Capítulo 12: Suplantación de identidad del número de llamada: el número que parece auténtico

Vivimos en una era en la que nuestros ojos son la principal puerta a la confianza. Cuando vemos el logotipo del banco en la aplicación, confiamos en él. Cuando recibimos un mensaje SMS que aparece en el hilo oficial de mensajes de la entidad emisora de la tarjeta de crédito, asumimos que es auténtico. Pero la trampa más sofisticada, la que hace caer incluso a los más suspicaces entre nosotros, se encuentra en la pantalla de nuestro teléfono en el momento en que el dispositivo empieza a vibrar. En la pantalla aparece un número conocido. A veces es el número exacto de nuestra sucursal bancaria, y otras veces es el centro nacional de atención al cliente. El nombre "Bank Leumi", "Bank Hapoalim" o "Mizrahi Tefahot" parpadea en letras grandes.

En esta etapa, nuestro cerebro realiza un atajo cognitivo peligroso. Nos dice: "Si el número es correcto, entonces la persona al otro lado es quien dice ser". Esta es la esencia de la tecnología de spoofing (suplantación de número de llamada), y es la herramienta más poderosa en el arsenal del estafador moderno. En este capítulo analizaremos cómo esta tecnología le quita el suelo bajo los pies a los consumidores, y cómo el sistema legal y bancario se enfrenta a una realidad en la que la realidad digital es una mentira absoluta.

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos son solo para fines ilustrativos.

Miriam (nombre ficticio), una profesora jubilada de Haifa, nunca se consideró una "presa fácil". Utiliza aplicaciones, realiza compras en línea en sitios seguros e incluso sus nietos le piden consejo a veces sobre cuestiones básicas de tecnología. Ese martes, a las cuatro de la tarde, Miriam estaba sentada en el balcón con una taza de té cuando sonó su teléfono móvil. En la pantalla aparecía un número identificado con el departamento de seguridad del banco.

"Hola, habla Miriam", contestó educadamente.

"Hola Miriam, habla Daniel del departamento de seguridad y fraude del banco", respondió una voz masculina, autoritaria y tranquilizadora. "Lamento molestarla, pero nuestro sistema acaba de detectar un intento de retiro inusual de su cuenta en la sucursal de Haifa. ¿Ha realizado usted en los últimos minutos una transferencia de 12.000 NIS?"

El corazón de Miriam dio un vuelco. "¿Qué? ¡Por supuesto que no! Estoy en casa, no he tocado la cuenta".

"Me lo temía", respondió Daniel con un suspiro profesional. "Parece que hay una intrusión activa en su cuenta a través de una aplicación instalada en otro dispositivo. No se preocupe, Miriam, estoy con usted. Bloquearemos el acceso y transferiremos el dinero a una cuenta de protección temporal hasta que le emitamos nuevos códigos. Usted ve el número desde el cual la estoy llamando, ¿cierto? ¿Lo reconoce como el centro de atención del banco?"

Miriam volvió a mirar la pantalla. El número parecía completamente correcto. "Sí, lo veo. Es el número de ustedes".

En ese momento, las últimas murallas de defensa de Miriam se derrumbaron. Ella no sabía que Daniel no estaba sentado en una oficina climatizada, sino que estaba utilizando una tecnología que le permitía ingresar cualquier número que quisiera como "número identificado". Para Miriam, el número en la pantalla era prueba suficiente. Durante la siguiente media hora, Daniel la guio para "asegurar" su dinero. Le pidió que le leyera códigos que le llegaron por SMS; códigos que, en realidad, eran las llaves para autorizar transferencias bancarias en tiempo real. Miriam, convencida de que estaba salvando sus ahorros, leyó los números uno tras otro.

Cuando terminó la llamada, Daniel le prometió que "todo estaba bajo control" y que un representante la volvería a llamar a la mañana siguiente. Miriam respiró aliviada. Solo una hora después, cuando intentó acceder a la cuenta para ver que todo estaba bien y descubrió que estaba bloqueada, empezó a entender que algo no iba bien. Llamó al número que aparecía en la pantalla —el número real del banco— y allí, la representante real le dio la terrible noticia: "Señora Miriam, hoy no la hemos llamado. Su cuenta ha sido vaciada".

La anatomía de la ilusión: ¿Cómo funciona el Spoofing?

Para entender la complejidad del tema, primero debemos comprender la tecnología. En el pasado, las redes de telefonía estaban cerradas y protegidas. Cuando un número de teléfono pasaba de una centralita a otra, estaba bajo el control de las grandes empresas de telecomunicaciones. Hoy en día, con el paso a la tecnología VoIP (voz sobre IP) —llamadas transmitidas a través de Internet—, las reglas han cambiado. El protocolo de comunicación permite al emisor de la llamada definir manualmente el "ID" de quien llama. Este es un campo de datos que se puede editar fácilmente.

El problema central es que nuestros teléfonos inteligentes están programados para confiar en este campo de datos. Si el dato que llega de la red es un número de teléfono que está en nuestra lista de contactos, o uno asociado en la base de datos a un negocio conocido, el teléfono mostrará el nombre explícito del negocio. El estafador no necesita hackear la centralita del banco; simplemente transmite a la red un dato falso.

Desde un punto de vista legal, aquí comienza el gran drama. Los bancos pueden argumentar que no son responsables de que un tercero haya falsificado su número, ya que se trata de una brecha en la tecnología de telefonía. Por otro lado, el cliente se siente impotente ante la información que se le mostró en el dispositivo. La cuestión de la responsabilidad en caso de falsificación de número es uno de los temas profesionales más complejos en el derecho bancario actual.

La lucha legal: la responsabilidad entre el cliente y el banco

Cuando un caso así se analiza legalmente, la primera pregunta que surge es si se trata de una "transacción no autorizada" en el sentido de la Ley de Servicios de Pago de 2019. Según la ley, si se realizó una operación en la cuenta sin la autorización del cliente, se puede examinar la obligación del banco de devolverle el dinero, a menos que se demuestre una "negligencia grave".

Las entidades financieras pueden argumentar que proporcionar un código único (OTP) a un extraño constituye una negligencia grave. Sin embargo, el caso de la falsificación de número (spoofing) cambia la ecuación de la negligencia. ¿Se puede definir como "negligencia grave" el hecho de que una persona confíe en el número de teléfono oficial de su banco? En un análisis legal profesional, existe el entendimiento de que un engaño tecnológico sofisticado puede reducir el nivel de culpa del cliente.

Al examinar la responsabilidad del banco, debemos verificar varios parámetros:

• Obligación de cuidado y monitoreo: ¿Detectó el sistema un patrón de actividad inusual? Si un cliente que no suele realizar transferencias elevadas realiza de repente una serie de transferencias a cuentas nuevas, se puede evaluar si el sistema bancario debería haber detenido la actividad.
• Conciencia del peligro: ¿Era consciente el banco de que se estaban produciendo estafas de spoofing utilizando su número de teléfono y no tomó las medidas de precaución o advertencia suficientes?
• Presentación de la información en el SMS: La Ley de Servicios de Pago establece requisitos para la claridad de los mensajes de confirmación. Si el mensaje es ambiguo y no aclara que se trata de una confirmación de transferencia monetaria, se puede argumentar que se indujo al cliente a error pensando que se trataba de una operación de seguridad.

Grietas en el muro de defensa bancario

A lo largo de los años, durante el trabajo profesional del abogado Zion Bahlul, se han observado casos en los que existe una brecha entre la capacidad tecnológica de la institución financiera y la protección efectiva del "factor humano". Los estafadores invierten en "ingeniería social" a un nivel alto, aprovechando la reputación de la institución.

Desde un punto de vista legal, se puede examinar el argumento de que los bancos tienen una obligación mayor de proteger a sus clientes contra la suplantación de identidad de sus números oficiales, por ejemplo, mediante el uso de tecnologías avanzadas de verificación de llamadas. El deber de fidelidad del banco hacia el cliente es un principio fundamental, y se puede analizar si un banco que permite que un tercero utilice su identidad digital es responsable de los daños causados.

El punto de quiebre: el aspecto personal de las víctimas

Muchas víctimas describen que la parte más dolorosa no es solo la pérdida de dinero, sino la sensación de pérdida de confianza. Cuando una persona ve el número del banco en la pantalla, asume que la institución a la que confió su dinero se está poniendo en contacto con él para protegerlo. Esta pérdida de confianza es un daño significativo que acompaña a las víctimas durante mucho tiempo.

Al examinar casos similares, a veces queda claro que los estafadores poseen información personal adicional sobre la víctima, lo que refuerza la credibilidad de la falsa apariencia. Cuando se combina el spoofing con información personal real, se crea una trampa extremadamente compleja que es difícil de identificar sin una concienciación previa.

Análisis legal: ¿Existe causa para una demanda?

Al considerar la posibilidad de emprender acciones legales en caso de falsificación del número de llamada, se debe examinar el panorama factual completo. Las posibilidades legales dependen de las circunstancias, pero estos son los pilares para el análisis del caso:

1. La prueba de la "persona razonable" en las circunstancias del caso: ¿Se esperaría que una persona razonable sospechara de una llamada que proviene del número oficial de su banco? En muchos casos de engaño profundo, los mecanismos de control habituales pueden no activarse.

2. Incumplimiento del deber de divulgación y advertencia: ¿Tomó la institución financiera medidas activas y claras para advertir sobre este método de spoofing específico?

3. Fallo en los sistemas de monitoreo (Anti-Fraude): Evaluación de si los sistemas permitieron una actividad inusual sin verificación adicional, lo que podría constituir una causa para una demanda por negligencia.

4. Ley de Servicios de Pago - reparto de responsabilidad: La ley determina el reparto de responsabilidad entre el cliente y el banco. La jurisprudencia puede interpretar que proporcionar un código en circunstancias de suplantación sofisticada es una negligencia que no es "grave", lo que podría asignar una parte significativa de la responsabilidad al banco.

Señales de advertencia: ¿Cómo identificar que se trata de Spoofing?

Aunque el número parece real, a lo largo de los años se han identificado patrones que pueden indicar un fraude:

• La urgencia y la presión: Creación de una sensación de emergencia que incita a actuar rápidamente sin pensar.
• Solicitud del código secreto: Las instituciones financieras no suelen pedir al cliente que lea un código recibido por SMS. El código está destinado a la entrada personal solamente.
• Transferencia a una "cuenta segura": La propuesta de transferir fondos a otra cuenta para "protegerlos" es una clara señal de advertencia.
• Uso de terminología inusual: Uso de un lenguaje o expresiones que no son aceptadas en el mundo bancario.

¿Qué hacer inmediatamente si sospecha ser víctima de una estafa?

El tiempo es un factor crítico. Se pueden considerar las siguientes opciones para una acción rápida:

1. Colgar y verificar: En caso de sospecha, se debe colgar la llamada e iniciar un contacto independiente con el banco a través de canales oficiales y conocidos solamente.
2. Reporte inmediato: Contactar con los centros de atención de fraude del banco y de la entidad emisora de la tarjeta de crédito para examinar la posibilidad de congelar operaciones.
3. Documentación: Guardar el registro de llamadas, mensajes SMS y cualquier otra información relevante.
4. Reporte a las autoridades: Presentar una denuncia en la policía como parte de la documentación del evento.
5. Evaluación de opciones legales: Se recomienda examinar las circunstancias del caso frente a las disposiciones de la ley y la jurisprudencia actual.

Aspecto legal: resumen de la responsabilidad del banco

El sistema legal examina cada caso por sus propios méritos, con una tendencia a proteger al consumidor como la parte más débil en la transacción. En casos de spoofing, se puede analizar si la institución financiera proporcionó herramientas suficientes para protegerse contra la suplantación de su propia identidad.

Durante los años de trabajo profesional del abogado Zion Bahlul, se observaron casos en los que un examen minucioso de los sistemas de monitoreo y el perfil de actividad del cliente llevaron a la conclusión de que el daño podría haberse evitado. En un posible escenario, tras examinar las pruebas y llevar a cabo un proceso legal, las partes podrían llegar a un acuerdo transaccional que devuelva parte de los fondos, dependiendo de las circunstancias del caso.

Recuerde: el número en la pantalla es un dato digital que puede ser manipulado. En la era actual, se recomienda confiar solo en las llamadas que usted inició a través de canales seguros. La conciencia de los patrones de acción es la herramienta principal para evitar caer en estas trampas.