La AP de Oviedo condena a un banco a pagar a una clienta víctima de una estafa por medio de SMS

La Audiencia Provincial de Oviedo en la sentencia n.º 289/2024, de 28 de mayo, ECLI:ES:APO:2024:1967, ha condenado a un banco a abonar la cuantía de 4.690 euros a una clienta víctima de una estafa de suplantación de identidad realizada a través de un SMS fraudulento.

El Real Decreto Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, en su art. 45 señala que, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá éste el importe de la operación de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine. En su caso, el proveedor de servicios de pago del ordenante restituirá la cuenta de pago en la cual se haya efectuado el adeudo al estado en el que se habría encontrado de no haberse efectuado la operación no autorizada.

El criterio mayoritario de las audiencias es que «la legislación de protección de servicios de pago (RDL 19/2018) establece un sistema de responsabilidad cuasiobjetiva de la entidad o proveedor de pagos, que deriva del incumplimiento por su parte de los deber de diligencia en la garantía de operaciones de pago, implementando todos los mecanismos y controles de autenticación necesarios, incluido dotarse de tecnología "antiphising" para proteger al cliente de este tipo de ataques fraudulentos y (ii) la entidad solo puede liberarse de tal responsabilidad si prueba que la orden de pago no se vio afectada por "un fallo técnico u otra deficiencia del servicio prestado por dicho proveedor", que el cliente ha actuado fraudulentamente o con negligencia grave a la hora de aplicar los medios razonables de protección de que haya sido provisto o cuando no haya comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo».

En el caso de la resolución la Audiencia destaca que la notificación sobre la necesidad de una intervención en la cuenta corriente partía de un SMS que remitía a una página Web con una apariencia idéntica a la de la entidad financiera, aunque en realidad se trataba de una página clonada de la original, de tal forma que la clienta no tuvo motivo para sospechar que no estaba en un lugar seguro.

El medio empleado se trataba de una estratagema y escenario bien construidos para inducir el error en la clienta siendo la única forma de no caer mediante conocimientos avanzados. Por tanto, la Audiencia considera que la sentencia de primera instancia acierta cuando concluye que no se ha probado que la clienta incurriera en negligencia grave, por más que gracias a la contestación a esa comunicación al cual el hacker hubiera obtenido la OTP con la que consumó la estafa.