapidez ante un caso de phishing es fundamental para minimizar los daños. Si el banco no ha custodiado correctamente los datos de su cliente tendrá una responsabilidad y deberá reponer el dinero sustraído.
