Capítulo 32: La fortaleza vulnerada: toma de control de cuentas bancarias y tarjetas de crédito

En el viejo mundo, el camino hacia el dinero de una persona pasaba por puertas de acero, cajas fuertes pesadas y guardias armados. El ladrón de bancos de antaño necesitaba un plan de acción físico, armas y una buena dosis de adrenalina y riesgo. Hoy, esa fortaleza ha cambiado. Las puertas de acero han sido reemplazadas por líneas de código, y los guardias han sido sustituidos por algoritmos de cifrado. Sin embargo, el cambio más fundamental no es tecnológico, sino psicológico. El ladrón moderno no irrumpe en el banco; le convence a usted para que le abra la puerta, le invita a pasar y le entrega las llaves de la caja fuerte en bandeja de plata.

La cuenta bancaria y la tarjeta de crédito son el «santo grial» de nuestra identidad económica. Representan años de trabajo arduo, los ahorros para la vivienda, el dinero para la educación de los hijos y la seguridad corriente para comprar pan y leche. Cuando esta fortaleza es vulnerada, la sensación no es solo de pérdida económica. Es un golpe mortal a la sensación de seguridad, una intrusión brutal en la privacidad y una ruptura de la confianza básica en los sistemas que deberían protegernos. En este capítulo analizaremos los mecanismos que permiten la toma de control de cuentas financieras, entenderemos el complejo ámbito legal que se genera a raíz de ellas y examinaremos las opciones legales a disposición de las víctimas.

El siguiente escenario es un ejemplo didáctico basado en patrones comunes de fraude. Los personajes y eventos tienen fines ilustrativos solamente.

Escenario didáctico: La trampa telefónica

Rami (seudónimo), un trabajador autónomo en el sector de la jardinería, nunca se consideró «tecnófobo», pero tampoco un gran experto en informática. Sabía utilizar la aplicación del banco para consultar saldos y pagar a proveedores. Un día, por la tarde, sonó su teléfono. En la pantalla apareció un número que parecía el número conocido del centro de atención al cliente de su banco.

—Hola, ¿hablo con Rami? —preguntó una voz femenina, profesional y autoritaria desde el otro lado—. Habla Dana, del departamento de seguridad del banco. Estamos detectando en la última hora intentos de retiro inusuales de su cuenta desde un país extranjero. ¿Ha realizado usted alguna operación de este tipo recientemente?

Rami se sintió presionado. El pensamiento de que el dinero desaparecía de su cuenta afectó a su capacidad de análisis. —¡Qué va! Estoy en casa, acabo de terminar de trabajar —respondió con voz temblorosa.

—Eso pensaba —respondió Dana con calma—. No se preocupe, estamos aquí para detenerlo. Para que podamos bloquear la operación y poner la cuenta en estado de protección, necesito verificar su identidad. Le acabo de enviar un código de verificación por SMS. Por favor, léamelo para que podamos proceder con el bloqueo.

Rami vio llegar el mensaje. El remitente parecía ser el banco. Dentro del mensaje había un código de seis dígitos. Bajo la presión del momento, no prestó atención a la advertencia que indicaba que no se debe entregar el código. Dictó los números. Dana continuó y le indicó que ingresara a un enlace enviado para realizar una «resincronización». El sitio web se veía exactamente igual al sitio del banco. Introdujo su nombre de usuario y contraseña como se le pidió, y entregó otro código de verificación que le fue enviado.

Al finalizar la llamada, Rami sintió alivio. No sabía que en esos mismos minutos, actores hostiles que utilizaban tecnología de suplantación de número telefónico (spoofing) estaban operando en su cuenta. Los códigos que entregó no estaban destinados a la seguridad, sino a la autorización de transferencias de fondos y la adición de nuevos beneficiarios en tiempo real.

Aproximadamente una hora después, cuando Rami intentó entrar en la aplicación, descubrió que su acceso estaba bloqueado. En una consulta formal al banco, resultó que se habían realizado transferencias de sumas significativas desde la cuenta. Su fortaleza no fue invadida por la fuerza; las llaves fueron entregadas tras una manipulación sofisticada.

La anatomía de la toma de control: análisis de los mecanismos

La toma de control de una cuenta bancaria o tarjeta de crédito es, a menudo, un evento de varias etapas. Los atacantes recopilan inteligencia previa, a veces a través de filtraciones de datos anteriores, y construyen una historia de cobertura diseñada para eludir el mecanismo de autenticación de dos factores (2FA).

1. Ingeniería social (Social Engineering)

Esta es una herramienta diseñada para generar una sensación de urgencia y pánico. Bajo presión, los clientes pueden saltarse los pasos de verificación. El uso de la tecnología de suplantación (spoofing) hace que la llamada parezca provenir de una fuente confiable.

2. Phishing dirigido (Spear Phishing)

Envío de un mensaje personal que incluye un enlace a un sitio «espejo» (Mirror Site), una copia exacta del sitio web del banco. Tan pronto como el cliente ingresa los datos de acceso, la información es enviada directamente al atacante, quien la utiliza en el sitio real.

3. Obtención de un código de verificación de un solo uso (OTP)

Los atacantes intentan obtener el código enviado por SMS de diversas maneras:

• Persuasión: Engañar al cliente para que entregue el código voluntariamente durante la llamada.
• Intercambio de SIM (SIM Swapping): Suplantar la identidad del cliente ante la empresa de telefonía móvil para transferir el número a una tarjeta SIM en posesión del atacante.
• Programas maliciosos (Malware): Introducción de software que permite la lectura remota de mensajes.

4. Toma de control de la tarjeta de crédito

El proceso puede comenzar con cargos pequeños para probar la validez de la tarjeta, seguidos de compras significativas. En algunos casos, se realiza un cambio de los datos de contacto en los sistemas de la empresa de tarjetas de crédito para evitar la recepción de alertas.

El ámbito legal: análisis de responsabilidad y obligaciones

La pregunta central en estos casos es la cuestión de la responsabilidad por los fondos sustraídos. La respuesta depende de las circunstancias del caso, el comportamiento del cliente y el cumplimiento por parte de la entidad financiera de sus obligaciones profesionales.

Ley de Servicios de Pago, 2019

Esta ley regula las relaciones entre el cliente y el proveedor de servicios de pago (banco, empresa de tarjetas de crédito o aplicación de pago). El concepto determinante en la ley es la «transacción de pago no autorizada».

Según la ley, por regla general, en caso de una transacción no autorizada, el proveedor de servicios de pago debe reembolsar al cliente el importe de la operación dentro de un plazo determinado, a menos que exista una base razonable para sospechar de fraude por parte del cliente. La ley distingue entre diferentes niveles de responsabilidad:

1. Responsabilidad limitada del cliente

En casos de robo o pérdida de un instrumento de pago, siempre que el cliente haya dado aviso de ello inmediatamente después del descubrimiento, su responsabilidad puede estar limitada a las sumas estipuladas en la ley. El resto del daño puede recaer sobre la entidad financiera.

2. Alegato de negligencia grave

Las entidades financieras pueden intentar demostrar que el cliente actuó con «negligencia grave» (como entregar un código secreto voluntariamente) para eximirse de la obligación de reembolso. Sin embargo, en un análisis legal profesional se toma en cuenta el hecho de que los estafadores utilizan manipulaciones sofisticadas, y lo que parece un error en retrospectiva puede considerarse una respuesta razonable bajo presión en ese momento. El examen de la ingeniería social puede influir en la atribución de responsabilidad al cliente.

3. El deber de diligencia reforzado del banco

Sobre los bancos y las empresas de tarjetas de crédito recae un deber de diligencia reforzado hacia sus clientes. En caso de hackeo o toma de control, se examinan varias cuestiones:

• Identificación de banderas rojas: ¿Deberían los sistemas de monitoreo haber detectado una actividad que se desviaba radicalmente de los patrones de uso habituales del cliente?
• Respuesta en tiempo real: ¿Desde el momento del aviso, actuó la entidad financiera con la rapidez adecuada para bloquear la cuenta?
• Calidad de los mecanismos de protección: ¿Utilizó la entidad medidas de seguridad razonables y avanzadas de acuerdo con los estándares aceptados?

Durante mis años de trabajo profesional, he encontrado casos donde, a pesar de un error del cliente, se detectaron fallos en el sistema de monitoreo del banco. En tales situaciones, puede surgir un reclamo de responsabilidad de la entidad financiera por el daño, o parte de él, en el marco de la evaluación de la «culpa concurrente».

Trato con las empresas de tarjetas de crédito

En casos de cargos no autorizados en una tarjeta de crédito, existe un procedimiento de «denegación de transacción». La Ley de Servicios de Pago establece que la empresa debe abonar temporalmente al cliente hasta que se aclare el asunto. En situaciones de toma de control total, donde los datos de contacto fueron alterados, se requiere un examen legal profundo para probar que las operaciones no fueron realizadas por el cliente.

Señales de advertencia y formas de prevención

La vigilancia puede evitar muchos casos de fraude. A continuación, algunas señales sospechosas:

• Solicitudes de código en una llamada iniciada por terceros: Los representantes oficiales del banco no solicitan al cliente que lea un código de verificación enviado por SMS.
• Enlaces en mensajes: Se recomienda evitar ingresar a sitios bancarios a través de enlaces en mensajes y utilizar aplicaciones oficiales o escribir directamente la dirección del sitio web.
• Cambios en la recepción móvil: La pérdida repentina de cobertura puede ser señal de un intento de intercambio de SIM.
• Solicitud de control remoto: La exigencia de instalar programas que permitan el acceso a la computadora por parte de un agente que pretende ser un representante de servicio es una señal de alerta.

Acciones inmediatas en caso de sospecha

La velocidad de reacción es un factor decisivo para minimizar el daño:

1. Corte de la llamada: En caso de la más mínima sospecha, se debe cortar el contacto inmediatamente.
2. Contacto proactivo con la entidad financiera: Comunicación al centro oficial para congelar cuentas y medios de pago.
3. Cambio de contraseñas: Actualización de los datos de acceso a servicios financieros y correo electrónico.
4. Documentación: Guardar capturas de pantalla de los mensajes, registro de números de teléfono y horas de llamadas.
5. Denuncia ante las autoridades: Presentación de una denuncia ante la policía para obtener el certificado necesario para el seguimiento ante el banco.

Aspecto legal y opciones de acción

En casos donde una entidad financiera se niega a restituir fondos, se pueden evaluar las herramientas legales a disposición de la víctima. A lo largo de los años, se ha visto que un análisis profesional que detalla el fallo de seguridad o los deberes de diligencia infringidos puede conducir, en determinadas circunstancias, a la evaluación de acuerdos de conciliación u opciones para la restitución de fondos, según los hechos del caso.

En el marco de un procedimiento legal, los tribunales examinan el conjunto de las circunstancias, incluidos los medios que estaban en manos de la entidad financiera para evitar el daño. A medida que el fraude es más sofisticado, puede evaluarse la atribución de responsabilidad, total o parcial, a la entidad financiera, considerando que el cliente es percibido como la parte que necesita protección en la transacción. La Ley de Servicios de Pago constituye una base central para la protección de los usuarios, y es importante hacer valer los derechos que de ella emanan.

En el próximo capítulo, examinaremos un escenario de suplantación de identidad de un empleado o dueño de negocio frente a proveedores: otro tipo de fraude que afecta al sector empresarial.