Mientras operaba en el home banking, una supuesta falla bloqueó sus accesos y permitió transferencias millonarias en minutos. La Justicia intervino.
Una empresa de repuestos y accesorios para el automotor de Cipolletti fue víctima de un fraude bancario que vació su cuenta corporativa en cuestión de minutos, mediante maniobras digitales que la firma nunca autorizó.
El hecho ocurrió durante una operación bancaria de rutina. Un responsable de la firma ingresó a la plataforma digital de BBVA Argentina para revisar movimientos y autorizar un pago habitual dentro de la actividad comercial cotidiana.
Poco después, la pantalla quedó azul y mostró un aviso de actualización del sistema. Al intentar recuperar el acceso, el empleado descubrió que el saldo de la cuenta había cambiado de forma abrupta, sin ninguna operación previa reconocida por la empresa.
En pocos minutos, la cuenta registró movimientos que la firma desconoció por completo. El sistema incorporó un nuevo usuario con perfil de administrador, sin que nadie de la empresa lo hubiera solicitado ni autorizado en ningún momento.
A partir de ese acceso irregular, se concretó la contratación de un préstamo digital y la venta de moneda extranjera. Además, se ejecutaron ocho transferencias hacia cuentas que no tenían relación previa alguna con la actividad comercial habitual de la firma.
El responsable de la empresa acudió de inmediato a la sucursal para comunicar lo ocurrido y solicitar el bloqueo de todos los accesos digitales vinculados a la cuenta corporativa afectada.
BBVA Argentina S.A. activó su protocolo antifraude e indicó que correspondía radicar una denuncia penal. La firma también presentó un reclamo formal, pero la entidad bancaria rechazó la solicitud de restitución de los fondos sustraídos.
La empresa sostuvo en la causa que ninguna persona autorizada prestó consentimiento para esas operaciones. Afirmó también que el sistema bancario no detectó movimientos que se apartaban claramente del uso habitual de la cuenta.
El banco, por su parte, negó responsabilidad. Argumentó que las operaciones se realizaron con credenciales válidas y que la custodia de claves y dispositivos de autenticación correspondía exclusivamente a quienes utilizaban el servicio digital.
La pericia contable determinó que las transferencias se concentraron en un período reducido, tuvieron como destino cuentas sin antecedentes de vinculación y modificaron sustancialmente el perfil normal de operaciones de la empresa.
La pericia informática confirmó que la cuenta tenía dos usuarios habituales, cada uno con su dispositivo físico de autenticación. También detectó el alta de un tercer administrador que la firma nunca reconoció como propio.
El análisis del correo electrónico vinculado a la cuenta no encontró avisos sobre el nuevo administrador, el préstamo, la venta de divisas ni las transferencias. Sí aparecieron mensajes de operaciones legítimas anteriores, lo que reforzó la versión de la empresa.
La sentencia valoró que BBVA Argentina S.A. no presentó los registros técnicos necesarios para explicar cómo se incorporó al nuevo usuario ni qué mecanismo de autenticación se empleó en ese proceso.
Tampoco acreditó el envío de alertas, una confirmación por canal independiente o un bloqueo preventivo antes de que los fondos salieran de la cuenta. El fallo consideró insuficiente el uso de credenciales correctas como prueba de consentimiento.
La Justicia declaró inoponibles el préstamo, la venta de moneda extranjera y las transferencias respecto de la empresa afectada, lo que impide al banco exigirle que asuma esas consecuencias económicas.
También ordenó la restitución de los fondos sustraídos y la rectificación de cualquier información desfavorable vinculada al préstamo. Se aplicó además una multa civil por la magnitud del hecho y la respuesta insuficiente de la entidad.
La resolución corresponde a primera instancia y todavía no se encuentra firme, ya que las partes conservan la posibilidad de apelar la decisión judicial.