Actualmente, el reto jurídico ante el phising consiste en adaptar las reglas de responsabilidad a la nueva realidad tecnológica, con especial referencia al uso inadecuado de la IA
No basta con preguntar si el consumidor introdujo una clave o confirmó una operación, sino que hay que determinar qué circunstancias rodearon esa actuación, qué mecanismos de prevención existían y qué podía exigirse razonablemente a cada uno de los actores implicados
Si la tecnología consigue que una operación fraudulenta parezca legítima, la respuesta tampoco puede limitarse a comprobar quién pulsó el último botón, más bien la protección efectiva del consumidor exige determinar quién estaba en mejores condiciones para prevenir el fraude y si finalmente se produce, quién debe asumir razonablemente sus consecuencias
El phishing se ha asociado a un intento de fraude estafa a través de las tecnologías de comunicación e información. Concretamente, a través de correos sospechosos, enlaces fraudulentos o mensajes destinados a obtener las credenciales del usuario.
Comúnmente, se acepta que el phishing es una técnica de ingeniería social en la que un ciberdelincuente suplanta la identidad de una empresa, banco, red social o institución de confianza para engañar a la víctima y robarle datos sensibles (contraseñas, números de tarjeta, documentos) o infectar su dispositivo.
Actualmente, el fraude con tecnología digital ha evolucionado hacia técnicas mucho más sofisticadas, capaces de conseguir que el propio usuario realice una actuación, aparentemente legítima, que finaliza facilitando la operación fraudulenta.
Existen falsos CAPTCHA, que imitan las típicas pruebas de «No soy un robot» para engañar a los usuarios y lograr que ejecuten comandos maliciosos o descarguen virus en su ordenador, son solo uno de los ejemplos más recientes de esta transformación.
Expertos juristas sostienen que este nuevo escenario tecnológicamente fraudulento plantea una cuestión relevante: ¿Quién debe asumir las consecuencias económicas cuando el consumidor interviene en una operación fraudulenta sin ser consciente de que está facilitando el fraude?
Especial trascendencia adquiere este tipo de fraude cuando termina materializándose en una operación bancaria.
La normativa europea de servicios de pago establece un régimen específico para las operaciones no autorizadas y el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, contempla la obligación del proveedor de servicios de pago de reembolsar las operaciones no autorizadas, salvo en los supuestos previstos legalmente, así como el régimen aplicable cuando exista actuación fraudulenta o negligencia grave del usuario.
Que una operación haya sido autenticada no significa necesariamente que el consumidor haya querido realizarla, del mismo modo que el hecho de que haya intervenido materialmente en el proceso no permite concluir automáticamente que haya actuado con negligencia grave.
Esta distinción resulta especialmente importante en los supuestos de ingeniería social.
Un consumidor puede introducir sus credenciales porque cree estar accediendo a la aplicación de su banco, proporcionar un código porque piensa que está validando una actuación solicitada por la entidad o seguir unas instrucciones porque considera que está solucionando un problema de seguridad.
Desde el punto de vista técnico, ha intervenido en la operación.
Desde el punto de vista jurídico, sin embargo, sigue siendo necesario determinar qué quiso realmente hacer y en qué circunstancias actuó.
Según los juristas, la autenticación de una operación no debería convertirse, por sí sola, en una prueba irrefutable de consentimiento ni la intervención del usuario en el proceso debería conducir automáticamente a apreciar negligencia grave.
La diligencia exigible debe valorarse atendiendo a las circunstancias concretas del fraude y al nivel de sofisticación empleado para cometerlo.
No es lo mismo ignorar deliberadamente una advertencia clara de su entidad financiera que encontrarse ante una situación diseñada para aparentar normalidad y decide seguir unas instrucciones que considera legítimas, además de considerar otras circunstancias como que se encuentre ante una operación bancaria inusual, compleja o si existen o no alertas específicas y controles activados.
La prevención del fraude no puede descansar exclusivamente sobre el consumidor.
Las entidades financieras disponen de información y herramientas tecnológicas que les permiten identificar determinados comportamientos anómalos.
Por ello, las medidas de seguridad no deberían limitarse a cumplir formalmente con una obligación de autenticación.
Ante el avance del fraude tecnológico, parece necesario contrarrestarlo con mecanismos capaces de detectar operaciones potencialmente fraudulentas, generando alertas útiles para el usuario.
En ese sentido, parece ser esencial reforzar la trazabilidad de las operaciones. Cuando existe una controversia sobre un fraude, no debería bastar con acreditar que se utilizó un determinado elemento de autenticación.
Ahí entra en juega la funcionalidad técnica para poder reconstruir qué ocurrió exactamente, intentando acopiar la información recibida por el usuario, advertencias al usuario, controles de seguridad activados, circunstancias de la operación y los motivos sobre los que se basa la legitamación inicial.
La falta de medios por parte del consumidor engañado es otra cuestión a tener en cuenta, encontrándose en una posición muy difícil para acreditar cómo se desarrolló técnicamente el fraude, porque, normalmente, la información sobre los mecanismos de autenticación, las alertas generadas o los controles aplicados son los que la entidad financiera, que es la proveedora del servicio, ha considera más oportunos para evitar estas prácticas fraudulentas.
Ante estas prácticas fraudulentas, digamos, avanzadas, la Unión Europea, como responsable y supervisora del sistema bancario europeo, ha de entrar de lleno.
Parece que el debate parlamentario en la UE va hacia estos parámetros al pretender adaptar el marco de los servicios de pago a las nuevas modalidades de fraude, debiendo reforzarse las medidas de prevención.
La reforma contempla nuevas herramientas para combatir el fraude y una mayor cooperación entre los distintos actores implicados en el ecosistema de pagos.
La orientación es significativa porque reconoce una realidad social: La prevención del fraude digital ya no depende exclusivamente de que el consumidor sepa reconocer un mensaje sospechoso. Bancos, proveedores de servicios de pago y otros operadores disponen de herramientas capaces de detectar patrones anómalos y operaciones potencialmente fraudulentas.
No se trata de trasladar automáticamente el coste del fraude a las entidades, pero tampoco de convertir al consumidor en la primera y última barrera de seguridad de un sistema tecnológico cada vez más complejo, como por ejemplo las potencialidades de la IA para engañar a los consumidores inermes tecnológicamente.
En definitiva, el estándar de diligencia exigible al consumidor no puede permanecer ajeno a la evolución de las técnicas de fraude. Exigirle que detecte por sí mismo engaños cada vez más sofisticados supondría trasladarle una carga de prevención que no siempre se corresponde con sus posibilidades reales.
