A pesar de las muchas campañas de información y concienciación, muchos son los ciudadanos que acaban convirtiéndose en víctimas de phishing.
Sólo un mensaje es suficiente. En él, los ciberdelincuentes se hacen pasar por una compañía o entidad bancaria y, simulando un problema electrónico, piden a sus víctimas que envíen sus datos personales a la dirección indicada en el email, o que “pinchen en el enlace adjunto” para solventar el problema.
Una acción que les da el poder suficiente para poder sustraer la identidad, y el dinero, de sus víctimas de phishing, que en muchas ocasiones no tienen conocimiento de lo sucedido hasta tiempo después.
Algo que le sucedía a Narciso (nombre ficticio) el 17 de octubre de 2021, cuando recibía un SMS que parecía enviado desde BBVA. “Su cuenta ha sido bloqueada temporalmente”, aseguraba el mensaje, en el que se instaba al hombre a actualizar la información desde una aplicación indicada en el mensaje de texto.
Aplicación en la que se solicitaban los datos de acceso a la banca online de Narciso, que introducía sus datos de acceso. Momento en el que BBVA advertía al cliente que “se había iniciado sesión desde un nuevo dispositivo”.
“Se llevaron a cabo dos operaciones, una por importe de 8,63 euros, y otra de 5.700 euros. Narciso procedió a comunicar al BBVA esta incidencia. Ello, haciendo constar que él no había autorizado ni participado en tales operaciones”, explica ahora la sentencia 284/2024 de la Audiencia Provincial de Oviedo.
Un caso de phishing ante el que el hombre decidió demandar a BBVA, de cara a que la entidad bancaria se hiciera responsable del engaño.
Los tribunales imponen el pago del phishing a BBVA
Hechos ante los que el Juzgado de Primera Instancia nº3 de Oviedo estimaba la demanda de phishing. Y es que, para el juzgado, los mecanismos de protección de BBVA “han resultado en la práctica insuficientes”.
“Incurrió BBVA en comportamientos cuestionables, como la autorización de operaciones por importe elevado. O que las operaciones se realizaron desde Lituania, cuando el demandante tiene residencia en Asturias. Algo que podría haber despertado la sospecha por parte de BBVA sobre el posible carácter fraudulento de la operación”.
Sentencia de primera instancia que recurría la entidad bancaria ante la Audiencia Provincial de Oviedo. En concreto, ante la Sección Primera, en turno de magistrado único de Javier Antón Guijarro.
Así pues, expone el BBVA que el cliente de la entidad bancaria afectado por el phishing tuvo una conducta “calificada como una negligencia grave”.
“El demandante Narciso tuvo necesariamente que haber revelado a un tercero ajeno a la entidad bancaria las claves de acceso a la banca online”, asegura en el recurso de apelación el banco. Una afirmación que refuerza, un responsable de prevención de fraude de BBVA, que aseguró que las operaciones realizadas “están correctamente ejecutadas y autenticadas”. Algo que reafirma que Narciso ofreció sus datos a través del SMS recibido, a pesar de la notificación de inicio de sesión enviada por la entidad bancaria.
Alegaciones que no son suficientes para la Audiencia Provincial de Oviedo, que desestimaba el recurso.
“Habemos de descartar que la conducta pueda ser calificada como de negligencia grave”, asegura el tribunal. Así pues, “no puede merecer tal calificación el confiar en la advertencia que se contenía en un SMS recibido [..] con apariencia idéntica a la de su entidad bancaria”.
Añade igualmente la AP de Oviedo que “existen otros datos añadidos, como que la operación se realizó en un comercio o cajero situado en Lituania”, que debieron “haber llevado a la entidad demandada a extremar su diligencia antes de autorizarla”.
Explicaciones que llevan al tribunal a desestimar el recurso presentado por BBVA. Y así, confirmar su condena a abonar los más de 5.000 euros “perdidos” por el phishing sufrido por el cliente.
