¿Qué es el phishing?

En los fraudes electrónicos, el phishing es tal vez la forma más antigua de robo de identidad. En esta modalidad, por ejemplo, la víctima recibe un correo electrónico de apariencia auténtica que supuestamente proviene del banco del cual es cliente, que le solicita que actualice la información de su cuenta por varias razones que parecen creíbles.

Luego, se le pide que haga clic en un enlace que lo dirige al supuesto sitio web del banco, pero que en realidad lo lleva a uno que se ve exactamente como el del banco, pero que en realidad es fraudulento. Tras completar los campos solicitados, continuará con su vida normal, pero a los pocos días verá que se solicitaron préstamos personales, se adquirieron productos o se solventaron gastos con su nombre.

En este contexto, aunque los usuarios de banca en línea son cada vez más conscientes de lo que es el 'phishing', muchos de ellos siguen siendo víctimas de él.

Pero no se trata de la única modalidad que pueden emplearse para llevar a cabo esta clase de conducta antijurídica. Algunas de ellas son: el skimming -es decir, clonación de la tarjeta-, el mulero informático -esto es, cuando el intermediario financiero despliega un engaño para hacerse de datos ajenos- o el pharming -llevado a cabo mediante el uso de medios informáticos que, con engaños, desvían datos para tomar disposición patrimonial de dinero ajeno-, entre otras maniobras.

¿Qué tipos de phishing existen?

En cuanto al phishing, existen varias formas por las que podríamos ser víctimas de la sustracción de datos y, en consecuencia, perder mucho dinero producto de ello, o bien por el propio descuido del propietario de la tarjeta. Entre ellas:

Phishing de correo electrónico: mensajes que están diseñados para que parezca que provienen de una organización legítima, lo que dificulta su reconocimiento e incluyen un enlace o archivo adjunto malicioso.
Sitios web: parecen sitios reales, pero están diseñados para robar información o entregar malware a los visitantes del sitio.
Telefónico: se llama a una víctima potencial y se la convence que lleve a cabo acciones en su computadora, entregue información personal o confidencial, otorgue a la persona que llama acceso a un sistema o cuenta que de otra manera estaría restringida o envíe dinero.
Smishing: mensajes SMS o por WhatsApp que, por ejemplo, afirman que el destinatario ha ganado un premio. También intentan controlar la cuenta de WhatsApp, convenciendo a la víctima para que entregue un código de verificación necesario para iniciar sesión en una cuenta. Incluye un enlace malicioso que lo conduce a un software malicioso o un sitio web malicioso.
Físico: por ejemplo, cuando alguien finge ser una persona que no es, como un policía, un empleado o un reparador, para obtener acceso a un área restringida o para engañar a las personas para que les den dinero o información.

En la Argentina, el tipo más común es el que realiza por correo electrónico.

En ese contexto, hace pocos meses comenzó a circular una nueva estafa en la que se usa a la Administración Nacional de la Seguridad Social (ANSES) para obtener datos de cuentas bancarias. En este caso se denunció que los delincuentes roban datos de tarjetas de débito y crédito y vacían las cuentas de homebanking de las víctimas mientras se hacen pasar por empleados de la Anses. ¿Cómo lo realizan? A través de engañar a los usuarios para que ejecuten alguna acción que vuelva vulnerable la seguridad de sus cuentas bancarias.

Las prestaciones remotas de servicios bancarios se encuentran bajo la órbita de la responsabilidad del banco, siendo una de las obligaciones esenciales del mismo brindar dichos servicios bajo estrictas normas de seguridad para el cliente.

¿Cómo evitar caer en el phishing?

Los especialistas en seguridad informática aconsejan releer los enlaces enviados por personas desconocidas o sospechosas, y chequear que la conexión sea cifrada mediante HTTPS. Para poder identificar esto último, hay que ver un candado verde donde se encuentra la URL -la barra buscadora del arriba- en el navegador.

Sobre este tipo de hechos, el Banco Central de la República Argentina ha reiterado en su normativa la carga a los bancos de contar con herramientas que otorguen seguridad informática y garanticen confiabilidad en la operatoria, extendiéndose dicha obligación a los canales electrónicos y cajeros automáticos principalmente, los cuales fueron de mayor uso con motivo de la pandemia del COVID-19.

¿Qué hacer si ya caíste?

Esta conducta está tipificado en el inciso 16) del artículo 173 del Código Penal, ubicado en el Capítulo IV (Estafas y otras defraudaciones) del Título VI, que protege el bien jurídico propiedad.

Cuando una persona sufre este tipo de estafa lo primero que se debe hacer es denunciar el hecho. Siempre hay que denunciar, darle intervención a la justicia. Eso ayuda a descubrir qué mecanismos utilizan los delincuentes.

Si existió una transferencia o un débito, es importante poseer las sábanas de los últimos movimientos bancarios, que se solicita en el mismo banco y que detalla números de CBU, días y horarios.

También es relevante guardar las direcciones de páginas web, perfiles de redes sociales, direcciones de correo electrónico, SMS, mensajes de WhatsApp, capturas de pantalla, documento PDF y justificaciones de pago, ya que pueden ser de gran utilidad como elementos probatorios del fraude y ser claves a la hora de realizar la investigación.

No se debe borrar, destruir ni modificar la información que existe en la computadora, equipo móvil, celular, etc, relacionada al hecho ya que mantener la evidencia sin alteraciones es importante a los fines de cualquier acción judicial que pudiera iniciarse.

Se debe hacer la denuncia ante la dependencia policial más cercana a su domicilio (comisaría de tu barrio en cualquier lugar del país) o al fiscal en cibercrimen de la Procuración General de la Nación, Dr. Horacio Azzolin, cibercrimen@mpf.gov.ar, teléfono de contacto, 6089-9000, interno N° 9266.

En la Ciudad de Buenos Aires existe la División Delitos Tecnológicos de la Policía Federal Argentina. Ubicada en Cavia 3350, teléfono 4800-1120/4370-5899. Correo electrónico: delitostecnologicos@policiafederal.gov.ar

Luego, a los fines de resguardar correctamente la prueba, una vez realizada la denuncia, hay que actuar en la forma en que el investigador le indique.

Al mismo tiempo, los damnificados interponen una medida cautelar de no innovar contra la entidad bancaria que les debita los fondos en la que se requiere que se ordene la inmediata suspensión en la afectación de su cuenta de cuotas correspondiente, hasta el resultado de la acción penal que se encuentra tramitando en sede penal.

En jurisprudencia sobre la temática, en el fallo “Bieniauskas, Carlos c/Banco de la Ciudad de Buenos Aires s/ordinario”, por los daños ocasionados a la víctima en un caso de phishing, el Tribunal actuante entendió “evidente que el sistema (software y hardware) que permite operar una red de cajeros automáticos puede ser calificado de cosa riesgosa.

En rigor, esta calificación puede ser asignada, en este punto, al sistema informático que opera las transacciones remotas, sea mediante el denominado home banking, sea por el uso de cajeros automáticos”.

Y agrega: “Todos estos elementos, que revelan una reingeniería en la prestación de los servicios bancarios, un incipiente pero constante cambio cultural hacia el uso de medios informáticos, son trascendentes para interpretar la conducta de las partes y la responsabilidad que sigue frente a un hecho irregular como el aquí analizado. Cabe reparar que el Banco, al ofrecer a sus clientes un nuevo modo de relacionarse con él, debe procurar como mínimo brindarle igual seguridad que si tal operatoria se realizara personalmente”. Además sostiene: “La posibilidad técnica de ‘duplicar’ las tarjetas no solo revela la falibilidad del sistema, y nuevamente su calidad de cosa riesgosa, sino también la irrelevancia de la conducta del actor en el punto”.

En el caso “Corvini, Alfredo Luis c/ BBVA Banco Francés SA s/medida precautoria”, la Sala F de la Cámara Comercial dictó una medida cautelar con efecto retroactivo contra una entidad financiera, que deberá abstenerse de debitar las cuotas de un préstamo personal obtenido de modo fraudulento a un cliente y, además, deberá reintegrar provisoriamente varias de las cuotas debitadas con anterioridad.

En dicho expediente, el actor planteó una revocatoria con apelación en subsidio de la providencia que desestimó la ampliación de la medida innovativa, la que solo había dispuesto cautelarmente el cese del débito de las cuotas del préstamo personal obtenido mediante fraude, pese a que había quedado acreditada documentalmente la percepción de cuotas con posterioridad al inicio de la causa.

Para leer más sobre este tipo de estafas, te invitamos a leer:

EL DELITO DE PHISHING EN CONSUMIDORES BANCARIOS, de la Dra. Vanesa E. Kukva
DETERMINACIÓN DE LA COMPETENCIA EN EL FRAUDE COMETIDO CON TARJETA DE DÉBITO/CRÉDITO: LA MALA APLICACIÓN DE LA TEORÍA DE LA UBICUIDAD, del Dr. Franco Arrieta Cano

Phishing: Aspectos penales, procesales y recomendaciones sobre cómo actuar en estos casos