El Juzgado de Primera Instancia e Instrucción n.º 2 de Redondela (Pontevedra) ha condenado a BBVA, como proveedor de servicios de pago, a abonar 3.101,25 euros a un cliente que sufrió una suplantación de identidad en su banca online. El ataque se materializó a través de una página web fraudulenta casi idéntica a la oficial de BBVA, donde el cliente introdujo sus claves creyendo operar en un entorno seguro.
¿Qué es el phishing?
El phishing es una técnica de ciberdelincuencia que busca obtener datos privados (claves, contraseñas, tarjetas, códigos SMS) haciéndose pasar por bancos u otras entidades de confianza. Normalmente se inicia con un correo, SMS o enlace que redirige a una web falsa que imita a la de la entidad real y desde la que el delincuente ejecuta operaciones en nombre del usuario.
Elementos clave de la sentencia
En este caso, el cliente aportó pantallazos que demostraban que la página fraudulenta reproducía casi de forma idéntica la estética y estructura de la web de BBVA, lo que hacía muy difícil detectar el engaño para un usuario medio. La sentencia, de 25 de enero de 2022, subraya que el banco no acreditó que la operación se hubiera realizado desde la dirección IP habitual del cliente, ni que éste hubiera actuado con una negligencia grave que rompiera la protección legal de los usuarios de servicios de pago.
Responsabilidad del banco como proveedor de servicios de pago
La jueza parte del régimen de responsabilidad de los proveedores de servicios de pago: en caso de operaciones de pago no autorizadas, la entidad debe devolver el importe al usuario salvo que pruebe que actuó con fraude o negligencia grave. Al no poder demostrar que el cliente facilitó sus datos de forma imprudente ni que la operativa procediera de su entorno habitual, BBVA queda obligado a reintegrar los 3.101,25 euros cargados como consecuencia del ataque de phishing.
Claves prácticas para afectados por phishing
- Guardar siempre los correos, SMS y capturas de pantalla de la web fraudulenta, ya que pueden demostrar el grado de similitud con la página real del banco y la dificultad de detectar el engaño.
- Denunciar de inmediato ante la entidad bancaria y ante las autoridades (policía o guardia civil), aportando extractos, movimientos y toda la documentación posible.
- Recordar que, salvo prueba de negligencia grave del usuario, la normativa de servicios de pago obliga al banco a asumir las operaciones no autorizadas derivadas de una suplantación de identidad.