Durante años, las entidades financieras han utilizado una respuesta prefabricada ante las víctimas de smishing y spoofing: «La operación fue autenticada mediante doble factor; por tanto, el usuario entregó sus claves por negligencia grave». Esta postura colocaba sobre los hombros del cliente una responsabilidad desproporcionada frente a ataques de ingeniería social hiperespecializados. Sin embargo, el paradigma judicial ha dado un giro definitivo.
Una sentencia dictada por el Tribunal de Instancia de Xàtiva ha condenado a BBVA a restituir la totalidad de los fondos —7.905 euros— sustraídos a una clienta víctima de una sofisticada estafa mediante suplantación de identidad (spoofing). El fallo, fundamentado en el Real Decreto-ley 19/2018 de servicios de pago, determina con claridad meridiana que la carga de garantizar la seguridad de los canales electrónicos recae de forma imperativa en la entidad bancaria, no en el usuario.
El dictamen marca un hito para la ciberseguridad y el derecho tecnológico en España, no solo por la cuantía recuperada, sino por la intervención decisiva de los peritos judiciales de la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos (ANTPJI), cuyo análisis técnico permitió demostrar la «apariencia de oficialidad» del ataque y la ausencia de negligencia en la conducta de la víctima.
El Análisis Legal: De la Autenticación Técnica a la Responsabilidad Cuasi-Objetiva
El centro neurálgico del conflicto jurídico radica en la interpretación del articulado sobre servicios de pago. Históricamente, las entidades bancarias argumentaban que registrar en sus logs la correcta introducción de la clave SMS o la autorización desde la app eximía automáticamente su responsabilidad. La sentencia de Xàtiva desmonta esta tesis.
El Peso del RD Ley 19/2018
El marco legal aplicable establece un régimen de responsabilidad cuasi-objetiva del proveedor de servicios de pago. Para trasladar las pérdidas al usuario, la entidad financiera no puede limitarse a demostrar que el pago fue ordenado o autenticado electrónicamente. Debe acreditar judicialmente que el cliente actuó de forma fraudulenta o incurrió en una negligencia grave.
En el caso de Xàtiva, la defensa técnica demostró que ser engañado por un ataque que utiliza los propios canales del banco no constituye imprudencia temeraria, sino una consecuencia directa del fallo en los filtros de seguridad del proveedor.
La Trampa del Hilo de SMS Auténtico
El factor diferencial en las estafas modernas de spoofing reside en la suplantación del identificador de texto (SMS Header). Las redes criminales consiguen inyectar sus mensajes maliciosos dentro del mismo hilo de conversación donde el banco envía los códigos auténticos de transferencias previa o alertas de seguridad.
Por qué el Cliente Medio No Puede Detectar el Engaño
- Continuidad del Canal: Si el mensaje fraudulento aparece justo debajo de las notificaciones reales del saldo o transferencias legítimas pasadas, el principio de confianza del usuario queda intacto.
- Llamadas de Refuerzo (Vishing Simultáneo): Los atacantes suelen combinar el SMS engañoso con llamadas telefónicas que suplantan el número real de atención al cliente de la entidad, simulando un protocolo urgente de bloqueo de fraude.
- Falta de Mecanismos de Filtro: Si las telefónicas y las entidades bancarias permiten que terceros emitan mensajes utilizando su etiqueta corporativa sin verificación criptográfica previa, la brecha de seguridad se produce en origen.
El tribunal asume este argumento técnico: ante una «apariencia de oficialidad» perfecta, exigir al ciudadano de a pie un análisis forense de cada cabecera o enlace antes de operar es desproporcionado.
El Rol de la ANTPJI: La Pericia Informática como Llave de la Restitución
La victoria judicial en Xàtiva no fue producto del azar, sino de la construcción de un expediente de prueba digital riguroso donde el dictamen pericial aportado por la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos (ANTPJI) resultó determinante.
Cuando un particular se enfrenta a la maquinaria legal de un gran banco, la mera declaración testimonial es insuficiente. El perito informático adscrito a la ANTPJI actúa desglosando la arquitectura técnica del ataque y demostrando al juez las deficiencias del sistema de defensa del banco.
Los Peritos Judiciales Informáticos de la ANTPJI intervienen en estos procedimientos mediante protocolos científicos consolidados:
- Preservación de la Evidencia Móvil: Extracción forense del teléfono de la víctima mediante herramientas homologadas, generando un duplicado bit a bit protegido con resumen hash (SHA-256). Esto garantiza que los mensajes recibidos, su orden cronológico y sus metadatos no sufren alteración alguna durante el proceso.
- Análisis del Vector de Ataque: Demostración técnica ante el juzgado de cómo se produjo la suplantación (spoofing) del canal del banco, acreditando que la víctima no accedió a una web sospechosa de forma aleatoria, sino inducida por la vulneración del sistema de identificación bancario.
- Auditoría de los Mecanismos de Antifraude: La pericial evalúa si el banco contaba con patrones de detección de operaciones anómalas (por ejemplo, transferencias de alto importe a destinatarios no habituales a horas intempestivas) y si activó las alertas de suspensión previstas por la normativa.
La sentencia del Tribunal de Instancia de Xàtiva marca un antes y un después en el equilibrio de poder entre la banca y los consumidores de servicios digitales. Al determinar de forma contundente que la seguridad electrónica es una obligación inherente a la actividad bancaria, la justicia obliga a las entidades a invertir en tecnologías avanzadas de autenticación previa y filtrado de canales, en lugar de trasladar las pérdidas al usuario final.
Para las víctimas de cibercrimen, el mensaje es claro: las respuestas automáticas de denegación por parte de las entidades bancarias pueden y deben ser combatidas en los tribunales. Con el respaldo de marcos legales garantistas y la intervención de la pericia informática independiente que representa la ANTPJI, es posible desmontar los argumentos de «negligencia grave» y recuperar los fondos sustraídos por la delincuencia digital.
