Un juzgado comercial de la Capital Federal condenó solidariamente a Telecom Argentina y al Banco Supervielle a indemnizar con $26 millones a un cliente víctima de la estafa conocida como ‘SIM Swapping’. El fallo responsabiliza a ambas empresas por fallas de seguridad.
En una sentencia que protege a los usuarios financieros, un juzgado comercial de la Capital Federal condenó de manera solidaria a Telecom Argentina y al Banco Supervielle a indemnizar con $26 millones a un cliente al que le sustrajeron un millón de su cuenta mediante la estafa conocida como ‘SIM Swapping’. El fallo del juez Diego Paz Saravia establece que este tipo de maniobra no es un riesgo que el usuario deba soportar solo, sino que las empresas no pueden trasladar sus fallas de seguridad a la parte más débil de la cadena: el consumidor.
El hecho ocurrió el 25 de junio de 2022, cuando W. M. realizó varias operaciones con su tarjeta de débito. A las 13 efectuó una extracción de $9.500 en un cajero de Avenida San Martín y poco después hizo varias compras. Sin embargo, a las 19:30, la misma tarjeta fue rechazada en un local de Ramos Mejía. Tras realizar una consulta con el banco, descubrió que en ese ínterin y en solo cinco minutos se habían ejecutado tres transferencias (dos por $500.000 y una por $77.000) a un destinatario desconocido para él, con cuenta en Brubank.
El cliente efectuó la denuncia policial contra la entidad bancaria, pero dos días después descubrió que los estafadores habían podido realizar la maniobra a través de su teléfono: Telecom (‘Personal’) había procesado un cambio de titularidad de su línea a favor de un tercero sin su autorización. Según surge del fallo, al tomar control del número de teléfono del cliente, los estafadores pudieron recibir los códigos de validación (SMS Token) que el Banco Supervielle utilizaba para autorizar operaciones, logrando así vulnerar el sistema de homebanking y vaciar la cuenta.
Al analizar los hechos, el magistrado rechazó los intentos de ambas empresas de deslindar responsabilidad. Telecom Argentina S.A. planteó una ‘excepción de falta de legitimación pasiva’, alegando que solo proveen conectividad y son ajenos a la relación banco-cliente, y sostuvo que el fraude fue un ‘hecho de un tercero’ por el cual no debían responder. Por su parte, el Banco Supervielle argumentó que el sistema funcionó ‘correctamente’ porque el ingreso fue con usuario y clave correctos y se validó con el SMS Token enviado al teléfono registrado. Los abogados de la entidad intentaron culpar al cliente por una supuesta ‘conducta imprudente’ al facilitar sus datos o a la telefónica por permitir el cambio de SIM.
La empresa de telefonía fue hallada responsable por permitir el cambio de titularidad de la línea y la emisión de un nuevo chip sin verificar adecuadamente la identidad del solicitante. El fallo resalta que esta negligencia fue la ‘llave’ que permitió el fraude. En tanto, sobre la entidad bancaria, el juez determinó que falló en sus deberes de seguridad al no detectar una operatoria manifiestamente inusual: transferencias de montos elevados, sucesivas y realizadas desde una dirección IP radicada en el extranjero. El juez enfatizó que el banco no adoptó medidas eficaces para bloquear transacciones que se apartaban del perfil habitual del cliente.
Un dictamen pericial informático confirmó que el ‘intruso’ conocía los mecanismos de validación de la operadora telefónica para autorizar el reemplazo de la tarjeta SIM. Al tener el nuevo chip, el estafador recibió los códigos de autenticación (2FA) y, con la contraseña de acceso, vació la cuenta. Un detalle técnico crucial que el banco omitió detectar: las transacciones se realizaron desde una dirección IP radicada en la República de Chile. El juez señaló que esta atipicidad (monto elevado, reiteración y origen extranjero) debió haber activado bloqueos preventivos automáticos que el banco no ejecutó.
La sentencia encuadró el caso bajo la Ley de Defensa del Consumidor, aplicando un estándar de responsabilidad objetiva y agravada para ambas firmas. ‘La imposición de la multa civil busca no solo reparar el daño individual, sino funcionar como un incentivo para que las grandes corporaciones inviertan en mecanismos de prevención reales en lugar de internalizar el costo de los fraudes como un simple riesgo del negocio’, remarcó la resolución.