Capítulo 15: Transferencias bancarias en cadena: La huida silenciosa

En las películas del siglo pasado, un robo a un banco era un evento ruidoso. Había pasamontañas, armas desenfundadas, bolsas con signos de dólar y sirenas de patrullas policiales rodeando el edificio. Hoy en día, el robo más sofisticado ocurre en silencio absoluto. No requiere armas, solo un teléfono inteligente, una conexión a internet y una víctima bajo una enorme presión psicológica. El ladrón moderno no irrumpe en la caja fuerte física; le convence a usted de que le abra las puertas digitales y le entregue el dinero en bandeja de plata, poco a poco, hasta que la cuenta queda vacía.

Este capítulo trata sobre una de las técnicas más dolorosas y efectivas en el mundo del fraude digital: las transferencias bancarias en cadena. Es un método en el que el dinero no desaparece de golpe en un gran golpe —lo cual podría encender alarmas inmediatas en los sistemas de monitoreo del banco—, sino que fluye hacia afuera en una serie de transferencias relativamente "pequeñas", ejecutadas una tras otra. Es un proceso de desgaste y elusión de mecanismos de protección, que termina con el cliente ante una situación desoladora, y el banco, muchas veces, argumenta: "Pero usted autorizó cada una de las operaciones".

La anatomía del silencio: cómo se construye la trampa de la cadena

Cuando hablamos de "la huida silenciosa", nos referimos al lapso de tiempo crítico entre la ejecución de la acción y la comprensión de que se trata de un fraude. En la técnica de transferencias en cadena, los estafadores aprovechan la confianza que han construido con la víctima para inducirla a realizar una serie de acciones repetitivas. A veces es un código de verificación que el cliente entrega, y otras veces es una acción de transferencia que el cliente realiza por sí mismo desde su aplicación, bajo las instrucciones de un "representante del banco".

¿Por qué esta cadena es tan crucial para los estafadores? Hay dos razones principales. La primera son las limitaciones técnicas. La mayoría de las cuentas bancarias tienen un límite de transferencia diario o por operación en la aplicación. Para robar cien mil shéquels de una cuenta limitada a veinte mil al día, el estafador necesita actuar durante varios días, o convencer al cliente de aumentar el límite (una acción sospechosa para el banco), o simplemente realizar múltiples transferencias de montos que parecen "estándar". La segunda razón es psicológica: una vez que la víctima realizó la primera transferencia y el cielo no se desplomó, su barrera de miedo disminuye. Ya está "dentro del proceso" y tiende a cooperar con las siguientes transferencias por el deseo de terminar el evento estresante en el que se encuentra.

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y eventos son solo para fines ilustrativos.

Itamar, un jubilado del Ministerio de Educación, estaba sentado en su balcón un martes por la mañana cuando sonó su teléfono. En la pantalla aparecía el número conocido del centro de atención telefónica de su banco. Al otro lado estaba "Roy", un representante del departamento de seguridad. La voz de Roy era tranquila, profesional y digna de confianza. "Itamar, detectamos un intento de hackeo a su cuenta en este momento desde una dirección IP en el extranjero. Alguien está tratando de retirar una suma grande. Bloqueamos la operación temporalmente, pero para proteger su saldo, debemos transferir el dinero a una 'cuenta de protección' temporal del banco, hasta que le emitamos una tarjeta y un código nuevos".

Itamar se puso nervioso. Todos sus ahorros estaban en esa cuenta. "¿Qué debo hacer?", preguntó con manos temblorosas. Roy le indicó que abriera la aplicación bancaria. "Lo haremos en pequeñas cantidades para no alertar a los sistemas de los hackers que están en su línea", explicó el "representante del banco" con una excusa técnicamente absurda, pero que sonaba lógica para alguien bajo presión. "Realice una transferencia de 15,000 ILS a la cuenta que le dicto ahora. Es una cuenta de fideicomiso del banco".

Itamar lo hizo. "Excelente", dijo Roy, "la primera pasó sin problemas. Ahora hagamos otra, por el mismo monto. Debemos darnos prisa antes de que los hackers intenten de nuevo". Durante cuarenta minutos, Itamar realizó cinco transferencias diferentes. Cada vez a una cuenta distinta ("son subcuentas del departamento de seguridad", explicó Roy). Al finalizar el proceso, 75,000 ILS salieron de la cuenta de Itamar. "Listo, Itamar, el dinero está seguro. Mañana por la mañana lo llamarán de la sucursal para coordinar la apertura de una nueva cuenta y la devolución de los fondos". Itamar suspiró aliviado, agradeció a Roy por su atención dedicada y se fue a dormir. Solo por la mañana, cuando llamó a la sucursal y entendió que no existía ninguna "cuenta de protección", no existía "Roy" y no estaban los 75,000 ILS, comprendió que había sido víctima de la "huida silenciosa".

El mecanismo del "salchichón" digital: ¿por qué les funciona?

El uso de transferencias en cadena es una especie de "método del salchichón". En lugar de cortar una rebanada gruesa que llame la atención, el estafador corta rebanadas delgadas. En cuanto a los sistemas de monitoreo automático de los bancos (sistemas anti-fraude), una transferencia individual de 15,000 ILS podría no ser considerada como una actividad inusual para un cliente determinado. Sin embargo, cuando se realizan cinco transferencias así en una hora a personas distintas a las que nunca antes se les había transferido dinero, aquí debería encenderse una luz roja brillante.

El problema es que, en muchos casos, los estafadores saben exactamente dónde está el límite. Le piden al cliente que realice las transferencias a un ritmo que no siempre dispara el sistema en tiempo real, o utilizan cuentas de "mulas" (Money Mules): cuentas de personas inocentes o cómplices en diferentes bancos del país, lo que dificulta el rastreo por parte del banco emisor. En cuanto el dinero aterriza en la cuenta de la mula, es retirado inmediatamente en efectivo del cajero automático o convertido en criptomonedas, desapareciendo así del radar bancario.

Otro aspecto crucial en la cadena es la "sensación de control" ilusoria de la víctima. Cuando una persona realiza la acción por sí misma en la aplicación, siente que controla la situación. No entrega su contraseña (aunque en capítulos anteriores vimos que eso también sucede), sino que es quien aprueba la transferencia. Los estafadores usan lenguaje bancario estándar, hablan de "protocolos de seguridad", "cuentas puente" y "autenticación de dos pasos". Construyen una historia de cobertura donde la operación ilegal (retirar dinero de la cuenta) se disfraza de la acción más legítima posible (proteger el dinero).

La obligación legal: ¿dónde estaba el banco?

Cuando se analiza un caso así a lo largo de los años en el marco de un trabajo profesional, la pregunta central no es solo las acciones del cliente, sino también las posibles omisiones del banco. La Ley de Servicios de Pago, 2019, es nuestro punto de partida. La ley establece regulaciones sobre el "uso indebido" de medios de pago, pero el caso de las transferencias bancarias iniciadas por el cliente bajo fraude es más complejo que la simple falta de cuidado.

En la relación entre banco y cliente existe un "deber de diligencia" reforzado. El banco no es solo un "conducto" para transferir dinero; es un guardián. Se puede analizar, según los principios legales aceptados, que el banco tiene la obligación de monitorear operaciones inusuales y detenerlas, incluso si el cliente mismo solicitó realizarlas. Al evaluar la responsabilidad del banco en casos de transferencias en cadena, plantearemos varias preguntas clave:

• Prueba de anomalía: ¿Fue la secuencia de transferencias inusual para los patrones de actividad normales del cliente? Si una persona que nunca transfirió más de 2,000 ILS al mes transfiere de repente 75,000 ILS en cinco pagos en una hora, es una luz roja que el sistema debería detectar.
• Prueba de prevención: ¿Se puso el banco en contacto con el cliente en tiempo real? ¿Intentó detener las siguientes transferencias en la cadena? En muchos casos, el sistema automático bloquea solo en una etapa tardía, y se debe evaluar la preparación temprana de los sistemas.
• Alertas de tiempo real: ¿Recibió el cliente alertas claras en el móvil advirtiendo sobre un posible fraude al realizar las operaciones?

Los bancos suelen defenderse alegando negligencia por parte del cliente. Sin embargo, el análisis profesional demuestra que estos fraudes no necesariamente surgen por falta de cuidado, sino por una ingeniería social extremadamente sofisticada. La responsabilidad de la institución financiera, que posee los sistemas tecnológicos más avanzados, es actuar como una línea de defensa significativa en estas situaciones.

La línea divisoria entre negligencia y fraude

El problema de la "negligencia grave" es el principal campo de batalla legal. Según la Ley de Servicios de Pago, si el cliente actuó con negligencia grave, la responsabilidad del banco puede reducirse. Pero la pregunta de qué constituye negligencia grave en circunstancias de fraude digital queda abierta a interpretación. ¿Confiar en alguien que suena como un representante del banco, que llama desde un número de teléfono que parece el del banco, se considera negligencia grave? A veces es una respuesta humana razonable ante una situación de presión extrema.

Es importante entender: transferir dinero en cadena es una táctica diseñada para reducir la vigilancia del banco. Si el cliente hubiera solicitado transferir una suma enorme de golpe a un extraño, es probable que se hubiera requerido una confirmación humana. Al fraccionar el monto, los estafadores intentan eludir el sistema. En muchos casos en los que se evaluó la conducta de los bancos a lo largo de los años, surgieron situaciones en las que los sistemas permitieron una secuencia de operaciones sin intervención suficiente, lo que puede indicar una falla en los sistemas de defensa.

Durante años de trabajo profesional y análisis de casos similares, se observaron situaciones en las que el banco envió un mensaje SMS lacónico únicamente. La ausencia de advertencias específicas y destacadas en tiempo real puede ser significativa al evaluar la responsabilidad legal. El banco puede y debe presentar advertencias claras que impidan al cliente realizar operaciones bajo instrucciones de terceros.

Análisis de caso: el punto de crisis y el descubrimiento

Volvamos a Itamar del escenario pedagógico. Su punto de crisis no fue solo en el momento en que descubrió que el dinero desapareció, sino en el momento en que el banco se negó a asumir responsabilidad argumentando que las operaciones fueron realizadas por él. Itamar se sintió traicionado por la institución a la que confió su dinero durante muchos años.

En el marco del análisis del escenario, se puede ver que a veces parte de las transferencias se realizan a cuentas que ya habían sido marcadas en el sistema bancario como sospechosas. Si hubiera existido una mejor sincronización o una evaluación más profunda del destino de la transferencia, tal vez se habría podido detener la cadena. Este es el "fallo de prevención" que constituye un punto clave al evaluar la responsabilidad.

En última instancia, en casos así, el objetivo es evaluar si el banco incumplió sus deberes profesionales. No existe una garantía automática de devolución de fondos, ya que cada caso se analiza según sus circunstancias específicas: el contenido de la conversación, las señales de advertencia y la velocidad del reporte. Pero la experiencia profesional demuestra que cuando se trata de una secuencia de operaciones inusual de forma extrema, existen herramientas legales para evaluar la responsabilidad del banco como guardián.

Señales de advertencia: ¿cómo identificar si usted está en medio de la "huida silenciosa"?

• Solicitud de transferencia de fondos "para protegerlos": Esta es la señal más clara. Un banco nunca le pedirá que transfiera dinero a otra cuenta para protegerlo. Conceptos como "cuenta de protección" no existen en la práctica bancaria.
• Presión para realizar operaciones en cadena: Si alguien lo insta a realizar más y más transferencias rápidamente, intenta evitar que usted tenga tiempo para pensar y evitar que los sistemas del banco reaccionen.
• Uso de términos técnicos complejos: El objetivo de usar términos como "protocolos de cifrado" es hacerle sentir inseguro y que obedezca las instrucciones.
• Número de teléfono "correcto": No confíe en la identificación de quien llama. La suplantación de identidad (spoofing) es una técnica común. Si surge una demanda de acción financiera, cuelgue y comuníquese usted mismo al número oficial del banco.

¿Qué hacer inmediatamente si fue víctima de transferencias en cadena?

1. Detención inmediata: En el momento en que surja sospecha, detenga todo y cuelgue la llamada.
2. Reporte al banco en tiempo real: Comuníquese inmediatamente con el centro de emergencia del banco y solicite detener cualquier transferencia que aún no se haya completado.
3. Documentación: Guarde todos los detalles: números de teléfono, nombres presentados, horas y números de las cuentas a las que se transfirió el dinero.
4. Presentación de denuncia ante la policía: Un paso vital para fundamentar las demandas en el futuro.
5. Solicitud de asesoría legal: Se puede evaluar profundamente las circunstancias del caso para ver si existe fundamento para exigir la restitución al banco.

Aspecto legal: el deber de monitoreo de la corporación bancaria

Los bancos están sujetos a directrices claras del Banco de Israel respecto a la gestión de riesgos y ciberseguridad. Están obligados a operar sistemas de monitoreo avanzados que deban detectar anomalías en el comportamiento del cliente. Cuando se presenta una demanda legal contra un banco en estos casos, suele surgir el argumento de que los sistemas tecnológicos del banco no brindaron la protección requerida o que sus configuraciones eran deficientes.

Además, se evalúa el principio legal del "evitador de daño más barato". La pregunta es quién tenía la mejor capacidad para evitar el daño con un costo y esfuerzo mínimos. En muchos casos, el análisis legal puede señalar que el banco, como cuerpo profesional con herramientas tecnológicas, es quien posee la capacidad central para prevenir estos fraudes.

En conclusión, las transferencias bancarias en cadena son el resultado de una explotación psicológica sofisticada. Su conciencia es la primera línea de defensa, pero en caso de fracaso, existen opciones legales para evaluar la responsabilidad de las instituciones financieras en la custodia de los fondos de los clientes.