Estafa por vishing: la Sala D reitera el 80/20 contra el Banco Ciudad y consolida su criterio en un segundo fallo

Qué pasó

Martín Ramón Ruda, cliente del Banco de la Ciudad de Buenos Aires, escribió un correo electrónico al banco por una consulta y desde la entidad le indicaron que también podía contactarse por Twitter. Un usuario fraudulento que usaba el logo oficial del banco le respondió por esa vía y luego lo llamó por WhatsApp haciéndose pasar por un empleado de soporte técnico. Con explicaciones técnicas sobre supuestos comprobantes pendientes, el estafador lo convenció de entregarle el nombre de usuario de su home banking y los códigos de verificación que le llegaban por SMS, pese a que esos mismos mensajes le advertían: "Nadie del Banco Ciudad te va a solicitar este dato".

Con esos datos, el estafador dio de alta dos cuentas de terceros (Fozzatti Julieta y Romero Leonardo) y ejecutó dos transferencias en menos de 60 segundos, el 4 de enero de 2022 a las 18:41 y 18:42 horas, por USD 2.000 y USD 2.600 respectivamente, un total de USD 4.600. El resumen de cuenta de Ruda no registraba transferencias previas a terceros, solo compras mensuales de moneda extranjera, un patrón que según el fallo debió activar alertas del sistema de monitoreo del banco.

El Juzgado N° 14 hizo lugar a la demanda y la Sala D confirmó la responsabilidad del banco, aunque redujo el monto reclamado por daño material a USD 3.680 al ponderar la conducta del propio cliente. El tribunal distribuyó la responsabilidad en 80% para el Banco de la Ciudad y 20% para Ruda, confirmó el daño moral en $1.500.000 y rechazó el daño punitivo por no encontrar probada una conducta dolosa o de culpa grave de la entidad.

Conceptos jurídicos aplicados

Por qué es relevante

La Sala D no ocultó que se trata de un criterio ya fijado: citó expresamente su propio fallo "Cilurzo, Pablo Marcelo c/ Banco de la Ciudad de Buenos Aires" del 14 de mayo de 2026, donde había resuelto "un caso sustancialmente similar" con el mismo reparto de responsabilidad 80/20 contra el mismo banco, en ese caso por una estafa mediante TeamViewer. Con Ruda, la sala consolida su doctrina: la entrega de datos por el propio consumidor -ya sea instalando una aplicación de acceso remoto o dictando códigos de verificación por teléfono- no alcanza para eximir al banco, aunque sí para recortar un 20% de la condena por su propia torpeza.

El fallo también ubica el caso dentro de una discusión más amplia sobre el deber de monitoreo bancario. Junto con "Buzzano c/ Banco Ciudad" (Sala F, 5 de junio de 2024) y el antecedente de la propia Sala D "Bieniauskas c/ Banco Ciudad" (2008) sobre responsabilidad objetiva en servicios electrónicos, el caso Ruda refuerza que el incumplimiento de la Comunicación BCRA A 6017 sobre monitoreo transaccional -no advertir dos transferencias atípicas en 60 segundos a cuentas nuevas, en un cliente que nunca antes había hecho transferencias a terceros- es suficiente para sostener la responsabilidad principal de la entidad bajo el régimen objetivo de la Ley 24.240.

Para la práctica, el mensaje es que ya no se trata de un pronunciamiento aislado sino de un criterio que la Sala D viene sosteniendo de forma consistente en 2026: el banco responde por no detectar movimientos inusuales aun cuando el cliente cometió el error de entregar información sensible a un estafador. El daño punitivo, en cambio, sigue sin prosperar en estos casos salvo que se acredite dolo o culpa grave de la entidad, más allá del mero incumplimiento del deber de seguridad.

Fuente: Microjuris — Expediente Ruda, Martín Ramón c/ Banco de la Ciudad de Buenos Aires s/ sumarísimo. Esta nota es un resumen informativo elaborado por Nino Legal; no constituye asesoramiento legal. Cómo elaboramos las novedades.