Las estafas basadas en la suplantación de la identidad de directivos de empresas, conocidas habitualmente como fraude del CEO, continúan generando importantes pérdidas económicas y planteando nuevos retos en materia de seguridad bancaria y responsabilidad de las entidades financieras.
Una reciente resolución de un juzgado de Barcelona ha considerado responsable a una entidad bancaria de las consecuencias económicas derivadas de uno de estos fraudes y le ha obligado a restituir 900.000 euros a la empresa perjudicada.
Una sofisticada suplantación del máximo responsable de la compañía
Los hechos se iniciaron cuando los responsables de una empresa recibieron una comunicación que aparentaba proceder del máximo directivo de la compañía. Los estafadores habían conseguido suplantar su identidad, utilizando técnicas destinadas a reproducir tanto su voz como sus comunicaciones habituales.
A través de esta estrategia, los delincuentes lograron convencer a varios empleados de que debían realizar con carácter urgente una transferencia bancaria de elevada cuantía.
Para reforzar el engaño, los responsables del fraude utilizaron también correos electrónicos falsificados y se hicieron pasar por profesionales externos vinculados a la empresa. De esta forma, fueron proporcionando a los trabajadores instrucciones aparentemente legítimas para ejecutar la operación.
La transferencia, por importe de 900.000 euros, terminó siendo dirigida a una cuenta situada en Portugal.
La actuación de la entidad bancaria, en el centro del procedimiento
Uno de los aspectos más relevantes de la resolución es el análisis de la actuación de la entidad financiera.
El juzgado considera que la empresa víctima no incurrió en una conducta negligente que permita trasladarle íntegramente las consecuencias del fraude. Por el contrario, entiende que determinadas circunstancias de la operación debieron haber generado alertas o, al menos, justificar una actuación adicional por parte del banco.
La sentencia pone el foco en la obligación de las entidades financieras de disponer de mecanismos adecuados para detectar operaciones que puedan presentar características anómalas, especialmente cuando se trata de movimientos de elevada cuantía.
En este caso, además, los empleados de la compañía siguieron realizando las transferencias con normalidad y, según recoge la resolución, la entidad no habría activado mecanismos suficientes de comprobación ante una operación de características especialmente singulares.
El fraude del CEO y los nuevos riesgos de la digitalización
El denominado fraude del CEO se caracteriza por la utilización de técnicas de ingeniería social para hacerse pasar por una persona con autoridad dentro de una organización, normalmente un administrador, director general o responsable financiero.
El objetivo es conseguir que un empleado, convencido de estar siguiendo instrucciones legítimas, autorice una transferencia o facilite información que permita ejecutar el fraude.
La creciente sofisticación tecnológica ha incrementado el riesgo de este tipo de delitos. La utilización de técnicas de manipulación de voz, correos electrónicos falsificados y otros mecanismos de suplantación hace que determinadas operaciones fraudulentas puedan resultar especialmente difíciles de identificar para los empleados.
Precisamente por ello, la resolución considera relevante valorar el contexto en el que se produjo la operación y no limitar el análisis exclusivamente a si el trabajador siguió o no las instrucciones recibidas.
¿Quién responde cuando una transferencia es consecuencia de una estafa?
La cuestión de la responsabilidad en este tipo de fraudes no siempre tiene una respuesta automática. Es necesario analizar las circunstancias concretas de cada operación, la actuación de la empresa, las medidas de seguridad existentes y la conducta desplegada por la entidad bancaria.
La normativa sobre servicios de pago establece obligaciones tanto para los usuarios como para los proveedores de servicios de pago en materia de seguridad y autorización de operaciones.
Por ello, ante una transferencia fraudulenta, resulta especialmente importante determinar, entre otras cuestiones:
- Si la operación fue realmente autorizada por el cliente.
- Qué mecanismos de autenticación y seguridad se utilizaron.
- Si la operación presentaba características anómalas.
- Si la entidad bancaria disponía de información suficiente para detectar un posible fraude.
- Qué medidas adoptó el banco una vez comunicada la incidencia.
- Si puede apreciarse negligencia grave por parte del cliente.
La existencia de una orden de transferencia realizada aparentemente por un empleado no implica necesariamente que la empresa deba asumir automáticamente el perjuicio económico.
Una resolución relevante para las empresas
El caso pone de manifiesto la importancia de reforzar los protocolos internos de seguridad de las empresas, especialmente en aquellas organizaciones que gestionan transferencias de elevado importe.
También evidencia que la lucha contra el fraude digital no puede depender exclusivamente de los mecanismos de seguridad internos de las compañías. La colaboración entre empresas y entidades financieras resulta esencial para detectar operaciones sospechosas y evitar que una transferencia fraudulenta llegue a ejecutarse.
En definitiva, esta resolución constituye un nuevo ejemplo de cómo los tribunales están analizando la responsabilidad de las entidades bancarias ante fraudes cometidos mediante técnicas de suplantación e ingeniería social, atendiendo a las circunstancias concretas de cada caso y al nivel de diligencia exigible a las partes.
Ante una estafa bancaria, es fundamental actuar con rapidez, comunicar inmediatamente la operación a la entidad financiera, recopilar todas las pruebas disponibles y valorar las posibles vías de reclamación.
En función de las circunstancias, puede ser necesario analizar la responsabilidad tanto del usuario como de la entidad bancaria y determinar si procede reclamar la restitución de las cantidades defraudadas.
