Cayó en una página melliza del banco y la Justicia ordenó $22 millones

El 22 de diciembre de 2022, una mujer de 56 años quiso entrar al homebanking de su banco desde la computadora de su casa. Encontró el sitio, ingresó su usuario, su contraseña y el token de seguridad. En cuestión de minutos, siete transferencias a destinatarios desconocidos y una transferencia interna vaciaron su cuenta: $2.910.720 desaparecieron.

Lo que ella no vio —nadie lo hubiese visto a simple vista— es que ese sitio no era el de su banco. Era una “página melliza”: una copia visual exacta diseñada para capturar sus credenciales y entregárselas a los atacantes.

Cuando reclamó, el banco le dio la respuesta más común en estos casos: la culpa era de ella por haber ingresado sus datos en un sitio falso. El Juzgado en lo Civil y Comercial n.° 13 ordenó otra cosa: el banco restituye el capital sustraído, paga daño moral por un monto idéntico y daño punitivo por un monto idéntico más. Con intereses acumulados desde 2022, la condena llegó a los $22 millones, según informó Infobae.

Cómo opera el engaño paso a paso

La “página melliza” o sitio de phishing es una réplica visual casi perfecta del home banking de un banco o de una billetera virtual. El usuario llega a ella porque aparece entre los primeros resultados de búsqueda, porque recibe un enlace por correo electrónico o SMS, o porque el dominio tiene una diferencia mínima con el real —una letra extra, un guión, una extensión diferente (.net en lugar de .com.ar).

El flujo es siempre el mismo:

1. Ingresás al sitio creyendo que es el real.
2. Escribís tu usuario, contraseña y el token de un solo uso.
3. El sistema te muestra un error o una pantalla de “espera”.
4. Mientras tanto, esos datos ya llegaron a los atacantes, que los usan en el sitio real del banco para transferir el dinero.

No hace falta ser descuidado para caer. Este tipo de ataque está diseñado para engañar incluso a personas con hábitos digitales cuidadosos. En el caso que la Justicia resolvió, la víctima actuó exactamente como lo hacía siempre: desde su casa, en horario habitual, sin ninguna alerta visible.

Por qué el banco responde aunque vos hayas entregado las claves

El argumento más usado por los bancos en estos casos es “el cliente entregó las claves voluntariamente, entonces es su responsabilidad.” La Justicia lo rechaza de manera sistemática.

La relación entre el cliente y el banco es una relación de consumo encuadrada en la Ley 24.240. Eso genera para la entidad un deber concreto de garantizar la seguridad en la prestación de sus servicios digitales. La pregunta que se hace el tribunal no es si la víctima cometió un error, sino si el banco hizo lo suficiente para prevenir ese error.

En este fallo, el banco no presentó ninguna prueba técnica que lo eximiera: no aportó registros de IP de las transferencias, no mostró la trazabilidad de los accesos ni acreditó que su sistema de seguridad hubiera sido capaz de detectar el fraude en tiempo real. Sin esa evidencia, la responsabilidad objetiva de la entidad quedó confirmada.

El daño punitivo —el monto que va más allá de la restitución— fue la sanción que el juez aplicó porque el banco, en lugar de restituir el dinero, obligó a la víctima a litigar durante años. Eso es exactamente lo que el art. 52 bis de la Ley 24.240 busca castigar: el menosprecio grave por los derechos del consumidor.

Esta doctrina no es nueva. Ya la expliqué con detalle cuando comenté un caso similar: Phishing: diste las claves al estafador y el banco igual tiene que pagarte. Lo que cambia es que los montos de condena crecen año a año porque los intereses en Argentina hacen su trabajo.

Qué podés hacer si te pasó algo parecido

Si ya fuiste víctima o sospechás que estás siéndolo ahora mismo, estos son los pasos concretos:

1. Bloqueá la cuenta de inmediato. Llamá al 0810 del banco, pedí el bloqueo de transferencias y tarjetas y anotá el número de gestión y el horario exacto del llamado.
2. Impugná las operaciones por escrito. Presentá una nota al banco detallando cada movimiento que no reconocés. Exigí que te sellen o confirmen la recepción.
3. Guardá todas las capturas. Si todavía tenés acceso al sitio falso o al correo/mensaje que te llegó con el enlace, hacé capturas de pantalla con la fecha y hora visibles.
4. Denunciá el fraude ante la Dirección de Defensa del Consumidor. Podés hacerlo online. Si el banco rechaza tu reclamo o no responde en 20 días hábiles, ese rechazo es evidencia para la vía judicial.
5. Asesoráte antes de aceptar cualquier “acuerdo”. Los bancos suelen ofrecer montos muy bajos en un primer contacto, aprovechando que la víctima está asustada y quiere recuperar algo rápido. Una vez que firmás la conformidad, cerrás la puerta al daño moral y al punitivo.

Base legal

• CN art. 42 — Derecho del consumidor a condiciones de trato equitativo y digno; los servicios públicos deben tener calidad y eficiencia. Constitución Nacional
• Ley 24.240, art. 8 bis — Trato digno; prohíbe conductas que avergüencen o perjudiquen al consumidor. Infoleg
• Ley 24.240, art. 52 bis — Daño punitivo: el juez puede imponer una multa civil cuando el proveedor actuó con grave menosprecio por los derechos del consumidor. Infoleg
• BCRA Comunicación “A” 7146 — Proveedores de servicios de pago tienen 20 días hábiles para responder reclamos (régimen PUSF). BCRA

Preguntas frecuentes

¿El banco tiene que devolverme el dinero si caí en una página melliza?

Sí, en la mayoría de los casos. La Justicia reconoce la responsabilidad objetiva del banco por su deber de seguridad en los servicios digitales. Si el banco no puede probar causa ajena o negligencia exclusiva del cliente, debe restituir los fondos más los daños que correspondan.

¿Qué plazo tiene el banco para responder mi reclamo por fraude digital?

20 días hábiles, según el régimen PUSF establecido por la Comunicación “A” 7146 del BCRA. Si vence ese plazo sin respuesta o con un rechazo sin justificación técnica suficiente, tenés base para reclamar ante el Banco Central o accionar judicialmente.

¿El daño punitivo aplica siempre en casos de phishing bancario?

No de forma automática. El art. 52 bis de la Ley 24.240 deja la decisión al juez, que lo aplica cuando considera que el proveedor actuó con grave menosprecio: por ejemplo, negando la restitución sin prueba técnica y obligando al cliente a años de litigio.

¿Qué diferencia hay entre phishing por página melliza y vishing?

En el phishing por página melliza la víctima ingresa sus datos en un sitio web falso que imita al banco. En el vishing (voice phishing) un llamado telefónico simula ser del banco. En ambos casos los tribunales aplican la misma doctrina de responsabilidad objetiva del banco si no acredita causa ajena.

▶ Mirá el video sobre este tema💳 Te llego el resumen de la #tarjeta de #crédito con sorpresa.