Identificación de actividad inusual: lo que el banco debería observar

A lo largo de los años, la relación entre el cliente y el banco se basaba en el encuentro humano. Conocíamos al cajero, sabíamos quién era el gerente de la sucursal y ellos, a su vez, conocían nuestros hábitos de consumo. Sabían cuándo estábamos ahorrando para un evento familiar y cuándo nos excedíamos del límite debido a una reforma en el hogar. Hoy, las sucursales cierran y la conexión humana ha sido reemplazada por algoritmos. Pero, ¿acaso el hecho de que el banco se haya digitalizado lo exime de saber quiénes somos? ¿No debería el "ojo electrónico" del banco destellar en rojo cuando nuestra cuenta actúa como si hubiera sido secuestrada por una entidad ajena?

En este capítulo profundizaremos en el sistema computarizado de los bancos: esos sistemas de "monitoreo de riesgos" (Anti-Fraude) que se supone deben ser nuestra última línea de defensa. Entenderemos cuáles son las señales de alerta que deberían encenderse en los sistemas bancarios y por qué, a veces, permanecen apagadas mientras el dinero fluye hacia cuentas fantasma en el extranjero. Este es el espacio entre la tecnología y la ley, el lugar donde se plantea la gran pregunta: ¿dónde termina la responsabilidad del cliente y comienza el deber de diligencia del banco?

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y los eventos están destinados solo a fines ilustrativos.

La historia de Dalia: cuando la rutina se hace añicos

Dalia (nombre ficticio), maestra jubilada, nunca se había retrasado en el pago de una factura de electricidad. Su cuenta era un modelo de orden: una pensión que ingresaba el primero del mes, domiciliaciones para seguros y un retiro constante de efectivo una vez por semana. Dalia era lo que los bancos denominan "cliente de bajo riesgo". La actividad más dramática en su cuenta en los últimos años fue la compra de un electrodoméstico.

Un martes, a las 14:30, el teléfono de Dalia sonó. "Hola Dalia, habla Roi del departamento de seguridad del banco", dijo una voz joven y autorizada. "Detectamos en este momento un intento de intrusión en su cuenta desde un dispositivo ubicado en el extranjero. ¿Ha realizado usted en este momento una transferencia de miles de euros a alguien en Rumanía?"

Dalia sintió que su pulso se aceleraba. "¿Qué? ¡No! ¡De ninguna manera! Estoy en casa", respondió con voz temblorosa. "No se preocupe Dalia, estamos con usted", tranquilizó Roi. "Para bloquear la actividad y transferir sus fondos a una cuenta temporal protegida, necesito que realice conmigo algunas acciones en la aplicación. Es un procedimiento de emergencia".

Durante las siguientes dos horas, Dalia estuvo cautiva en una conversación con "Roi". Realizó las acciones que le pidió, incluyendo transferencias bancarias significativas a cuentas que le fueron entregadas como "cuentas seguras". Cada vez que la aplicación solicitaba una confirmación, ella presionaba "Aceptar". Incluso le entregó códigos que llegaron por SMS, tras explicarle que eran "códigos de protección".

Mientras Dalia realizaba las acciones, los sistemas del banco podrían haber detectado un panorama inusual: una cliente que nunca había transferido sumas altas a un particular, realizaba de repente una serie de transferencias elevadas en poco tiempo a cuentas nuevas. Además, la dirección digital (IP) desde la que se realizó la conexión a la cuenta no era la dirección habitual, y la actividad se llevó a cabo a un ritmo ajeno a sus patrones de uso normales.

Las transferencias se realizaron una tras otra. Solo en una etapa tardía, cuando el saldo ya se había reducido significativamente, el sistema del banco bloqueó la cuenta. Para Dalia, el daño ya estaba hecho. Cuando acudió al banco al día siguiente, la respuesta inicial que recibió fue: "Usted aprobó las operaciones. Los códigos le fueron enviados a usted. La responsabilidad es suya".

La anatomía de la señal de alerta: ¿qué ve realmente el sistema?

Cuando hablamos de "actividad inusual", se trata de un análisis de datos profesional. Los bancos utilizan sistemas avanzados que analizan numerosos parámetros en cada momento. Estos sistemas construyen un "perfil de comportamiento" para cada cliente, que incluye las ubicaciones de conexión habituales, los horarios de actividad y los montos de transferencia promedio.

Existen tres tipos principales de anomalías que el sistema debería detectar:

1. Anomalía en los montos de dinero y el volumen de actividad: Un cliente particular que transfiere de repente sumas altas cercanas al límite de su transferencia diaria, especialmente en una secuencia de transferencias en poco tiempo, debería generar una alerta. El sistema debería examinar por qué una cliente que suele realizar transferencias pequeñas, transfiere de repente sumas significativamente mayores en varios movimientos.

2. Anomalía en el destino de la transferencia: Las transferencias a cuentas nuevas que nunca han aparecido en el historial del cliente son una señal de advertencia. Si estas cuentas se encuentran en otros bancos, o en países definidos como de alto riesgo de fraude, el nivel de riesgo aumenta. Un sistema de monitoreo adecuado debería examinar también si la cuenta receptora fue marcada previamente como sospechosa.

3. Anomalía tecnológica y de comportamiento: El sistema detecta si el cliente se conecta desde un dispositivo nuevo, si la ubicación geográfica cambió radicalmente e incluso la forma de uso de la interfaz. En fraudes de tipo "toma de control remota", el sistema puede detectar patrones de movimiento en la interfaz diferentes a los del usuario habitual.

El deber de diligencia del banco: el escudo legal del cliente

En el ámbito legal, los bancos pueden argumentar que la aprobación de la operación por parte del cliente los exime de responsabilidad. Sin embargo, el análisis legal aceptado examina también el deber de diligencia del banco. El banco es percibido como un guardián y fideicomisario de los fondos públicos.

La Ley de Servicios de Pago es una herramienta central en el examen de estos casos. La ley establece un marco de responsabilidad del proveedor de servicios de pago en caso de "uso indebido" de medios de pago. Los límites legales se examinan cuidadosamente en casos de fraudes sofisticados donde el cliente se convierte en una herramienta en manos del estafador.

Se puede evaluar si el banco actuó como lo haría una institución financiera razonable en las circunstancias del caso. Si los sistemas detectaron una actividad inusual de forma extrema y el banco no tomó medidas para prevenirla o para aclararla con el cliente, podría evaluarse su responsabilidad por el daño. La pregunta central es si el banco disponía de la información necesaria para prevenir el incidente y si actuó en consecuencia en tiempo real.

Debemos recordar las brechas de conocimiento entre el banco y el cliente. El banco está expuesto a información amplia sobre patrones de fraude y alertas de entidades relevantes, por lo que el argumento de que "el cliente aprobó la operación" se examina frente a los deberes profesionales del banco.

La paradoja del sistema: aspectos de monitoreo y control

A lo largo de mis años de trabajo profesional, a menudo surge la pregunta: si la actividad es tan inusual, ¿por qué no se detuvo? La respuesta reside en la complejidad entre la gestión de riesgos y el deseo de mantener una experiencia de servicio fluida. Los bancos procesan una cantidad enorme de operaciones y existe un deseo de evitar el bloqueo de transacciones legítimas.

Existe una tensión constante entre el nivel de seguridad y la comodidad de uso. Los esquemas de fraude aprovechan a veces esta brecha, incluida la actividad en horas en las que la respuesta humana es limitada, lo que deja la decisión únicamente a los sistemas automáticos.

Además, existe el aspecto de la gestión de riesgos económicos. Frente a ciertos enfoques empresariales, se encuentra el deber legal y profesional de proteger a los clientes, y especialmente a las poblaciones que podrían ser más vulnerables en el espacio digital.

Negligencia contribuyente frente a negligencia profesional

En casos de disputas legales derivadas de fraudes digitales, surge a menudo la cuestión de la "negligencia contribuyente". El banco podría argumentar que el cliente actuó con imprudencia al entregar códigos o ignorar advertencias. Por otro lado, es posible plantear un argumento sobre la negligencia profesional del banco en la gestión de sus sistemas de monitoreo.

Es importante entender que incluso en casos en los que un cliente cometió un error, el banco aún debe activar sus medidas de prevención. Si el sistema detectó una anomalía pero no se tomaron las medidas adecuadas, esto podría considerarse como un fallo del banco.

En diversos casos, se puede descubrir en la fase de exhibición de documentos que los sistemas efectivamente generaron una alerta sobre actividad sospechosa, pero esta no fue atendida a tiempo por diversas razones. En tales circunstancias, la posición del cliente al solicitar un examen de restitución de fondos podría fortalecerse.

Señales de advertencia en el sistema de monitoreo

• Cambio repentino en el dispositivo final: Conexión desde un dispositivo o sistema operativo no reconocido en el historial de la cuenta.
• Transferencias de "prueba": Realización de una pequeña transferencia para verificar la validez de la cuenta e inmediatamente después transferencias por montos significativos.
• Cambio en los detalles de contacto: Intento de cambiar detalles como número de teléfono o dirección de correo electrónico cerca del momento de realizar transferencias.
• Actividad en horarios fuera de lo común: Realización de operaciones en horas que no coinciden con los patrones pasados del cliente.
• Transferencias a beneficiarios sospechosos: Cuentas bancarias marcadas en los sistemas financieros como relacionadas con actividad problemática.

Pasos inmediatos al descubrir sospecha de fraude

El tiempo es un factor crítico. En el momento en que surge una sospecha de fraude:

1. Contacto urgente con el centro de atención bancaria: Se debe exigir el bloqueo inmediato de todos los canales de salida de fondos de la cuenta.
2. Documentación completa: Conservar capturas de pantalla de los mensajes, registro de los detalles de las llamadas con los representantes del banco y conservar toda la documentación de la comunicación con la entidad sospechosa.
3. Reporte a las autoridades: Presentar una denuncia ante la policía es un paso necesario en el procedimiento frente al banco para obtener el reconocimiento como víctima de un delito.
4. Asesoramiento legal: Se puede contactar a un abogado para examinar las posibilidades de congelar fondos y para aclarar los deberes del banco en el caso específico.

Aspecto legal: resumen de la responsabilidad del banco

En el debate legal sobre la actividad inusual, se examina no solo el comportamiento del cliente, sino también las acciones que el banco podría haber tomado en las circunstancias del caso. El deber de lealtad del banco es un principio fundamental y, a medida que la tecnología avanza, aumenta la expectativa de que el banco la utilice para la protección de sus clientes.

Se debe examinar cada caso de acuerdo con sus circunstancias únicas: características del cliente, naturaleza de la cuenta, tipo de fraude y respuesta del banco. Aunque la restitución de fondos depende de muchas circunstancias y no está garantizada de antemano, la identificación de fallos en el sistema de monitoreo es un pilar central en el examen del caso en el plano legal.

La aspiración en la representación legal en estos casos es demostrar que, allí donde los sistemas de monitoreo fallaron en su función, la institución financiera debe examinar su responsabilidad hacia el cliente.