Phishing y token: la Cámara de Santa Rosa confirmó la multa de $1.450.000 al Banco de La Pampa por no detectar transferencias inusuales

Qué pasó

Una consumidora publicó en una red social la venta de una computadora. Una supuesta compradora siguió la negociación por mensajes y, para "verificar" el pago, la hizo ir a un cajero automático, donde siguiendo instrucciones de terceros informó su usuario y el número de token. Después no pudo ingresar al homebanking y el Banco de La Pampa le informó que se habían hecho tres transferencias desde su cuenta por $2.800.000. La consumidora reclamó ante la Dirección General de Defensa del Consumidor de la provincia el 23 de junio de 2023.

La autoridad de aplicación imputó al banco infracciones a los artículos 4 (deber de información), 5 (protección del consumidor), 6 (cosas y servicios riesgosos) y 19 (modalidad de prestación de servicios) de la Ley 24.240 y, por Disposición 46/26 del 11 de febrero de 2026, le aplicó una multa de $1.450.000. El banco pagó la multa y recurrió en forma directa (art. 45, Ley 24.240). Planteó nulidad por falta de motivación, que no se había acreditado una conducta infractora concreta, que la clienta entregó voluntariamente sus credenciales (art. 1729 del Código Civil y Comercial), que se le exigía un "riesgo cero", que informaba a sus clientes no compartir claves ni tokens y que la sanción era arbitraria y desproporcionada.

El 9 de octubre de 2026 la jueza Carina M. Ganuza, en actuación unipersonal de la Sala 3, rechazó el recurso y rechazó también la nulidad, con costas al banco. Sostuvo que el deber de seguridad de las entidades financieras es reforzado y que su incumplimiento genera responsabilidad objetiva (art. 40, Ley 24.240); que el banco no notificó las transferencias, que los destinatarios eran ajenos a la clienta y que los montos no respondían a su operatoria habitual; y que haber entregado datos o claves no interrumpe por sí solo el nexo causal cuando el daño pudo evitarse con mayores medidas de seguridad. Consideró ajustada a derecho la cuantía de la multa, teniendo en cuenta los antecedentes de sanciones, el perjuicio a la usuaria y la posición del banco en el mercado.

Conceptos jurídicos aplicados

Por qué es relevante

El fallo no resuelve una demanda de daños sino el control judicial de una sanción administrativa de consumo. Aun así, la Cámara toma posición de fondo sobre un tema muy discutido en los casos de phishing: que el cliente haya entregado el token engañado no basta para liberar al banco, porque, como sostuvo la autoridad de aplicación en una posición que la jueza compartió, el consentimiento estaba viciado por el engaño, y el deber de seguridad abarca medidas razonables para prevenir riesgos previsibles, no solo los mínimos exigidos.

Para la práctica, ratifica un estándar que se puede invocar tanto en reclamos administrativos como judiciales: el banco debe contar con mecanismos para detectar o confirmar operaciones atípicas (destinatarios nuevos, montos y movimientos fuera del perfil, falta de aviso al cliente), y el deber de información no se agota en advertencias generales de no compartir claves. También muestra que el recurso directo contra una multa de Defensa del Consumidor exige atacar con concreción la motivación de la disposición, y que la conducta de la víctima, aun contraria a las recomendaciones del BCRA, no alcanzó para revertir la sanción.

Fuente: Diario Judicial — Expediente Banco de La Pampa (Ley 24.240 de Defensa del Consumidor) s/ Recurso Directo, N.º 25054 r.C.A.. Esta nota es un resumen informativo elaborado por Nino Legal; no constituye asesoramiento legal. Cómo elaboramos las novedades.