Volver a página de inicio

PRIMERO.- Como datos objetivos en los que no existe discusión entre las partes tenemos los siguientes:

a .-La actora, IASU, es una empresa dedica a la ingeniera del agua dedicada al sector de la desalación y que tiene clientes en varios países.

b .- Con fecha 16.01.2013 suscribió un contrato con la entidad demandada de apertura de cuenta personal y depósito a plazo en USD.Es la cuenta 000.Lo que se dice en la demanda es que la razón de ser de dicha apertura es por una relación comercial que se iba a mantener con Arabia Saudí. Que una vez cumplida dicha finalidad estuvo esperando, por recomendación de la parte demandada, a que el cambio USD-Euros fuera lo más ventajoso posible para proceder a su conversión.

c .-A mediados de noviembre de 2.015 se produjo un fraude informático mediante el hacker o ataque por terceros no autorizados de su cuenta de correo electrónico.

d .-Derivado de esa situación la entidad bancaria recibió el 16.11.2015 un correo electrónico, aparentemente emitido por la actora, en la que se daba orden de la realización de una transferencia por valor de 55.000 USD y desde la cuenta citada a una cuenta se encuentra en China. Esta transferencia fue realizada por la entidad bancaria sin realizar ninguna otra comprobación.

e .-El día 18.11.2015 la entidad Banco de Santander recibe un correo de las mismas características en la que se daba la orden de la realización de una transferencia por importe ahora de 120.000 USD con destino a una cuenta, distinta de la del anterior correo, también ubicada en China. La transferencia es igualmente realizada.

f .- El día de 19.11.2015 se recibe en la entidad bancaria otros dos nuevos correos por el que se solicitaba otras dos nuevas transferencias. Ante esa situación y debido a la inexistencia de fondos, la parte demandada se pone en contacto con la parte actora y esta le manifiesta que ella no ha emitido ninguno de los correos y que por lo tanto se trata de un fraude

En definitiva, lo que se alega es la existencia de unas transferencias no autorizadas y lo que se reclama del Banco es la restitución de sus importes.

La entidad bancaria se opone. No pone en duda, así se manifiesta en el momento de la audiencia previa, la existencia del fraude que se ha cometido mediante el acceso por terceros al correo de la actora. Dice que tan pronto tuvo conocimiento de la existencia de ese fraude llevó a cabo las actuaciones precisas para dejar sin efecto las transferencias, cosa que no se ha podido conseguir, y que, por último, no ha existido incumplimiento de las obligaciones por su parte.

Hay que destacar que por lo que se refiere a la solicitud de suspensión por prejudicialidad penal, la cuestión fue resulta en el momento de la audiencia previa.

La razón fundamental es ni se cumplen los requisitos del artículo 40 de la LEC (LA LEY 58/2000) , ni del art.114 de la LECr (LA LEY 1/1882) .

Reconocido la existencia del frade informático, las diligencias penales no son obstáculo alguno para determinar la falta de diligencia de la actuación de la parte demandada que es el objeto de este procedimiento.

SEGUNDO.- Centrados de este modo los términos del debate hemos de partir de la existencia de un contrato de cuenta corriente entre las partes y en las que la demandada asume la función de custodia, así como de proceder al cumplimiento de las órdenes que le son dadas por la actora.

Por lo que se refiere a esta ordenes lo que de modo claro se establece en el apartado 3.2 de las condiciones generales suscritas es que los pagos que haga el Banco estará motivados por las órdenes del titular y el Banco "...no atenderá aquellas órdenes de pago cuya firma o restantes menciones no le ofrezcan garantía de autenticidad por cualquier causa ".

Por lo que se refiere a este tipo de contrato y como establece la Sentencia de la A.P. de Murcia de 11.12.2017 el mismo se encuadra dentro de la figura de la comisión mercantil, tal como recuerdan las SSTS de de 15 de julio de 1993 , de 19 de diciembre de 1995 o de 9 de octubre de 1997 , por lo que en definitiva pertenece al que pudiéramos llamar "género del mandato": una relación gestora, un contrato de gestión, en utilidad del cliente que implica un servicio (un facere útil, caracterizado por la alienidad del resultado) por cuyo desarrollo la entidad bancaria o financiera percibe una remuneración ( SAP Valencia (11ª) de 31 de marzo de 2017 ). Por su parte la STS de 15 de julio de 1988 señala que "... el contrato de cuenta corriente comporta servicio de caja y contabilidad por la autoridad bancaria en régimen de continuidad, sobre la base de relación de confianza cimentada en principios de buena fe ( art. 1.258 CC (LA LEY 1/1889) y 57 CCOM ), y con deber de lealtad, información y prevención, así como de diligencia exigible a la entidad dedicada al tráfico bancario. La diligencia exigible en ese caso no es la de un buen padre de familia, sino la que corresponde a la demandada como Banco, comerciante experto que, normalmente, ejerce funciones de depósito y comisión, por lo cual, según establecen los art. 255 (LA LEY 1/1885) y 307 CCOM (LA LEY 1/1885) , se le exige un cuidado especial en estas funciones, sobre todo si se tiene en cuenta que las entidades bancarias encuentran una buena parte de su justo lucro en tales cometidos ".

Junto con lo anterior se ha de tener en cuenta la Ley 16/2009, de 13 de noviembre (LA LEY 20029/2009), de servicios de pago, una de cuyas finalidades es, de conformidad con lo establecido en la EM, contribuir al reforzamiento y protección de los derechos de los usuarios de los servicios de pago.

Con relación a esta normativa y respecto a la transparencia de las condiciones y los requisitos de información aplicables a los servicios de pago, lo que se establece en el artículo 18 es que el proveedor de servicios de pago facilitará al usuario de servicios de pago, de un modo fácilmente accesible para él, toda la información y condiciones relativas a la prestación de los servicios de pago que en desarrollo de esa Ley se fijen. Por otro lado, y en el art.20 se dice que la carga de la prueba del cumplimiento de los requisitos en materia de información recaerá sobre el proveedor de servicios de pago.

Por lo que se refiere al aspecto concreto de las operaciones no autorizadas, de conformidad con lo establecido en los artículos 29 a 32 de la citada Ley, resulta que el Banco debe devolver de inmediato el importe de la operación no autorizada, o, en su caso, restablecer en la cuenta de pago en que se haya adeudado dicho importe el estado que habría existido de no haberse efectuado la operación de pago no autorizado.

El régimen establecido por la Ley expuesta ha sido calificado, como más recientes la Sentencias de la A.P. de Madrid de 21.12.2017 ó Baleares de 15.01.2018 , como de una responsabilidad cuasi objetiva y con inversión de la carga de la prueba, y ello por cuanto se presume la falta de autorización, si el titular lo niega, como ocurre en el presente supuesto.

Este sistema de responsabilidad civil tan solo cesa cuando ,de acuerdo con lo dispuesto en el art.32 de la ley ,el cliente ha actuado fraudulentamente o con negligencia grave a la hora de aplicar los medios razonables de protección de seguridad personalizados de que haya sido provisto, o en el caso de que no haya comunicado a la entidad el pago no autorizado, en cuanto tenga conocimiento del mismo, siempre y cuando la entidad disponga de un sistema de comunicación adecuado, gratuito y disponible, en todo momento, que le permita al usuario del servicio efectuar la comunicación de la actuación fraudulenta.

TERCERO.- Partiendo de la normativa expuesta, de la existencia del fraude informático no existe duda alguna. Como se ha dicho se reconoce expresamente en el acto de la audiencia previa.

Tampoco existe duda con relación a la comunicación que la parte actora realiza a la entidad bancaria tan pronto tuvo conocimiento de la existencia de la operación no autorizada.

Por lo que se refiere a la existencia de una actuación fraudulenta, no existe el más mínimo atisbo.

Por último y respecto del incumplimiento deliberado o por negligencia grave, de una o varias de sus obligaciones por la actora, con arreglo al artículo 27 de la Ley citada, toda la prueba practicada apunta en sentido contrario.

Constan dos informes periciales. Prescindiendo del primero de ellos, por el evidente interés que tiene en el asunto su autor, lo cierto es que el suscrito por el Ingeniero en Informática Sr Francisco reúne todos los requisitos a los que se refiere el art.335 de la LEC .El autor ha comparecido en el acto de la vista y se ratifica en el mismo. Lo que establece es que en el momento en que se produjeron los hechos se cumplía por la empresa la legislación obligatorio de la LOPD (LA LEY 4633/1999); tenía los antivirus activos y actualizados; se encontraban también activas las actualizaciones automáticas de Windows; la empresa disponía de un cortafuego Fornitet que ofrece una protección integral de seguridad contra todo tipo de amenazas y que se realizaban adecuadamente copias de seguridad de los datos a los que solo podía acceder determinados empleados ,atendiendo a la directiva de seguridad implantada previamente ,donde se establecen diferentes permisos según el perfil del usuario. En base a ello llega a la conclusión que la empresa tenía un nivel de seguridad razonable en el año 2015, teniendo en cuenta el tamaño y las características de la empresa.

Los datos anteriores no son contrarrestados por la parte demandada mediante la proposición de otra pericial y la carga de la prueba del aspecto que analizamos le corresponde a ella.

Por lo expuesto se ha de rechazar la posibilidad de la existencia de un incumplimiento deliberado o negligencia grave por parte de la actora.

CUARTO.- Junto con lo expuesto se ha de analizar la actuación de la entidad demandada.

Debemos poner de relieve una serie de datos, como son:

a .-Cuando se producen las actuaciones fraudulentas la operativa bancaria de la actora lo era a través de la banca electrónica, online. Única y exclusivamente por motivos concretos y en momentos puntuales se siguió llevando a cabo la autorización de alguna orden mediante la remisión por mail de las autorizaciones. En tal supuesto dicha actuación era precedida de conversaciones telefónicas entre la actora y el encargado por parte del Banco.

Que lo anterior es así lo acredita la testifical del empleado Sr Armando que era el gestor de la cuenta de la actora.

b .-Los correos fraudulentos que nos ocupan no fueron precedidos de ninguna conversación previa entre la actora y los empleados de la entidad financiera. No lo hubo ni de modo previo, ni se efectuó llamada alguna de confirmación, cuando los correos llegaron a la entidad financiera y ello a pesar que en todos los casos anteriores jamás se había actuado de esa manera. Nunca se había efectuado una transferencia por esa vía sin contactar antes telefónicamente.

c .- Los correos fraudulentos reunían una serie de características que deberían haber hecho adoptar algún tipo de prevención. Nos debemos centrar sobre todo en el primero de ellos, el que se recibe en el banco el 16 de noviembre de 2016 (documento 6 bis)

Podemos destacar los siguientes aspectos:

c1 .-Se hace referencia a una numeración de RUT. Se trata, al parecer, de un número de identificación fiscal tan solo operativo para Chile. Que lo anterior es así lo confirman los empleados de la entidad financiera. En consonancia con lo anterior en el correo se dice que "Te adjunto la orden de transferencia en dólares a Isasur Chile..." , sin embargo, según la orden que se acompaña, ni el beneficiario es "Isasur Chile...", y el lugar de destino es China.

El asunto al que se refiere es correo es "Re: TRANSFERENCIA CHILE" y no, como sería lo lógico, Transferencia China

Es decir, existe una contradicción total o una falta de correlación entre el correo y la orden de transferencia adjunta.

Lo que se dice por la empleada de la entidad bancaria que atendió la transferencia es que no cayó en dichos detalles.

c2 .-En el correo en el que se ordena la transferencia aparece una conversación de un correo de fecha 23 de Julio de 2015 y en el que una empleada de la actora comunicaba a la empleada de la entidad demandada una serie de aspectos con relación a una transferencia a Chile. Lo anterior tiene su origen en que la persona que llevó a cabo el fraude lo que hizo fue utilizar correos ya enviados con anterioridad alterando el beneficiario y la fecha.

Este dato, por anormal, tampoco despierta la más mínima prevención en la parte demandada. Tampoco se le dio importancia a dicha circunstancia.

Lo que se dice por los empleados es que puede ocurrir que, por las prisas, se utilicen correos de otras conversaciones para mandar alguna orden que nada tenía que ver con el asunto original. Lo anterior puede ser cierto, pero como reconoce el empleado del Banco y gestor de la cuenta de la actora, ese nunca fue el proceder de la entidad IASUR

c3 .-Si se observa el tipo de letras de las órdenes de transferencias, las mismas son distintas. El tipo de letra que aparece para el ordenante no es el mismo tipo de letra que aparece para el beneficiario.

Podemos ese documento compararlo con los documentos 4 y 5 de la contestación. Los mismos se refieren a unas transferencias realizadas a China y que estaban autorizadas por la actora. El tipo de letra para ambos conceptos es siempre el mismo.

Además, en el documento fraudulento y después de del término Shenzen existe un espacio y aparecen las letras "g" y, da la impresión, una "n". Se trata de unas letras que quedaron sin borrar del mensaje sobre el que manipuló el hacker. Da la impresión que coincide con las dos ultima letras de la ciudad de Chaoyang, que sí aparece en los documentos 4 y 5 ya citados. Lo anterior tampoco mereció atención por la entidad financiara.

d .-La cuenta sobre las que se realizan las transferencias no era muy operativa. Es decir, en algún momento se pudo utilizar, pero el motivo fundamental de su mantenimiento era el esperar a que el cambio USD-Euros fuera lo más beneficioso para el cliente. Lo expuesto en este apartado se deriva del testimonio de los empleados del banco y, de igual modo, de los correos entre la actora y la entidad financiera que constan en las actuaciones y

e .-No solo es la que cuenta tuviese una escasa operatividad, sino que las cantidades a las que se refieren las dos transferencias fraudulentas no eran normales en la operativa de la actora, tal y como reconoce el propio gestor de la cuenta.

QUINTO.- Considero que todas las circunstancias expuestas deberían haber hecho dudar a los empleados de la entidad demandada que los documentos que se le presentaban, incluida la firma, ofrecieran garantía de autenticidad, y por lo tanto deberían haber extremado las precauciones.

La conjunción de todos esos datos reales parece que debería haber hecho necesario a la realización de algún tipo de comprobación por la entidad financiera, tal y como, aun implícitamente, reconoce el gestor de la cuenta. Parece que, ante las dudas objetivas con relación a la autenticidad de los correos y las órdenes, hubiese sido exigible una mínima comprobación, hubiese bastado una llamada, como la que se hizo cuando llegaron las dos últimas órdenes.

Considero por lo tanto la existencia de una falta de diligencia en lo que se refería a las obligaciones contractuales asumidas por parte de la demandada y, por lo tanto, aplicando la normativa ya citada y lo dispuesto en el art. 1.101 del C.C (LA LEY 1/1889) , es procedente la estimación de la demanda.

La misma ha de consistir en el importe resultante de la conversión en euros de las transferencias realizadas y de la comisión cobrada y que se traduce en la cantidad de 163.775,27 euros.

Por lo que se refiere a la fijación de la conversión y al importe concreto, ninguna alegación fórmula la demandada. Por último y por lo que se refiere a los intereses devengados serán los legales desde el momento en el que se produjeron las transferencias, debiendo procederse a su cuantificación en su totalidad en el trámite correspondiente.

SEXTO.- En materia de costas rige lo dispuesto en el art.394 de la L.E.C .,