Capítulo 11: La llamada del banco: cuando el interlocutor lo sabe todo sobre usted

Bienvenidos a la segunda parte del libro. Si en la primera parte abordamos los fundamentos —la psicología del estafador, sus métodos de caza y la forma en que teje sus telarañas digitales—, aquí nos sumergimos en el centro de las tinieblas. Entramos en el sagrario, en el lugar donde la mayoría nos sentimos más seguros, pero en realidad somos más vulnerables: nuestra relación con el banco y con las entidades financieras.

Para el ciudadano promedio, el banco no es solo una institución financiera. Es la fortaleza que protege el fruto de toda una vida. Es el lugar donde se deposita el salario, donde se ahorra para la vivienda de los hijos y donde se gestiona la jubilación que nos permitirá envejecer con dignidad. La reputación de los bancos se construye sobre la confianza, el secreto bancario y una sensación de seguridad absoluta. Es precisamente esta confianza la que aprovechan los estafadores más sofisticados. En esta parte analizaremos cómo la suplantación de un organismo de autoridad se convierte en el arma más letal en el arsenal de las estafas financieras cibernéticas.

El escenario: la fortaleza que colapsó desde dentro

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y los eventos están destinados únicamente a la ilustración.

Era martes por la tarde, de esos días en los que la rutina domina el pensamiento. Mordechai, un contable jubilado, un hombre que toda su vida se dedicó a los números y a la precisión, estaba sentado en el balcón de su casa. Su teléfono móvil vibró. En la pantalla apareció un número que le resultaba muy familiar: un número que terminaba con las cifras conocidas del servicio de atención al cliente de su banco.

“Hola, habla Liron del departamento de seguridad del banco”, dijo una voz femenina, profesional, pragmática, casi fría. No había en ella ni un ápice de urgencia excesiva que despertara sospechas, solo el tono de una empleada cumpliendo con su trabajo. “¿Hablo con Mordechai?”

“Sí, soy yo”, respondió Mordechai, sintiendo una punzada de preocupación en el estómago. “¿Pasa algo malo?”

“Estamos detectando en este momento un intento de transferencia sospechosa desde su cuenta por un importe de 12.000 NIS a favor de un beneficiario en el extranjero. ¿Ha realizado usted esta operación en los últimos minutos?”

“¡En absoluto!”, exclamó Mordechai. “Estoy en casa, no he tocado el ordenador”.

“Me lo temía”, respondió Liron con una calma irritante. “No se preocupe, nuestro sistema ha bloqueado la operación temporalmente, pero parece que hubo una brecha en su archivo de cliente. Necesito verificar algunos detalles para volver a asegurar la cuenta. Solo para validar que hablo con la persona correcta, ¿los últimos cuatro dígitos de su tarjeta de crédito son 4482?”

Mordechai se quedó atónito. “Sí, exactamente”.

“¿Y la dirección de residencia que tenemos registrada es calle Herzl 14, correcto? ¿Y también tiene una pequeña cuenta de ahorros que se abrió hace dos meses?”

En este momento, todas las barreras defensivas de Mordechai colapsaron. La interlocutora no le pidió nada en ese instante, solo le presentó información. Lo sabía todo. Conocía su dirección, el tipo de tarjeta de crédito e incluso detalles sobre operaciones recientes. En la mente de Mordechai no había sombra de duda: estaba hablando con el banco. La idea de que se trataba de un estafador sentado en un piso franco con listas filtradas de la Dark Web ni siquiera le pasó por la cabeza.

“Sr. Mordechai, para detener la intrusión y cancelar el acceso no autorizado, le envío ahora un código de verificación del banco a su teléfono. Por favor, léamelo para que pueda entrar en la configuración de seguridad de su cuenta y bloquear al intruso”.

El código llegó. En el mensaje SMS estaba escrito claramente: “Su código para realizar la operación es...”. Mordechai, bajo una fuerte presión psicológica y con la creencia absoluta de que estaba cooperando con las autoridades, leyó el código. No sabía que, en esos mismos momentos, la “empleada” utilizaba ese código para autorizar una transferencia bancaria real a la cuenta de un testaferro o para cambiar el número de teléfono asociado a la cuenta, tomando así control total sobre ella.

Cuando terminó la llamada, Liron le aseguró que todo estaba bajo control y que recibiría una llamada de resumen en una hora. La llamada nunca llegó. Dos horas más tarde, cuando Mordechai intentó entrar en la aplicación para tranquilizarse, descubrió que su acceso había sido bloqueado. Cuando se dirigió a la sucursal a la mañana siguiente, se enteró de la amarga verdad: decenas de miles de shekels —todo el saldo de su cuenta corriente— habían desaparecido en tres transferencias rápidas realizadas justo después de aquella llamada.

La ilusión del omnisciente: ¿cómo lo saben realmente?

El elemento central que hace que personas educadas, calculadoras y precavidas caigan en esta trampa es el “efecto de la autoridad informativa”. Cuando un extraño le llama y conoce detalles personales que solo un organismo autorizado debería saber, su cerebro toma un atajo cognitivo. Concluye que si sabe mis secretos, tiene que ser quien dice ser.

Pero la realidad en la era digital es mucho más sombría. La información sobre nosotros no se guarda en cajas fuertes de acero. A lo largo de los años se han producido numerosas brechas en bases de datos de compañías de seguros, sitios de compras, oficinas gubernamentales y empresas de telecomunicaciones. Sus detalles —nombre completo, documento de identidad, dirección, número de teléfono y, a veces, también los últimos cuatro dígitos de una tarjeta de crédito— se venden en paquetes de miles de registros en foros de hackers por sumas elevadas o por centavos, dependiendo de la frescura de la información.

El estafador no necesita un acceso directo a su banco. Solo necesita la pieza inicial de información que le compre su confianza. En el momento en que le dice su número de documento de identidad, ya ha recorrido la mayor parte del camino hacia su bolsillo. El uso de la tecnología de “Spoofing” (suplantación de número de llamada) completa la imagen: no solo el interlocutor lo sabe todo sobre usted, sino que su propio teléfono testifica a su favor mostrando el nombre de una institución bancaria conocida.

Es importante entender esta dinámica: la información previa es el cebo. La llamada es la trampa. El código que entregue es la llave. Sin su código, a la mayoría de los estafadores aún les faltaría el último eslabón de la cadena: la confirmación final para realizar la transacción o para cambiar la configuración de la cuenta. Por eso invierten tanto esfuerzo en construir un personaje creíble y profesional.

El triángulo legal: el cliente, el banco y la ley

Cuando surge para debate un caso de una persona que fue víctima de tal escenario, la primera pregunta que se plantea es: “¿Cómo permitió el banco que esto sucediera? ¿Dónde está su responsabilidad?”. La respuesta legal es compleja y se apoya en gran medida en la Ley de Servicios de Pago, 2019.

La legislación moderna ha generado un cambio significativo en el ámbito de la protección al consumidor financiero. Hoy en día, el punto de partida es que si se realizó una “operación de pago no autorizada” (es decir, el cliente no dio su consentimiento consciente y libre para realizar la operación a favor del beneficiario específico), se puede examinar la obligación del banco de devolver el dinero.

Sin embargo, aquí es donde entran la letra pequeña y las batallas legales. Los bancos pueden recurrir a alegaciones de “fraude” o “negligencia grave”. La postura del banco en casos similares será generalmente: “Hemos enviado un mensaje de advertencia explícito junto con el código. El cliente entregó el código por su libre voluntad a un extraño. Esta es una negligencia grave que exime nuestra responsabilidad”.

A lo largo de su trayectoria profesional, surge repetidamente el argumento de que no se debe considerar la entrega de un código bajo manipulación psicológica sofisticada como “negligencia grave”. Cuando un estafador utiliza información privilegiada (o información que parece serlo), falsifica un número de teléfono y crea un ambiente de emergencia, realiza una “ingeniería social” que neutraliza el criterio de una persona razonable. Se puede analizar si es razonable esperar que una persona común se enfrente a un ataque psicológico tan bien orquestado.

Se puede ver en el enfoque legal un mayor tratamiento de la brecha de poder. El banco, como el “evitador de daños más barato”, posee sistemas de monitoreo sofisticados. Si un cliente nunca ha realizado una transferencia al extranjero, o si de repente cambia el número de teléfono en la cuenta e inmediatamente después se realizan transferencias por montos inusuales, es posible que el banco debiera haberlo detectado. Se puede argumentar que el deber de cuidado del banco no termina con el envío de un SMS, sino que incluye también la identificación de patrones inusuales (Anomaly Detection) y el bloqueo de operaciones “en tiempo real” hasta recibir una confirmación segura.

No obstante, es importante enfatizar: la ley no otorga un “cheque en blanco”. Si resulta que el cliente actuó de mala fe, o si las advertencias del banco fueron claras e inequívocas en las circunstancias del caso, la responsabilidad puede permanecer sobre sus hombros. Cada caso se examina individualmente: ¿Qué se dijo en la llamada? ¿Qué mensajes se enviaron? ¿Cuál era el patrón de actividad anterior en la cuenta?

El momento de la verdad: el descubrimiento y el choque

La etapa más difícil en estos casos no es solo la pérdida del dinero. Es la pérdida de la confianza en uno mismo. A lo largo de los años, el abogado se ha encontrado con diversos casos en los que las víctimas se sienten emocionalmente destrozadas y se preguntan cómo cayeron en la trampa. El acompañamiento profesional, incluso antes de examinar los aspectos legales, tiene como objetivo aclarar a las víctimas que fueron víctimas de una actividad delictiva sofisticada.

El choque inicial ocurre a veces cuando el banco se niega a devolver los fondos. Este es un momento definitorio en el que el cliente siente que el sistema le da la espalda. El argumento de que el cliente entregó sus datos de verificación a un tercero es a menudo el factor que lleva a las personas a rendirse, con la sensación de que el sistema les supera.

Pero es precisamente aquí donde comienza el examen legal. Se pueden revisar las transcripciones de las llamadas (si fueron grabadas), y exigir al banco los registros de sus sistemas de seguridad: ¿qué se sabía y a qué hora? ¿Alertaron los sistemas del banco cuando salió el dinero? ¿Por qué no se realizó una llamada proactiva al cliente cuando se detectó una operación inusual? En muchos casos, se pueden identificar “luces de advertencia” que podrían haber llevado a atribuir responsabilidad a la institución bancaria.

Hay que recordar que el banco está obligado a la lealtad hacia el cliente. Este deber se percibe como una obligación esencial. En un mundo donde las estafas digitales son comunes, se puede esperar que los bancos ajusten su nivel de protección al nivel de sofisticación de los estafadores. El conocimiento del cliente (Know Your Customer) debe servir no solo para fines regulatorios, sino también como un medio de protección contra el fraude.

Señales de advertencia: ¿cuándo colgar inmediatamente?

• Iniciativa de la llamada: Por lo general, los bancos no acostumbran llamar y solicitar un código que llegó por SMS. El código está destinado a ser utilizado por el cliente, no por el empleado en su nombre.
• Sensación de urgencia artificial: Crear presión de tiempo es una herramienta común para eludir el criterio lógico.
• Solicitud de detalles confidenciales: Normalmente no es necesario entregar al banco detalles como el número completo de la tarjeta de crédito o un código secreto en una llamada entrante, ya que la información ya existe en sus sistemas.
• Discrepancia en el SMS: Es importante leer detenidamente el contenido del mensaje SMS. Si el propósito del código indicado en el mensaje es diferente de lo dicho en la llamada, se trata de una señal de advertencia significativa.
• Lenguaje y redacción: Es aconsejable prestar atención a errores lingüísticos, falta de conocimiento de términos profesionales o ruidos de fondo inusuales.

¿Qué hacer inmediatamente si ha sido víctima?

1. Corte de contacto y llamada al banco: En el momento en que surja una sospecha, se recomienda colgar y dirigirse proactivamente al centro de atención oficial del banco.
2. Bloqueo de cuenta y tarjetas: Es conveniente solicitar el bloqueo inmediato de la capacidad para realizar transferencias y la cancelación de las tarjetas de crédito.
3. Documentación: Se recomienda documentar la hora de la llamada, el número, el contenido de la misma y tomar capturas de pantalla de los mensajes SMS.
4. Presentación de denuncia ante la policía: Presentar una denuncia es un paso significativo en el proceso de aclaración frente al banco.
5. Cambio de contraseñas: Se recomienda cambiar las contraseñas de los servicios financieros desde un dispositivo seguro.

Aspecto legal: su premisa de trabajo

En casos de fraude, se pueden examinar opciones legales para recuperar los fondos, pero esto a veces requiere perseverancia. Al examinar las circunstancias, se debe verificar si el banco cumplió con las instrucciones regulatorias pertinentes, como las directivas de gestión bancaria adecuada, y si sus sistemas de monitoreo eran razonables. Cuanto más inusual fuera la operación realizada para la naturaleza de la actividad normal, mayores pueden ser las probabilidades de examinar la responsabilidad del banco.

Recuerde: la ley ofrece herramientas para abordar estas situaciones. En caso de fraude, se puede analizar si se violaron las obligaciones bancarias. Si el banco falló en la identificación de señales de advertencia que debería haber detectado, podría surgir una responsabilidad legal por el daño causado.