Cayó en el clon del banco: la Justicia la indemnizó con $22 millones

Buscaste el banco en Google. El primer resultado tenía el logo conocido, el diseño era idéntico, la URL se parecía. Ingresaste tu usuario, tu contraseña y el token de seguridad. Eso fue todo lo que hiciste. Y fue suficiente para que te vaciaran la cuenta.

Eso le pasó a una mujer de 56 años en La Plata el 22 de diciembre de 2022. El banco le dijo que había sido negligente. El Juzgado Civil y Comercial N° 13 de La Plata acaba de darle la razón a ella y de condenar al banco a pagar $22.910.720, según informa Infobae.

Qué es una “página melliza” y cómo te atrapa

Una página melliza (también llamada sitio espejo o phishing web) es una copia exacta del portal oficial de tu banco: mismo logo, mismos colores, mismo formulario de ingreso. La única diferencia es que lo que ingresás en ese formulario va directo a los delincuentes.

El vector más común es el buscador: los estafadores pagan publicidad o trabajan el posicionamiento del sitio falso para que aparezca antes que el oficial en los resultados de búsqueda. El certificado HTTPS aparece igual porque es fácil de obtener, y la URL tiene una variación mínima —un guión, una letra cambiada— que en una pantalla de computadora o celular pasa desapercibida.

El banco emite el token y diseña el sistema que lo valida. Si ese sistema puede ser burlado con credenciales obtenidas en un sitio falso, el problema no es tuyo.

Por qué el banco perdió aunque “fue culpa tuya”

El banco argumentó que la clienta fue descuidada al ingresar sus datos en un sitio falso. El tribunal rechazó ese argumento de plano, aplicando el principio de responsabilidad objetiva en la relación de consumo financiera.

El razonamiento legal es claro: el banco es el proveedor del servicio de home banking. Ese servicio incluye la obligación de implementar sistemas de seguridad que impidan o detecten el acceso no autorizado, independientemente de cómo se obtuvieron las credenciales. Si los sistemas de seguridad del banco fueran suficientes, un token robado en un sitio falso no debería bastar para vaciar una cuenta. Como bastó, la falla es del banco.

Este fallo se inscribe en una tendencia jurisprudencial consolidada. Esta misma semana, Defensa del Consumidor de Córdoba multó con $386 millones a bancos y billeteras virtuales por exactamente las mismas fallas de seguridad frente a estafas digitales.

Qué ordenó la Justicia

El juzgado reconoció tres rubros:

• Restitución del dinero sustraído: casi $3 millones al valor de los hechos, actualizados con intereses hasta la fecha del fallo.
• Daño moral: una suma equivalente por el perjuicio emocional que generó perder los ahorros de esa forma.
• Daño punitivo (art. 52 bis, Ley 24.240): otra suma equivalente, aplicada como sanción al banco por incumplir sus deberes de seguridad e información y por no asistir debidamente a la clienta después de que ocurrió el fraude.

El total ascendió a $22.910.720 más intereses. El daño punitivo no va al Estado: queda íntegramente a favor de la consumidora.

Los cinco pasos si te pasó

1. Denunciá en el banco de inmediato, por escrito, con número de ticket. El banco tiene 20 días hábiles para responder bajo el Régimen de Protección de Usuarios de Servicios Financieros (BCRA).
2. Denunciá ante el BCRA si el banco no responde o rechaza: formulario oficial en bcra.gob.ar.
3. Hacé la denuncia penal por el phishing ante la Policía o el Ministerio Público Fiscal. Ese expediente es evidencia concreta para el juicio civil posterior.
4. Presentá en Defensa del Consumidor: argentina.gob.ar/produccion/defensaconsumidor.
5. Guardá todo: tiques del banco, capturas de pantalla del sitio falso, extractos de cuenta, correos electrónicos de respuesta. El plazo para demandar es de 3 años desde el rechazo formal del banco.

Tres hábitos para no caer

• Nunca busques tu banco en Google. Guardá la URL oficial como favorito y accedé siempre desde ahí.
• Si el sitio te pide el token antes de que hayas iniciado sesión, es falso.
• Cualquier URL con guiones en el dominio principal (ejemplo: “mi-banco.com.ar”) es sospechosa.

Base legal

• CN art. 42 — Derecho del consumidor a seguridad en la relación de consumo.
• Ley 24.240, art. 5 — El proveedor está obligado a suministrar servicios que no presenten peligro para los consumidores; el sistema de home banking es parte del servicio financiero.
• Ley 24.240, art. 52 bis — Daño punitivo: multa civil a favor del consumidor por conducta desaprensiva del proveedor; Infoleg.
• BCRA Comunicación A 7146 — Las entidades financieras deben implementar protocolos de seguridad para operaciones digitales y dar respuesta a reclamos en 20 días hábiles (Régimen PUSF).

Preguntas frecuentes

¿El banco siempre es responsable si caigo en un sitio falso?

La tendencia jurisprudencial indica que sí, cuando el engaño usa el nombre y la apariencia del banco y este no implementó medidas técnicas suficientes para detectarlo. La responsabilidad objetiva del proveedor de servicios financieros aplica independientemente de si el usuario cometió un “error”.

¿Cuánto tiempo tengo para demandar?

Tres años desde que el banco rechaza formalmente tu reclamo o deja de responder. No esperes: el plazo corre desde ese momento y una vez vencido, perdés el derecho a la acción judicial.

¿El daño punitivo queda para mí o va al Estado?

Es íntegramente para vos como consumidor. El art. 52 bis de la Ley 24.240 establece que la multa civil por daño punitivo se fija a favor del consumidor damnificado, no del Estado ni del organismo de control.

¿Qué pasa si el banco dice que yo ingresé el token y por eso no responde?

Ese argumento fue rechazado en este fallo y en muchos anteriores. La Justicia aplica responsabilidad objetiva: el banco responde por fallas en sus sistemas de seguridad digital independientemente de cómo el estafador obtuvo tus credenciales.