Tras la actuación de Facua Castilla-La Mancha, una entidad bancaria ha tenido que devolver 2.891 euros a una clienta a la que suplantaron su identidad en tres operaciones que se realizaron para extraer fraudulentamente su dinero sin que el banco pudiese acreditar la aplicación de la doble autentificación de seguridad para estos movimientos.

Gema C. B., de Quintanar de la Orden (Toledo), recibió una llamada el 19 de diciembre de 2022 en su teléfono móvil donde le aseguraron que eran de su oficina bancaria local. Le manifestaron que estaban intentando entrar a su cuenta corriente desde otro dispositivo móvil y le pidieron que metiese los códigos que le habían enviado supuestamente para avisarle cada vez que se produjera una alerta de seguridad similar en su cuenta.

Pensando que estaba mejorando la seguridad de su cuenta, la afectada estuvo tranquila hasta que el 26 de diciembre se percató de que le habían cargado gastos de casi 3.000 euros en tres operaciones sin su consentimiento: 2.660 euros el 21 de diciembre en Ría Payment Institution, 0,95 euros el 23 de diciembre por el telepeaje de la autovía R-5 Madrid-Navalcarnero, y 230 euros el 27 de diciembre en Emporio Armani.

La afectada informó a su entidad bancaria y denunció el 27 de diciembre los hechos ante la Guardia Civil de Quintanar de la Orden, aportando las pruebas de la llamada teléfonica y de los cargos que se habían realizado en su cuenta sin su consentimiento.

En varias reclamaciones a lo largo del mes de enero, el banco rechazó de manera reiterada hacerse cargo de su responsabilidad patrimonial por los fallos de seguridad que permitieron este fraude con el método de phishing. "Comprendemos que el cliente ha podido ser estafado, autorizando a un tercero a usar su tarjeta para efectuar una operación, pero el retroceso va contra el comercio, el cuál ha prestado correctamente el servicio y no tiene nada que ver con la tercera persona que lo ha engañado, además el cliente es responsable de custodiar los datos de su tarjeta", expusieron al emitir la resolución desfavorable a Gema, que indefensa acudió a Facua Castilla-La Mancha y se asoció para defender sus intereses.

La asociación elevó una reclamación a la entidad bancaria el 22 de marzo de 2023 donde exigió a la entidad que hiciera frente a su responsabilidad patrimonial reintegrando el importe total sustraído por haber permitido que fueran sorteados los códigos de seguridad de los medios de pago de titularidad de la asociada, incumpliendo el contrato que tenían suscrito ambas partes.

En el banco no pudieron acreditar la aplicación de la doble autentificación en las operaciones por las que lograron cargar a la tarjeta de Gema las tres operaciones fraudulentas.

¿Qué dice la Ley?

El artículo 36 de la Ley de servicios de pago y otras medidas urgentes indica que las operaciones de pago "se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución". La denuncia interpuesta ante la Guardia Civil acreditaba que estas operaciones no estaban autorizadas.

El artículo 43 del mismo texto dispone que "el usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación de pago no autorizada o ejecutada incorrectamente únicamente si el usuario de servicios de pago se lo comunica sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones que sea objeto de reclamación, incluso las cubiertas por el artículo 60, y, en todo caso, dentro de un plazo máximo de trece meses contados desde la fecha del adeudo", cuestión que quedó demostrada cuando la titular de la cuenta notificó lo ocurrido a la oficina del banco y confirmó con los extractos bancarios que se habían producido estas operaciones fraudulentas.

Finalmente, el artículo 45 del mismo texto legal es claro al precisar que, en caso de que se ejecute una operación de pago no autorizada, "el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato", y que "la carga de la prueba recae sobre la entidad de que la operación se llevó a término con todas las garantías". Al no acreditar el banco la aplicación del sistema de seguridad preceptivo, estaba en la obligación de proceder al reintegro.

Mala práctica bancaria

Facua Castilla-La Mancha, ante la negativa de la entidad a hacerse cargo, decidió elevar el caso al Banco de España, y así lo hizo el 28 de abril, para informarles del caso y solicitarles que emitieran un informe en virtud de las competencias que tiene conferidas como órgano regulador donde declarase la existencia de una mala práctica bancaria por parte de la entidad por los hechos ocurridos que la asociación acreditaba.

Tras las primeras diligencias del órgano regulador, el banco en cuestión se dirigió finalmente a Facua Castilla-La Mancha en un escrito de allanamiento el pasado mes de mayo para "rectificar la situación objeto de la discrepancia".

La entidad bancaria ha devuelto recientemente a Gema los 2.891 euros que le corresponden por el importe íntegro de las compras no autorizadas que cargaron a su tarjeta suplantando su identidad.