Me han robado dinero de la tarjeta de credito - CaixaBank

4.1.7 Régimen de las operaciones de pago no autorizadas

La normativa de servicios de pago regula un sistema común de derechos y obligaciones para proveedores y usuarios de servicios de pago, y delimita las consecuencias jurídicas de las operaciones de pago no autorizadas, fijando para estos casos las responsabilidades tanto del usuario como del proveedor de servicios de pago.

Entre sus peculiaridades, cabe destacar lo siguiente:

— Es aplicable a cualquier dispositivo personalizado utilizado por el usuario del servicio de pago para iniciar una orden de pago, desde tarjetas de pago hasta libretas de ahorro, entre otros instrumentos de pago.

— Se fija un plazo máximo general para comunicar a la entidad que se ha producido una operación no autorizada o ejecutada incorrectamente, estableciéndose el plazo en 13 meses desde la fecha del adeudo.

— El límite de responsabilidad del ordenante en caso de operaciones de pago no autorizadas se aplicará, en su caso, cuando el instrumento de pago hubiera sido extraviado, hubiera sido sustraído o se lo hubiera apropiado indebidamente un tercero, sin que se requiera que en la pérdida de la posesión haya mediado violencia o intimidación.

— No se aplicará el régimen de responsabilidad previsto al dinero electrónico si la entidad emisora no tuviera capacidad para bloquear la cuenta o el instrumento de pago.

— Cuando el usuario no sea un consumidor ni una microempresa, las partes pueden convenir que no resulten de aplicación determinados preceptos.

Distinción con operaciones autorizadas

Nos encontraríamos ante operaciones autorizadas, por ejemplo, cuando se trate de pagos, ya sea con tarjeta —física o vinculada a una aplicación de pago móvil— o por transferencia —ordinaria, inmediata, a un cajero automático, etc.—, realizados por un usuario en la creencia de que estaba comprando (o incluso vendiendo) un producto anunciado en un sitio web, arrendando un inmueble o contratando un servicio. Sin embargo, después de efectuar el pago, sucede a menudo que dicho usuario se percata de que ha podido ser víctima de una estafa, pues no recibe el bien adquirido, no existe el inmueble que alquiló, el receptor del pago lo ha bloqueado y ya no contesta a sus llamadas, correos electrónicos o wasaps, etc.

Dado que la orden de pago fue correctamente autorizada, de forma presencial o telemática, con los elementos de autenticación y autorización previstos al efecto, cursándose instrucciones a su entidad en ese sentido, esta no podría revocar la operación sin autorización del beneficiario del pago. La valoración de la posible existencia de un vicio en la formación del consentimiento del cliente bancario no pertenece al ámbito de competencias de este Departamento, y debe ser determinada, de considerarlo así las partes, por los órganos jurisdiccionales.

En los expedientes analizados durante 2021 se ha observado el aumento de reclamaciones en las que intervienen técnicas empleadas por ciberdelincuentes, como el phishing (por correo electrónico), vishing (de forma telefónica) o el smishing (vía SMS).

Mediante estas técnicas, los ciberdelincuentes se hacen pasar por las entidades financieras, o incluso por organismos públicos o empresas de reconocida trayectoria, suplantando su identidad y pidiendo a las potenciales víctimas que faciliten, después de clicar en un enlace —aparentemente genuino, pero, en realidad, malicioso— determinados datos personales y bancarios, bajo diferentes pretextos, como evitar el supuesto bloqueo de la cuenta o de una tarjeta o prevenir un inexistente pago fraudulento, realizar un pago de escasa cuantía por la prestación de un servicio (supuestos servicios informáticos a distancia o la entrega de un paquete por una empresa de transportes o Correos), o permitir la supuesta devolución de un importe debido por la Seguridad Social o la Agencia Tributaria, y con el verdadero fin de lucrarse, realizando operaciones de pago a cargo de la víctima.

Otro tipo de actividad delictiva, más elaborada, detectada por el DCE ha sido el duplicado de tarjeta SIM o SIM swapping. El procedimiento que utilizan los estafadores en este supuesto comienza por la obtención de datos de la víctima por diferentes vías (phishing, vishing o smishing), a través de un sitio web falso, con métodos de ingeniería social o con el hackeo del teléfono móvil, entre otros. A continuación, solicitan a la operadora de telefonía móvil un duplicado físico de la tarjeta SIM, de forma que, habitualmente, la original queda bloqueada. Con la nueva tarjeta SIM pueden recibir los SMS que contienen las claves de autenticación reforzada de un solo uso enviadas por la entidad financiera de la víctima, conocidas como OTP (one-time password). En ese contexto, aquellos también tienen la posibilidad de resetear las contraseñas de acceso a la banca electrónica de la víctima, pudiendo así contratar nuevos productos financieros a su nombre, hacer transferencias u ordenar pagos con tarjeta.

Con el ánimo de evitar ser víctimas de este tipo de estafas, este Departamento viene indicando a los usuarios de servicios de pago que deben extremar las precauciones a la hora de dar credibilidad a comunicaciones de ese tipo que pudieran recibir en sus dispositivos —teléfono fijo, móvil, ordenadores—, siendo recomendable consultar con sus entidades financieras, o con las presuntas empresas o entidades remitentes, la veracidad de estas (sin utilizar para ello los enlaces incluidos en los mensajes), pues no suelen pedir datos bancarios ni personales por ninguna de esas vías.

Notificación de operaciones de pago no autorizadas o ejecutadas incorrectamente

Cuando un usuario de servicios de pago —por ejemplo, el titular de una tarjeta o el ordenante de una transferencia— tenga conocimiento de que se ha producido una operación de pago no autorizada o ejecutada incorrectamente, deberá comunicarlo a la entidad, sin tardanza injustificada. Sin perjuicio de lo indicado en el párrafo anterior, y salvo en los casos en los que el proveedor de servicios de pago no hubiera proporcionado o puesto a disposición del usuario la información sobre la operación de pago, la comunicación a la que se refiere el párrafo precedente deberá producirse en un plazo máximo de 13 meses desde la fecha del adeudo (art. 43 del RDLSP).

Prueba de la autenticación y ejecución de operaciones de pago

En el caso de que un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que se ejecutó de manera incorrecta, corresponderá a la entidad demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico o cualquier otra deficiencia (art. 44 del RDLSP). Este Departamento ha venido observando, a través del análisis de las reclamaciones recibidas, que en estos supuestos las entidades suelen requerir a sus clientes la  presentación de un formulario en el que deben facilitar determinados datos relativos a la operación de pago controvertida, así como la aportación de la denuncia policial. Nada cabe objetar a las entidades al respecto, pues entendemos que dicha información resulta de razonable exigencia para la reclamación de la operación ante las redes de pago.

Ahora bien, consideramos que, si en el transcurso de la tramitación de esos expedientes las entidades van a llevar a cabo algún abono interino en la cuenta de pago de sus clientes —relacionado con el importe de la operación reclamada—, deben informarles previamente acerca de la provisionalidad de este, de manera que los usuarios conozcan la posibilidad de que el importe de la operación vuelva a ser cargado en su cuenta una vez realizadas las correspondientes averiguaciones por parte de las entidades.

Del mismo modo, el DCE estima que un eventual cargo posterior, tras quedar comprobada la correcta autenticación de las operaciones, y aportada la oportuna documentación acreditativa, no debería demorarse excesivamente en el tiempo, de forma que dicho cargo no resulte sorpresivo para la clientela.

Por otro lado, este Departamento también entiende que una actuación acorde con las buenas prácticas bancarias pasa por que el SAC de las entidades facilite a los clientes, en el seno de las correspondientes reclamaciones previas, la documentación acreditativa de la correcta autorización y/o ejecución de la operación de pago cuestionada.

Responsabilidad del proveedor de servicios de pago por operaciones de pago no autorizadas

En los supuestos de operaciones de pago no autorizadas, el proveedor de servicios de pago del ordenante deberá devolver a este el importe de la operación de pago no autorizada de inmediato y, a más tardar, al final del día hábil siguiente a aquel en que se le haya notificado, restituyendo, en su caso, la cuenta de pago al estado que habría tenido de no haberse producido la operación de pago no autorizada, salvo cuando dicha entidad tenga motivos razonables para sospechar de la existencia de fraude y comunique dichos motivos por escrito al Banco de España (art. 45 del RDLSP). 

A tal efecto, las entidades disponen de un trámite en la Oficina Virtual del Banco de España; pueden constituir algún indicio en que se basen tales sospechas, a modo de ejemplo, la reclamación de operaciones de pago realizadas en un amplio período de tiempo o la reticencia del cliente a aportar determinada documentación necesaria para la gestión de su solicitud de devolución de la operación de pago no reconocida, entre otros. 

Todo ello, claro está, con independencia del derecho que asiste a la entidad de efectuar cuantas actuaciones estime convenientes en defensa de sus legítimos intereses. 

 — El límite de responsabilidad del ordenante en caso de operaciones de pago no autorizadas se aplicará, en su caso, cuando el instrumento de pago hubiera sido extraviado, hubiera sido sustraído o se lo hubiera apropiado indebidamente un tercero, sin que se requiera que en la pérdida de la posesión haya mediado violencia o intimidación. 

 CAixabank me ha cobrado el dinero y se niega a devolvermelo.