Un juzgado obliga a un banco a devolver el dinero estafado a una empresa a la que suplantaron la identidad de su consejero delegado
El juez considera que no hubo negligencia del cliente y que la estafa, de 900.000 euros, es consecuencia de la digitalización del sector
Un juzgado de Barcelona ha resuelto contra una entidad bancaria nacional, a la que ha condenado a devolver las cantidades estafadas por un tercero, que ascienden a 900.000 euros, por no haber aplicado las salvaguardas necesarias en un caso conocido como fraude del CEO. Se trata de un tipo de estafa en la que los delincuentes suplantan la identidad del máximo directivo de una empresa para convencer a sus subordinados de que hagan una serie de ingresos de dinero a sus cuentas corrientes. La sentencia marca un hito, al diferenciarse de otras sobre casos similares que daban la razón a los bancos, y apunta a una interpretación diferente de las sentencias publicadas hasta ahora por el Supremo.
En este caso, la víctima fue una empresa catalana, de la que la sentencia omite el nombre por cuestiones de confidencialidad, que recibió una llamada telefónica, viendo en pantalla el número de la oficina central, de acuerdo a la sentencia, a la que ha tenido acceso este periódico. En la llamada, los ciberdelincuentes se hacían pasar por el consejero delegado de la matriz alemana de la empresa e instaban a realizar de manera muy urgente un pago confidencial que él no podía tramitar por estar de viaje. Suplantaron la identidad, imitando la voz, tanto del consejero delegado alemán de la compañía como de los administradores catalanes de la filial, el gerente y el director financiero.
Con esta supuesta urgencia, reclamaron la transmisión exprés de 900.000 euros. Para blindar el engaño, los delincuentes enviaron correos electrónicos simulando provenir de una abogada externa que supuestamente gestionaba los asuntos legales de la matriz. Al tratarse de una cantidad tan importante, los administradores avisaron y pidieron ayuda a su sucursal de la entidad bancaria de la mercantil.
Este asunto es clave para el juzgado a la hora de dictar su sentencia. Inicialmente, el dinero iba a enviarse a Hong Kong, pero al dar problemas técnicos, el estafador cambió sobre la marcha el destino a una cuenta en Portugal. Los propios empleados del banco asesoraron y guiaron a la empresa para sortear los escollos informáticos y tramitar la alternativa portuguesa. Poco después de consumarse el envío, el gerente y el director de finanzas de la empresa contactaron con la matriz real y descubrieron la estafa.
El juez considera que de los hechos no puede suponerse que los empleados de la empresa estafada actuaron con falta de diligencia, un aspecto que la normativa en vigor sitúa en el centro para dilucidar si el banco tiene que asumir el coste de un evento de este tipo. “Un consumidor de productos de banca medio habría resultado víctima del delito, solo una actuación altamente diligente o suspicaz podría apercibirse de estar sufriendo un delito patrimonial”, reza la sentencia.
De este modo, el texto consigna que, en casos como este, la responsabilidad debe ser de la entidad bancaria, puesto que es la responsable de la seguridad de los fondos, “conclusión que no es sino la contrapartida a un sistema que permite que los fondos puedan transferirse en décimas de segundos de un lugar a otro sin posibilidad de recuperación”.
De hecho, el juez apunta a que “este es el precio” de la informatización de los servicios bancarios. Si se hubiese tratado del gestor de oficina habitual, dice la sentencia, habría percibido lo extraño de la operación, pero no ocurrió así con empleados de un call center, “que carecen de conocimientos acerca del historial y manera de proceder de la empresa”.
“El error del banco fue cooperar activamente en su propio perjuicio y en el de nuestro cliente. La entidad bancaria es la depositaria y garante legal de los fondos, y sobre él recae una responsabilidad cuasiobjetiva. En este caso, los empleados de la entidad estuvieron siguiendo las transferencias en tiempo real. Cuando el primer intento a Hong Kong falló y el supuesto ciberdelincuente cambió el destino a Portugal, el banco debió haber encendido todas las alarmas. En lugar de ser suspicaces ante un cambio de país tan extraño en una operación de casi un millón de euros, los empleados guiaron y asesoraron a los trabajadores de la empresa para que la transferencia a Portugal saliera adelante. El banco facilitó la operativa del fraude en lugar de frenarla”, indica Diego Zapatero, letrado y socio de Asoban Abogados, especializado en este tipo de procesos.