Capítulo 79: El primer minuto: qué hacer inmediatamente

Bienvenidos a la 12.ª parte del libro. Si han llegado aquí no por curiosidad intelectual, sino por una necesidad urgente, les pido que respiren profundamente. A lo largo de años de trabajo profesional acompañando numerosos casos, parece que este es el momento de "eureka" negativo: el instante en el que uno comprende que la pantalla parpadeante frente a usted no es una ventana de oportunidad, sino la apertura a una trampa. En esta parte, pasamos de la etapa de prevención y teoría a la etapa de combate. Si hasta ahora nos ocupamos de construir muros, ahora estamos lidiando con la extinción de un incendio activo. Los próximos capítulos los guiarán paso a paso, desde el primer segundo hasta los procedimientos legales, con el objetivo de examinar las opciones para minimizar los daños y restablecer la situación al estado original.

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

Eran las 10:14 de la mañana de un martes. Para Itzhak, un jubilado del Ministerio de Educación, se suponía que era una mañana normal de gestiones. El teléfono vibró. Un mensaje SMS, aparentemente del banco "HaPisga": "Estimado cliente, se detectó un acceso sospechoso a su cuenta desde un dispositivo nuevo en Beirut. Si no fue usted, haga clic aquí para una verificación inmediata y bloqueo de la cuenta".

Itzhak hizo clic en el enlace. El sitio web parecía idéntico al sitio del banco. Introdujo su número de identificación, usuario y contraseña. Segundos después, recibió una llamada de una persona que se presentó como representante del departamento de seguridad del banco. El representante le pidió a Itzhak que leyera en voz alta los códigos de verificación enviados a su celular para "anular la transferencia maliciosa".

Itzhak leyó los códigos. Luego le informaron que la cuenta estaba bloqueada por 24 horas por motivos de seguridad. Cuando intentó acceder a la cuenta más tarde, descubrió que estaba bloqueada. Al revisar el correo electrónico, descubrió que se había realizado una transferencia de 145.000 ILS a una cuenta en el extranjero.

En ese mismo instante, el mundo de Itzhak se paralizó. Fue el primer minuto. El minuto en el que el cuerpo quiere gritar y los dedos se congelan. ¿Qué hace ahora? ¿Llama a la policía? ¿Al banco? ¿Intenta cambiar la contraseña de nuevo? En este tipo de escenarios, cada segundo que pasa es crítico, ya que la otra parte podría tener una ventaja tecnológica y un tiempo de reacción rápido.

La anatomía del primer minuto: shock frente a acción

A lo largo de los años, al tratar numerosos casos de víctimas de estafas, resulta evidente que el mayor enemigo en el primer minuto es, a menudo, el shock. El cerebro humano atraviesa un proceso en el que la capacidad de pensar racional y estratégicamente puede verse afectada. Sin embargo, desde el punto de vista legal y técnico, este minuto es de gran importancia. En la legislación israelí, y especialmente en la Ley de Servicios de Pago de 2019, el momento de la notificación es crucial.

El tiempo puede ser un factor determinante en la preservación de pruebas. En el primer minuto, es posible que el dinero aún se encuentre en un "estado intermedio" (tránsito) entre las instituciones financieras. Los intentos repetidos de acceder a la cuenta hackeada podrían desperdiciar un tiempo valioso. Si el sitio no lo reconoce después de haber proporcionado sus datos, debe considerar la posibilidad de que la cuenta esté bajo control hostil.

La primera acción en el primer minuto debe ser el corte de contacto y la notificación a las partes relevantes. Se recomienda pasar inmediatamente a un modo de "control de daños". En un análisis legal general, se puede observar que el nivel de cuidado y la velocidad con la que actúa un cliente desde el momento en que se entera de un incidente inusual pueden tener peso legal. Una demora significativa podría llevar a alegaciones por parte de la institución financiera con respecto a la responsabilidad por el daño.

El reloj legal comienza a correr: la obligación de notificación inmediata

El artículo 20 de la Ley de Servicios de Pago establece que el cliente debe notificar al emisor o al proveedor de servicios (el banco o la compañía de tarjeta de crédito) inmediatamente después de enterarse de que le han robado un medio de pago o que se ha realizado una transacción no autorizada. El término "inmediatamente" es examinado a menudo en los tribunales como una acción realizada sin demora irrazonable dadas las circunstancias del caso.

En el momento en que se descubre una transferencia sospechosa, el reloj legal comienza a correr. Un retraso significativo en la denuncia podría afectar las protecciones legales que la ley podría otorgar. La ley establece acuerdos sobre la responsabilidad del cliente por el daño causado antes y después de la notificación. Por lo general, después de notificar un uso indebido, la responsabilidad del cliente por daños adicionales podría reducirse significativamente.

Por lo tanto, la acción inmediata recomendada es ponerse en contacto con el banco, ya que es la entidad que puede, en determinadas circunstancias, intentar detener el movimiento de fondos. En esta conversación, se recomienda utilizar una terminología clara e indicar que está reportando una "transacción no autorizada" (Unauthorised transaction) y exigir la congelación de las operaciones salientes. Documentar esta conversación (la hora, el nombre del representante y el número de referencia) puede constituir un pilar fundamental en la construcción del caso legal en el futuro.

Entre el pánico y el ingenio: ¿por qué los estafadores cuentan con este minuto?

Las técnicas de ingeniería social se basan a menudo en la creación de caos y en la explotación de la sensación de presión de la víctima. Estos sentimientos pueden llevar a la duda o a intentos independientes de resolver la situación con el atacante, lo que podría agravar el daño.

Durante años de trabajo profesional y en conversaciones con muchos clientes, se hace evidente que es importante separar el error humano de la responsabilidad legal. Un análisis general de la posición de los reguladores y los tribunales muestra que se espera que los sistemas bancarios demuestren resiliencia y protejan a los clientes, ya que las instituciones financieras son vistas a menudo como los "evitadores de daños más baratos" que poseen herramientas tecnológicas para identificar anomalías.

En las etapas iniciales, es posible que el dinero aún no haya sido transferido definitivamente y se encuentre en estado de "pendiente de aprobación" en los sistemas de compensación. Una acción rápida ante los departamentos de seguridad podría, en algunos escenarios, permitir detener la transferencia antes de que se vuelva irreversible.

El aspecto legal de la "transacción no autorizada"

En el marco del análisis legal en este campo, existe una distinción crítica entre una transacción realizada por el cliente y una "transacción no autorizada". En estos casos, los tribunales examinan si la entrega de un código de verificación constituye el consentimiento para la ejecución de la transacción.

Existe un enfoque legal que sostiene que, incluso si un cliente entregó un detalle de identificación o un código debido a un engaño, esto no constituye necesariamente un "consentimiento" para la esencia de la transacción ilícita. Si el cliente creía que estaba actuando para asegurar su cuenta mientras que el estafador aprovechó esto para realizar una transferencia, se puede argumentar que se trata de una transacción no autorizada. Se recomienda documentar inmediatamente después del evento la secuencia de acontecimientos (qué se dijo, qué se entendió y por qué se realizaron las acciones), ya que este registro podría ser de gran valor al examinar la cuestión de la "negligencia grave".

Se debe tener en cuenta que las instituciones financieras podrían alegar negligencia grave por parte del cliente para reducir su responsabilidad. Sin embargo, el estándar de prueba para la negligencia grave no se basa solo en la existencia de una advertencia general, sino en el examen del comportamiento del cliente según las circunstancias del caso. Una acción rápida y documentada podría ayudar a rechazar estas alegaciones.

El escenario final de Itzhak: la inversión del segundo minuto

Volvamos a Itzhak del ejemplo educativo. En lugar de ceder a la presión, actuó para bloquear su cuenta. Contactó al centro de emergencia oficial del banco y reportó el fraude. Exigió un bloqueo total y solicitó documentar su reclamación.

Al mismo tiempo, desconectó sus dispositivos de la red para evitar la posibilidad de continuar con el acceso remoto. En este escenario posible, sus acciones inmediatas pueden ayudar a proteger el resto de sus activos. Aunque el dinero inicial salió de la cuenta, Itzhak actuó de una manera que podría crear una mejor infraestructura legal para una discusión futura frente al banco con respecto a la recuperación de fondos y la división de la responsabilidad.

Señales de advertencia (que se identifican en el primer minuto)

• Urgencia excesiva: mensajes que utilizan términos que fomentan una acción rápida sin pensar.
• Solicitud de código de verificación (OTP): petición que solicita el código enviado por SMS para fines de "seguridad".
• Cambio en la apariencia del sitio: direcciones de internet similares a sitios oficiales pero que contienen ligeros cambios.
• Solicitud de instalación de software: petición para descargar software de control remoto (como AnyDesk o TeamViewer).

Qué hacer inmediatamente (lista de verificación para el primer minuto)

1. Corte de contacto: finalizar la llamada, cerrar el navegador y desconectar la conexión a internet del dispositivo pertinente.
2. Contacto con el centro de emergencia: contactar al banco y a la compañía de tarjeta de crédito a través de los números oficiales publicados por ellos.
3. Denuncia de "transacción no autorizada": uso de este término ante los representantes de la institución financiera.
4. Solicitud de bloqueo: congelación de la cuenta, anulación de tarjetas y bloqueo de acceso a servicios digitales.
5. Documentación: registro de la hora de las llamadas, nombres de los representantes y números de referencia.

Aspecto legal

Desde el punto de vista legal, el momento en que se entrega la notificación a la institución financiera es de importancia crucial para la distribución de la responsabilidad. Según la Ley de Servicios de Pago, tras la entrega de la notificación, puede surgir una amplia protección para el cliente frente a daños adicionales. La forma de actuar en este periodo de tiempo podría servir como prueba sobre la cuestión del nivel de cuidado del cliente. Se pueden examinar las posibilidades de recuperación de fondos de acuerdo con las circunstancias específicas de cada caso, donde una acción rápida y documentada podría mejorar la posición legal frente a la institución financiera.