En minutos, un pirata informático saqueó la cuenta de un comercio de Cipolletti
Fue una operación de hackeo que duró minutos: un pirata informático ingresó a la cuenta bancaria de un comercio de Cipolletti, bloqueó el acceso de sus responsables y saqueó los fondos que tenía, incluyendo la venta de divisas y la obtención de un crédito. Un juzgado civil determinó la responsabilidad del banco, el BBVA, por la falta de seguridad en su sistema. Además, le ordenó la restitución de los depósitos y desconoció la validez del préstamo otorgado por esa vía.
Leé también: El presidente del Banco Central rechazó una intervención para asistir a morosos
Uno de los responsables de la firma, una casa de repuestos y accesorios para el automotor, había ingresado a la plataforma digital para revisar los movimientos y autorizar un pago. De pronto, la computadora se tildó, después mostró un aviso de actualización del sistema. Cuando el comerciante pudo recuperar el acceso a la cuenta, descubrió que el saldo había cambiado.
En cuestión de minutos, el sistema incorporó a un nuevo usuario con perfil de administrador, permitió la contratación de un préstamo digital, concretó la venta de moneda extranjera y autorizó ocho transferencias hacia cuentas que no tenían relación previa con la actividad comercial.
La firma realizó la denuncia penal pero también hizo el reclamo formal ante la sucursal del banco, pero la entidad rechazó la solicitud de restitución. Por esa razón llegaron al juicio en el ámbito civil.
La empresa sostuvo que ninguna persona autorizada prestó consentimiento para esas operaciones y afirmó que el sistema bancario no detectó movimientos que se apartaron de manera evidente del uso habitual de la cuenta.
El descargo del banco
El banco negó su responsabilidad. Señaló que las operaciones se realizaron con credenciales válidas y sostuvo que la custodia de las claves y de los dispositivos de autenticación correspondía a quienes utilizaban el servicio.
La prueba incorporada al expediente permitió reconstruir parte de la secuencia. La pericia contable determinó que las transferencias se concentraron en un período reducido, tuvieron como destino cuentas sin antecedentes de vinculación con la empresa y modificaron de manera sustancial el perfil normal de sus operaciones.
La pericia informática confirmó que la cuenta tenía dos usuarios habituales, cada uno asociado a un dispositivo físico de autenticación. También detectó el alta de un tercer administrador que la firma no reconoció. La creación y la validación de ese usuario quedaron asociadas a conexiones distintas de las que utilizaba la empresa.
El análisis del correo electrónico vinculado con la cuenta tampoco encontró avisos sobre el alta del nuevo administrador, el préstamo, la venta de divisas o las transferencias. En cambio, sí aparecieron mensajes relacionados con operaciones legítimas anteriores.
Qué decidió el juez
La sentencia valoró que BBVA Argentina S.A. no presentó todos los registros técnicos necesarios para explicar cómo se incorporó al nuevo usuario, qué mecanismo de autenticación se utilizó y por qué la secuencia no activó controles adicionales. Tampoco acreditó el envío de alertas, una confirmación por un canal independiente o un bloqueo preventivo antes de la salida de los fondos.
El fallo consideró que el uso aparente de credenciales correctas no bastó para demostrar el consentimiento de la empresa. También señaló que la intervención de terceros constituye un riesgo previsible dentro de la banca digital y que las entidades deben aplicar medidas de monitoreo, alerta y validación ante operaciones inusuales.
La sentencia declaró inoponibles el préstamo, la venta de moneda extranjera y las transferencias respecto de la firma. Esto significa que el banco no puede hacer valer esas operaciones contra la empresa ni exigirle que asuma sus consecuencias. El crédito, los cargos y los registros vinculados con esa contratación no deben afectar su patrimonio ni su situación crediticia.
El fallo también ordenó la restitución de los fondos afectados y dispuso la rectificación de cualquier información desfavorable relacionada con el préstamo. Además, aplicó una multa civil por la magnitud de la operatoria, la falta de una explicación técnica individualizada y la respuesta que la entidad brindó después del reclamo.
La sentencia es de primera instancia y no está firme porque puede ser apelada.