Una de las respuestas más habituales de las entidades financieras ante un fraude digital es afirmar que la operación fue validada correctamente. Es decir, que se usaron claves, códigos, aplicación móvil, firma digital o algún mecanismo de autenticación.
Pero esa explicación, por sí sola, puede ser insuficiente.
En el entorno actual, el fraude bancario no siempre consiste en romper técnicamente el sistema del banco. Muchas veces se basa en manipular al cliente mediante ingeniería social: mensajes falsos, llamadas que aparentan proceder de la entidad, enlaces clonados, avisos urgentes, amenazas de bloqueo de cuenta o falsas inversiones.
El resultado puede ser una operación aparentemente validada, pero inducida por engaño, dentro de un contexto claramente anómalo.
Aquí es donde la posición del Banco de Pagos Internacionales de Basilea —BPI/BIS— adquiere valor. Sus documentos de 2024 y 2025 sobre inteligencia artificial reflejan que el sistema financiero debe mejorar su capacidad de análisis, supervisión y detección de riesgos. La IA permite identificar patrones, revisar grandes volúmenes de datos, detectar anomalías y reforzar la vigilancia de sistemas de pago.
En un caso de fraude, se debe analizar si hubo autenticación, pero no sólo es relevante si la entidad detectó o pudo detectar señales de alerta. Algunas señales pueden ser especialmente relevantes:
- operaciones fuera del comportamiento habitual del cliente;
- transferencias a beneficiarios nuevos;
- importes inusuales;
- varias operaciones en poco tiempo;
- actividad realizada desde dispositivo, ubicación o canal no habitual;
- movimientos incompatibles con el perfil financiero del usuario;
- reacción tardía tras el aviso del cliente;
- ausencia de bloqueo preventivo;
- respuesta genérica sin análisis individualizado.
La autenticación reforzada es importante, pero no agota la diligencia bancaria. Una operación puede haber superado un mecanismo formal y, aun así, presentar elementos objetivos de riesgo que exigían una reacción adicional.
En LeyCiber trabajamos estos asuntos partiendo de una premisa esencial la entidad financiera debe poder explicar su actuación concreta, no basta con una obviedad, la entidad debe estar en situación de indicar y acreditar qué controles existían, qué alertas se generaron, qué señales se descartaron, qué medidas se adoptaron y por qué permitió la operación.
El cliente, por su parte, debe reclamar con orden. No basta con decir “me han estafado”. Hay que reconstruir cronológicamente los hechos, conservar mensajes, correos, SMS, justificantes, denuncias, respuestas del banco y cualquier evidencia técnica o documental.
La diferencia entre una reclamación débil y una reclamación sólida está en la prueba, la cronología y el enfoque jurídico. El fraude digital se ha sofisticado. La defensa del cliente también debe hacerlo.