El Tribunal de Instancia de Guadix n\u00famero 2 ha condenado a una entidad bancaria a devolver el dinero estafado a un cliente a trav\u00e9s de ‘Smishing’ o SMS fraudulentos por la falta de medidas adecuadas de ciberseguridad por parte del banco.<\/p>\n
El demandante present\u00f3 una demanda contra la entidad por cargos no autorizados en tarjeta y cuenta corriente tras recibir el SMS que simulaba ser del banco, lo que permiti\u00f3 a ciberdelincuentes acceder a la cuenta y realizar m\u00faltiples operaciones fraudulentas. A pesar de que el cliente notific\u00f3 sin demora la situaci\u00f3n y acudi\u00f3 f\u00edsicamente a la oficina bancaria, la entidad demor\u00f3 la respuesta, permitiendo cargos por 2.122,99 \u20ac que no fueron devueltos.<\/p>\n
El tribunal valor\u00f3 las pruebas presentadas, incluyendo el testimonio del demandante y la documentaci\u00f3n aportada por el banco. Se concluy\u00f3 que las operaciones no fueron autorizadas por el demandante y que la entidad bancaria no proporcion\u00f3 pruebas suficientes de que el usuario cometi\u00f3 fraude o negligencia grave.\u00a0 Las pruebas demostraron que se vincularon hasta 4 dispositivos distintos en poco tiempo y se realizaron 24 operaciones fraudulentas, incluyendo compras, transferencias y pagos en efectivo. El banco no explic\u00f3 por qu\u00e9 pudo bloquear 2.500 \u20ac de dos operaciones, pero no devolvi\u00f3 los cargos de tarjeta de cr\u00e9dito por 2.122,99 \u20ac. En consecuencia, el usuario tiene derecho a la rectificaci\u00f3n de los cargos realizados de manera indebida e ileg\u00edtima.<\/p>\n
Adem\u00e1s, se destaca la falta de medidas adecuadas de ciberseguridad por parte del banco, lo que permiti\u00f3 la realizaci\u00f3n de m\u00faltiples transacciones fraudulentas en un corto periodo de tiempo. Se valora que “no se ha aportado por la entidad bancaria sus pol\u00edticas de gobernanza y control de ciberseguridad, su gesti\u00f3n de riesgos, sus medidas de supervisi\u00f3n continua, medidas de detecci\u00f3n r\u00e1pida de anomal\u00edas, las comunicaciones a los clientes en caso de incidente es de ciberseguridad, y sobre todo las pol\u00edticas de la entidad bancaria que limiten el acceso f\u00edsico o l\u00f3gico a los activos de informaci\u00f3n y activos de TIC a lo que sea necesario \u00fanicamente para funciones y actividades leg\u00edtimas y aprobadas, o las pol\u00edticas y protocolos para mecanismos de autenticaci\u00f3n fuerte, basados en est\u00e1ndares pertinentes y sistemas de control espec\u00edficos, y medidas de protecci\u00f3n de las claves criptogr\u00e1ficas mediante las que se cifran los datos en funci\u00f3n de los resultados de los procesos aprobados de clasificaci\u00f3n de datos y evaluaci\u00f3n de riesgos relacionados con las TIC”.<\/p>\n
La sentencia establece un precedente importante sobre la responsabilidad bancaria en casos de ciberataques cuando no se implementan medidas de seguridad adecuadas.<\/p>\n","protected":false},"excerpt":{"rendered":"