La estafa ya no ocurre en la calle: ocurre detrás de una pantalla
La digitalización de los servicios financieros simplificó operaciones que antes requerían concurrir a una sucursal. Sin embargo, esa comodidad también abrió la puerta a nuevas modalidades delictivas.
Entre ellas, el phishing constituye una de las más habituales. Se trata de una técnica de ingeniería social mediante la cual los delincuentes suplantan la identidad de bancos, organismos públicos o empresas para obtener claves, códigos de validación, tokens o datos personales.
Mediante correos electrónicos, mensajes de WhatsApp, SMS, llamadas telefónicas o sitios web falsificados inducen al usuario a entregar información confidencial que luego utilizan para vaciar cuentas, realizar transferencias o solicitar préstamos sin autorización.
Lo importante es comprender que el fraude no se produce únicamente por el engaño al consumidor, sino porque existe un sistema financiero digital que debe estar preparado para detectar operaciones incompatibles con el comportamiento habitual del cliente.
Una verdadera relación de consumo
Durante muchos años existió discusión acerca de si estos conflictos debían resolverse únicamente mediante las normas del derecho bancario.
Hoy la cuestión se encuentra prácticamente superada. Los servicios financieros constituyen una relación de consumo, conforme surge de los arts. 1, 2 y 3 de la Ley 24.240, ya que el banco presta profesionalmente un servicio al consumidor final. Ello implica la aplicación plena del régimen protectorio del consumidor, con interpretación siempre favorable al usuario.
En consecuencia, también resulta aplicable el artículo 40 de la Ley de Defensa del Consumidor, que establece un sistema de responsabilidad objetiva cuando el daño deriva de la prestación del servicio.
¿Por qué responde el banco?
La responsabilidad bancaria no nace porque haya cometido personalmente la estafa, sino porque es quien organiza, administra y obtiene beneficios económicos del sistema digital mediante el cual se produjo el daño.
Las entidades financieras diseñan las aplicaciones, determinan los mecanismos de autenticación, fijan los niveles de seguridad, administran las transferencias inmediatas y autorizan operaciones sensibles.
Si el sistema permite movimientos claramente inusuales -como préstamos instantáneos seguidos de transferencias inmediatas hacia cuentas desconocidas- el riesgo propio de esa actividad recae sobre quien explota profesionalmente el servicio.
Esta es la denominada teoría del riesgo creado, ampliamente utilizada por la jurisprudencia para fundamentar la responsabilidad objetiva de las entidades financieras.
La seguridad informática constituye parte esencial del servicio contratado y no puede trasladarse íntegramente al consumidor.
La “culpa de la víctima” pierde fuerza
Uno de los argumentos más utilizados por las entidades consiste en afirmar que el propio cliente entregó voluntariamente sus claves o códigos de validación.
Sin embargo, los tribunales vienen rechazando cada vez con mayor frecuencia esta defensa. La razón es sencilla: el phishing está precisamente diseñado para engañar al usuario promedio.
Pretender que cualquier consumidor posea conocimientos técnicos equivalentes a los de una entidad financiera significaría desconocer la asimetría informativa, tecnológica y económica existente entre ambas partes.
Por ello, la simple entrega de una contraseña o de un código de seguridad no constituye, por sí sola, una negligencia grave capaz de romper el nexo causal cuando el banco igualmente pudo haber detectado operaciones manifiestamente anómalas. Así lo reflejan recientes precedentes que responsabilizan a las entidades por no haber activado mecanismos eficaces de prevención frente a maniobras fraudulentas.
Las obligaciones impuestas por el Banco Central
Las Comunicaciones A 7199, A 7319 y A 7370 del Banco Central reforzaron las obligaciones de las entidades financieras en materia de prevención del fraude digital.
Estas normas exigen, entre otras medidas:
• autenticación reforzada de identidad;
• monitoreo permanente de operaciones inusuales;
• controles adicionales frente a transacciones de riesgo;
• sistemas de detección temprana de fraudes;
• gestión integral de riesgos tecnológicos;
• procedimientos de respuesta rápida ante incidentes de seguridad.
Estas obligaciones no constituyen simples recomendaciones técnicas: integran el estándar de diligencia profesional exigible a quienes ofrecen servicios financieros digitales.
Cambio de paradigma judicial
La jurisprudencia pasó de analizar exclusivamente la conducta del usuario a examinar el funcionamiento del sistema de seguridad implementado por la entidad financiera.
• La seguridad informática integra el objeto mismo del contrato bancario. El banco no solo presta un servicio financiero, sino que debe garantizar que ese servicio sea seguro. Cuando ofrece home banking o banca móvil, asume el deber de brindar una plataforma razonablemente protegida.
• El riesgo del phishing es un riesgo propio de la actividad bancaria digital. No es un hecho totalmente ajeno o imprevisible, sino un fenómeno conocido y reiterado que las entidades deben contemplar mediante sistemas de prevención, monitoreo y detección temprana.
• La responsabilidad deriva del deber de seguridad. La jurisprudencia entiende que la obligación del banco no termina con permitir el acceso al sistema, sino que comprende prevenir operaciones incompatibles con el perfil habitual del cliente y reaccionar frente a movimientos sospechosos. El consumidor no es un experto en ciberseguridad. Un argumento muy sólido del fallo citado es que el propio informe técnico del banco reconoce que no puede presumirse que los usuarios tengan conocimientos suficientes para identificar maniobras de ingeniería social. Por eso, la simple entrega de credenciales mediante engaño no basta para eximir automáticamente de responsabilidad a la entidad.
La teoría de la “culpa de la víctima” pierde protagonismo. Los tribunales sostienen que el análisis ya no debe centrarse exclusivamente en si el cliente ingresó una clave, sino en si el banco adoptó todas las medidas razonables para impedir que una operación claramente anómala llegara a concretarse.
¿Qué daños puede reclamar el consumidor?
Cuando la estafa ocasiona perjuicios, el consumidor puede reclamar la reparación integral de los daños sufridos, entre ellos:
• restitución del dinero sustraído;
• anulación de préstamos obtenidos fraudulentamente;
• devolución de intereses y cargos;
• daño moral;
• daño patrimonial;
• daño punitivo, cuando corresponda conforme al artículo 52 bis de la Ley de Defensa del Consumidor por conductas particularmente graves del proveedor.
Cada caso deberá analizarse según sus circunstancias, pero la tendencia judicial evidencia una protección creciente hacia el usuario financiero.
Conclusión
Las estafas digitales representan uno de los mayores desafíos del sistema financiero moderno. Sin embargo, la solución jurídica ya no pasa por preguntarse únicamente si el consumidor fue engañado, sino por determinar si la entidad financiera cumplió efectivamente con el deber de seguridad que integra el servicio que comercializa.
En un escenario de creciente sofisticación tecnológica, la protección del consumidor exige reconocer que la seguridad digital no es un servicio accesorio ni una carga trasladable al usuario, sino una obligación esencial de quienes administran plataformas bancarias.
Por tanto, la confianza es el principal activo del sistema bancario, y solo puede sostenerse si las entidades asumen plenamente el deber de brindar entornos seguros y responder cuando esos mecanismos fallan.
“Pantallazo”
Fuentes:
• Ciberestafas y reclamos de consumo. Recuperado en https://www.argentina.gob.ar/sites/default/files/ciberestafas.pdf?utm_source=chatgpt.com
• Lazo, A (09/04/2026) “Fallo inédito: la Justicia establece que los bancos no pueden culpar a un cliente que sufra un fraude digital”. IProfesional. Recuperado en https://www.iprofesional.com/legales/451987-fraudes-digitales-bancos-no-podran-culpar-clientes-asumiran-costo-hackeos?utm_source=chatgpt.com
• Phishing bancario y responsabilidad compartida: la Cámara Comercial declaró nulo un préstamo no solicitado y atribuyó responsabilidad concurrente 50/50 entre el banco y la clienta, manteniendo el daño moral Microjuris.com Argentina (7 enero 2026) MJ-JU-M-157978-AR|MJJ157978|MJJ157978. En https://aldiaargentina.microjuris.com/2026/01/07/fallos-phishing-bancario-y-responsabilidad-compartida-la-camara-comercial-declaro-nulo-un-prestamo-no-solicitado-y-atribuyo-responsabilidad-concurrente-50-50-entre-el-banco-y-la-clienta-manteniendo/
• Petrillo V. “Un tribunal confirmó que el banco es responsable por el vaciamiento de cuentas tras una estafa digital”. Ambito. Recuperado en https://www.ambito.com/politica/un-tribunal-confirmo-que-el-banco-es-responsable-el-vaciamiento-cuentas-una-estafa-digital-n6219443
• Estudio Juridico Mogliani &Asociados: “Los Bancos ya no pueden culpar a un cliente que sufra un fraude digital”. Blog y Novedades. Recuperado en https://www.estudiojuridicomogliani.com.ar/blog/actualidad/los-bancos-ya-no-pueden-culpar-a-un-cliente-que-sufra-un-fraude-digital.html
Discussion about this post