Volver a página de inicio

I. Introducción

En estos días que nos ha tocado vivir, llenos de trepidantes cambios y de increíbles y útiles novedades digitales, por desgracia, además de disfrutar de las nuevas tecnologías, ni el usuario común ni el colectivo empresarial se ven libres de sofisticadas y no tan sofisticadas «Estafas Digitales».

En este artículo pretendemos analizar y dar respuesta a determinadas consecuencias —no penales, sino civiles— de un particular tipo de «Estafa Digital»: «El Fraude de Redireccionamiento del Pago de Facturas.»

Ese tipo de estafa o fraude digital, demasiado común en nuestros días para el colectivo de empresarios españoles, europeos e internacionales, que no solo causa problemas monetarios sino de quiebra de la confianza en las relaciones mercantiles, consiste en el recibo por parte de una empresa, denominémosla, compradora, de productos o servicios o víctima, de un tercero, que simulando ser el proveedor de dichos productos o servicios, le indica que ha cambiado su cuenta bancaria para recibir los pagos por sus clientes por los servicios o productos vendidos. De modo que —en la confianza de la veracidad de la información recibida, dando credibilidad al correo electrónico recibido, puesto que aparentemente el mismo parece proceder de su proveedor, ya que visualmente identifican o creen identificar los nombres o direcciones con las que habitualmente reciben de su proveedor— la victima procede a realizar los pagos de facturas a la nueva cuenta, que además se introduce en los sistemas de información para futuros pagos, pagando a un tercero distinto del proveedor, que suele ser un «mulero» —persona que se presta a recibir el dinero en su cuenta y dar traslado del mismo al estafador, en metálico o en criptomoneda, a cambio de una comisión del 10 ó 15 por ciento.

De ese modo, la víctima abona a un tercero ilegítimo el importe de la deuda que mantiene con el proveedor, deuda que subsiste con relación al mismo, quien podrá exigir de la víctima su pago, sin que el pago al tercero extinga, obviamente la deuda con el proveedor.

Dicha estafa digital, que por el momento no tiene un nombre específico, se podría clasificar como un tipo más del denominado «Phising».

Aunque existen muchas definiciones de este tipo de estafa digital, el Phising, la más completa es la que apunta el Instituto Nacional de Ciberseguridad «INCIBE», nuestros ángeles de la guarda en materia de ciberseguridad y ciber amenazas.

«Los «phishing» son un tipo de fraude que se comete generalmente a través del correo electrónico , aunque pueden utilizar otros medios, como mensajes SMS «smishing», redes sociales, aplicaciones de mensajería instantánea o llamadas telefónicas «vishing», y cuyo objetivo principal es robar información confidencial y credenciales de acceso . Los ciberdelincuentes —para engañar a las víctimas— suelen suplantar la identidad de empresas y organizaciones reconocidas, comúnmente aquéllas de las que pretenden robar la información, como, por ejemplo, entidades bancarias o públicas, empresas del sector energético o de logística, etc.

Los ciberataques de tipo «phishing» contienen en el cuerpo del mensaje un enlace que lleva a una página web fraudulenta, generalmente con la misma estética que la página web legítima a la que intenta suplantar ( web spoofing) . En dicha web se solicita la información confidencial que los ciberdelincuentes desean sustraer, generalmente información personal, credenciales de acceso e información financiera. Para ofrecer más veracidad al fraude, la web fraudulenta suele utilizar un nombre de dominio similar al legítimo , siempre buscando como objetivo que las potenciales víctimas caigan en el engaño.

Una vez que la víctima del ataque ha facilitado toda la información que los ciberdelincuentes le solicitan, suele ser redirigida a la página web legítima de la empresa suplantada, con el fin de que el fraude pase el mayor tiempo desapercibido, hasta que la víctima se da cuenta y denuncia el hecho.»

Como se puede observar, el Fraude de Redireccionamiento del Pago de Facturas no es un «Phising» puro. El fraude objeto de examen es el siguiente paso o el aprovechamiento de un previo phishing o hacking para obtener los datos necesarios que permitan suplantar al proveedor de productos y servicios frente al cliente pagador, que también puede haber sido objeto de un previo phishing o hacking para conocer que es deudor del proveedor.

Con independencia de si el Fraude de Redireccionamiento del Pago de Facturas se pueda calificar como un tipo de estafa digital independiente del phishing o como un tipo de phishing, la realidad es que esa estafa está causando estragos a todas las empresas.

II. ¿Cómo combatirlo? Prevención

Siempre he creído que la mejor manera de combatir los ilícitos penales y civiles no está en las medidas represivas, sino en la formación, en este caso, de los usuarios individuales y empresariales. Por tanto, antes de entrar a analizar los efectos de la responsabilidad civil en los que participan como víctimas y verdugos de la citada estafa, permítanme «evangelizar» sobre las medidas que se han de adoptar para no ser víctima de los cibercriminales. Mejor prevenir, que curar.

Analicemos, en primer lugar, las diferentes formas de actuar del cibercriminal. El estafador requiere que todos los futuros pagos a realizar al proveedor se hagan mediante transferencia a una nueva cuenta bancaria y se notifiquen a una nueva dirección de correo electrónico. A ese efecto, procede de una de las siguientes formas:

• • El defraudador envía un fax falso, que parece enviado desde el fax legítimo del proveedor haciéndole el requerimiento anteriormente indicado. Este método está en desuso, dado que ya casi nadie utiliza el fax, salvo casos excepcionales; o
• • Se envía por el defraudador un correo electrónico, simulando proceder del proveedor. Este es el sistema más común; o
• • El estafador llama por teléfono a un individuo del departamento de pagos requiriendo lo anteriormente señalado, seguido de un falso correo electrónico o fax, tal y como hemos indicado anteriormente.

III. ¿Qué medidas preventivas es aconsejable adoptar?

Ni qué decir tiene que el empresario debe protegerse de este tipo de estafas estableciendo las medidas necesarias de ciberseguridad, evitando el hackeo de sus sistemas. Pero, además de ese principio esencial, sería recomendable advertir y formar a la plantilla, especialmente, a la de los departamentos financieros, en el siguiente sentido:

• • Si un proveedor contacta con él, sea la forma en que lo haga, solicitando actualizar información importante o de alta sensibilidad, como datos bancarios propios o de terceros, dirección de correo electrónico propios o de terceros, personas de contacto, etc., siempre se debe confirmar con la persona de contacto del proveedor para validar si el requerimiento es correcto y legítimo.
  • ○ Por supuesto no se debe advertir al que realiza el requerimiento de que se va a validar el mismo, pues podría interponerse en la validación.
  • ○ Es obvio que el teléfono al que hay que llamar para comprobar la veracidad del requerimiento no puede ser el que da quien ha requerido, debe ser el teléfono habitual de contacto del que dispongamos.
• • Es necesario enseñar a la plantilla cómo identificar qué correos son correctos y cuáles pueden ser maliciosos. Una magnífica guía a la que acudir es la desarrollada por INCIBE en su página web bajo el título « Busca a otro al que engañar, yo no voy a picar » (https://www.incibe.es/protege-tu-empresa/blog/busca-otro-al-enganar-yo-no-voy-picar)
• • Es preciso formar, por profesionales especializados en Digital Law, a los trabajadores en relación al modo de proceder de los estafadores, en éste y otros casos, así como de las consecuencias que tienen, tanto personales como para la empresa las estafas digitales.

IV. Principios generales de Responsabilidad Civil Extracontractual

Antes de iniciar el análisis de la responsabilidad civil extracontractual de los participantes en la estafa objeto de análisis, se hace necesario, aunque sea someramente, hacer una breve reseña de los principios generales de la responsabilidad civil extracontractual a la luz del artículo 1.902 de nuestro Código Civil (LA LEY 1/1889) y de su interpretación por los tribunales, especialmente, el Tribunal Supremo.

La responsabilidad civil extracontractual es la obligación de reparar e indemnizar los daños que se causen, a los derechos e intereses de otra persona, nacidos de un acto propio o ajeno —del que legalmente se deba responder— y producidos, como norma general, por culpa o negligencia, o sin necesidad de ella en los casos de responsabilidad objetiva.

El artículo 1.902 del Código Civil (LA LEY 1/1889) establece que «el que por acción u omisión causa daño a otro, interviniendo culpa o negligencia, está obligado a reparar el daño causado.»

Para que exista, por tanto, responsabilidad civil extracontractual, es necesario que concurran los siguientes requisitos:

• • Una acción u omisión.
• • La acción u omisión debe provocar o causar un daño.
• • Debe existir un nexo causal entre la acción u omisión y el daño.
• • Debe existir un criterio que permita imputar la responsabilidad extracontractual, bien objetivo o subjetivo. Carácter objetivo: deriva de la relación de causalidad entre el acto u omisión y el daño. Carácter subjetivo: Actuación dolosa o culposa de quien produce el daño.

V. ¿Quién ha de responder desde el punto de vista de la Responsabilidad Civil?

Los intervinientes en el Fraude de Redireccionamiento del Pago de Facturas serían, en principio, los siguientes:

• • El estafador o defraudador, esto es, quién envía el correo electrónico u otro medio fraudulento.
• • El mulero que presta su cuenta bancaria a cambio de un porcentaje de lo recibido.
• • El banco que recibe la orden de pago y realiza el pago o trasferencia.
• • El proveedor que no cobra la factura por sus productos o servicios.
• • El comprador o usuario de los servicios de proveedor, la víctima, que da orden al banco de que pague la factura transfiriendo el dinero a la cuenta del mulero.

1. El estafador o defraudador

Es obvio que, si alguien tiene una responsabilidad civil por las consecuencias derivadas de la estafa digital objeto de análisis, éste sería el defraudador.

• • Realiza una acción, al requerir, con engaño y simulación, como si fuera el proveedor, el cambio de cuenta a la que debe enviar la victima los pagos de las facturas.
• • Existe un daño patrimonial, el importe de la factura pagada más, en su caso, el importe de los gastos y comisiones por la transferencia.
• • El nexo causal entre la acción y el daño es meridiano.
• • Se trata de una responsabilidad subjetiva, donde el estafador actúa con dolo manifiesto.

2. El mulero

El mulero es un colaborador necesario en la perpetración de la estafa digital, presta su cuenta bancaria para recibir el importe a estafar. Al poner a disposición del defraudador la cuenta bancaria receptora del dinero y trasferir al estafador en moneda FIAT (apoyada por un Estado) o en bitcoins o en cash el importe recibido, menos la comisión, está realizando una acción que causa un daño patrimonial a la víctima. Claro es el nexo entre el daño y la acción. Por tanto, parece que sí concurrirían en el comportamiento del mulero los tres primeros requisitos exigidos por el artículo 1.902 del Código Civil (LA LEY 1/1889) y su doctrina y jurisprudencia interpretativa.

Más dudas podrían darse en el caso del último de los requisitos, la existencia del requisito subjetivo, la existencia de culpa, negligencia o dolo. Las dudas provienen por razón de que los estafadores suelen elegir a personas o empresarios que muevan cantidades importantes de dinero —evitando la sospecha de la policía y de las autoridades de blanqueo de capitales—, que se encuentran en estado de necesidad, sin explicarles la realidad de la transacción, más bien, se les envuelve en un engaño que junto a la necesidad imperiosa que tienen de tener ingresos, les hace rebajar sus niveles de confianza. En la mayoría de los casos, los muleros suelen ser otra víctima del defraudador, que se aprovecha de la necesidad y las penurias que están sufriendo.

A pesar de ser víctimas de la estafa digital y sin perjuicio de casos excepcionales, en mi opinión, existe por parte de los muleros, al menos, una clara negligencia impropia de un ordenado comerciante o de un buen padre de familia, sea comerciante o no. «Nadie da duros a pesetas». Si te dan una comisión, relativamente alta, por prestar tu cuenta corriente, y, por tanto, por no aparecer en los registros bancarios, limpio el negocio no parece. Como dicen los británicos: «Smell a rat» (Huele a rata). Luego, si el mulero acepta llevarlo a cabo, es consciente —en mayor o menor medida— que participa en un negocio sucio o no muy limpio, siendo, al menos, negligente, cuando participa de forma habitual o no en este tipo de estafa digital.

Concurriendo los requisitos propios de la responsabilidad civil, el mulero debe responde del daño frente a la víctima (importe defraudado, gastos y comisiones). Cuestión diferente es que el mulero tenga patrimonio para responder, pues como ya dijimos, se caracterizan por estar en situación de penuria económica. Habrá que examinar su patrimonio antes de iniciar la correspondiente acción contra él.

Finalmente, indicar que el mulero podría tener acción contra el defraudador por el engaño, supuestamente, sufrido, si se ve obligado a reparar el daño a la víctima.

3. El banco

En principio, por lo que respecta a la entidad bancaria que realiza la transferencia, la misma no tendría responsabilidad, pues no se dan los requisitos establecidos para que sea exigible. Y decimos, en principio, porque pueden existir determinados casos en los que la entidad financiera si es responsable civilmente del daño que la defraudación causa a la víctima.

El Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, conocido como «Ley de Servicios de Pago», establece, en su artículo 59.1 y 3 (LA LEY 18608/2018), que la entidad bancaria no será responsable cuando la transferencia se haya realizado al número de cuenta identificado por parte del usuario, incluso cuando no coincida el beneficiario indicado en la transferencia con el verdadero titular de la cuenta.

Sirvan estas líneas para poner de manifiesto mi desacuerdo con lo previsto en el artículo 59.3. (LA LEY 18608/2018) de dicha norma, fruto del excesivo proteccionismo del legislador al sistema bancario. Hoy en día sería muy fácil el evitar este tipo de estafa, si se le exigiera a la entidad bancaria responsabilidad en el caso de que los datos añadidos a la trasferencia bancaria, junto al IBAN, no se correspondieran con los de la cuenta donde se ha de realizar la transferencia. Hoy, con los programas informáticos existentes, las entidades bancarias son capaces de detectar incongruencias, poniéndolas de relieve a sus clientes, evitando el fraude. De hecho, existen muchas entidades bancarias que no realizan la transferencia si no coincide el IBAN con el beneficiario. De lege ferenda, es necesario modificar ese tercer apartado del artículo 59 de la Ley de Servicios de Pago.

Sobre la base del citado artículo 59 (LA LEY 18608/2018), se han pronunciado diversas Audiencias Provinciales, liberando de responsabilidad a la entidad financiera.

Aunque no sea el objeto de este artículo, quizás sea necesario revisar las condiciones generales de la entidad bancaria, en cuanto operativa de la cuenta corriente, por si pudiéramos encontrarnos ante un incumplimiento contractual que derive una responsabilidad civil contractual. Sinceramente, lo dudo, pero no estaría de más ver a qué se compromete el banco, con independencia de la antes citada norma y las consecuencias de no cumplirla.

La citada Ley de Servicios de Pago establece, en su artículo 59.2 (LA LEY 18608/2018), la obligación de la entidad bancaria o financiera de proporcionar a su cliente toda la información necesaria, incluso la identificación del número de cuenta bancaria del lugar donde se realizó la transferencia, cuando el cliente no pueda recuperar los fondos transferidos.

Si la entidad financiera no provee de esa información al usuario engañado, de conformidad con el artículo 59.2. de la Ley de Servicios de Pago, incurrirá en responsabilidad civil objetiva. Estaríamos ante una acción u omisión, consistente en la obstaculización de poder interponer una reclamación por la victima hacía el receptor del dinero, que causa un daño patrimonial a la misma, existiendo nexo causal entre la acción y el daño.

4. El proveedor

Todo parece indicar que más que responsabilidad por su parte, lo que existe es un derecho de crédito —el importe de la factura que todavía le debe la víctima—, que no se ha visto solventado por el pago que la misma ha realizado al mulero o estafador, al no darse los requisitos necesarios para que se entienda extinta la deuda.

Si profundizamos un poco más, sometiendo el comportamiento del proveedor a un más intenso escrutinio, nos debemos preguntar ¿De dónde obtuvo el estafador los datos necesarios para poder organizar la estafa digital? Datos, mail, facturas a pagar, clientes, etc.…

Las posibilidades son diversas: (i) por medio del hackeo de los sistemas del proveedor o por medio de un empleado del proveedor; (ii) por medio del hackeo de los sistemas de la víctima o por medio de un empleado de la víctima; o (iii) por medio del hackeo de los sistemas de ambos o por medio del hackeo de uno y comprobación derivada de los empleados del otro, etc.

Claramente, ese escrutinio se debe realizar por empresas especializadas, de forma voluntaria por los participantes en la estafa, o tras la interposición de las correspondientes acciones. Se recomienda realizarlo voluntariamente, para determinar si ha habido una brecha de nuestros sistemas de seguridad, que sea necesario reparar, para evitar nuevas estafas digitales o chantajes digitales «Ransomware».

a) Proveedor víctima del hacking o de la fuga de información

En este supuesto, el proveedor se habría convertido, en principio, y sin querer en un colaborar necesario para la perpetración de la estafa digital. Sin ese hackeo o fuga de información, a buen seguro, difícil sería que el defraudador hubiera podido cometer la estafa digital.

Como hemos reseñado en el presente artículo, en los casos de responsabilidad civil extracontractual de carácter subjetiva tiene que concurrir culpa, negligencia o dolo.

Se ha de rechazar, en el caso objeto de análisis, la existencia de dolo, pero ¿ha incurrido el proveedor en una omisión negligente?

Todo empresario está obligado a actuar como un buen comerciante —un buen padre de familia, en el ámbito civil— lo que supone la obligación de actuar como debería actuar todo empresario, a efectos de evitar causar daños a terceros.

Hoy en día, tanto el pequeño como el gran empresario, es consciente de la necesidad de establecer las medidas necesarias en materia de ciberseguridad para evitar las ciber amenazas dentro de sus sistemas. Y, por tanto, con la debida valoración por parte del juez, que debe sopesar la capacidad financiera del proveedor, lo que se realiza en su sector, lo que es exigible como normal en el momento objeto de análisis, el estado de la técnica para evitar la fuga o el hackeo, etc., es posible, en atención a las circunstancias que el proveedor haya incurrido en negligencia al no haber adoptado las medidas técnicas que estaban a su alcance para evitar el hackeo o la fuga.

En consecuencia, si el juez llega a la conclusión de la existencia de negligencia por parte del proveedor, el mismo tendría responsabilidad civil frente a la víctima pagadora, pues existiría una omisión —implementar las medidas técnicas necesarias—, un daño patrimonial en la víctima, un nexo causal entre los dos y todo derivado de una conducta negligente en el proveedor.

En estos casos, la víctima debería el dinero de la factura al proveedor, y esté debe reparar el daño causado —importe abonado, más gastos, comisión bancaria de la transferencia—. El resultado sería que la deuda derivada de la relación mercantil y la deuda por el importe a reparar por el dinero abonado por la víctima, se compensarían, en cuanto al importe de la factura, no así en cuanto a los gastos, que el proveedor debería abonar, extinguiéndose ambas deudas, pues en la cantidad concurrente.

El proveedor tendría acción frente a quién le hackeó, frente al defraudador para que le repare el daño sufrido al indemnizar a la víctima.

b) Cliente víctima del hacking o de la fuga de información

En este supuesto, la negligencia de la propia víctima, que como señalamos en el caso del hackeo del proveedor, no adoptó las medidas necesarias en materia de ciberseguridad, para evitar ciber amenazas, de acuerdo a la técnica del momento, es la que le ha llevado en parte a ser la víctima del fraude.

Sin perjuicio del derecho que la víctima pudiera tener para exigir la reparación del daño sufrido al mulero y al estafador, no podría, sin embargo, exigir al proveedor que le repare el daño sufrido en base a responsabilidad civil, por lo que, al no haberse extinguido la deuda comercial que con él tiene, se encuentra en la obligación de abonarla en los términos establecidos y pactados entre ellos.

c) Cliente y proveedor víctimas del hacking o de la fuga de información

En este caso, existiría negligencia tanto por parte de la víctima como por parte del proveedor, que no adoptaron las medidas necesarias en materia de ciberseguridad.

¿Nos encontramos ante una concurrencia de culpas?

Se produce concurrencia de culpas cuando, tanto la negligencia de la víctima como del causante del daño, coparticipan en la producción del daño.

En el supuesto objeto de análisis, la omisión de la víctima y del proveedor —en materia de ciberseguridad— han contribuido a que la estafa digital se haya perpetrado y producido, por tanto, el desplazamiento patrimonial o daño.

Por tanto, en mi opinión, en líneas generales, en el caso de que ambos hayan sufrido el hackeo o la fuga de datos, siendo negligentes ambos, a la luz de la interpretación judicial, los dos serían corresponsables, existiendo una concurrencia de culpas — también, denominada por parte de la doctrina compensación de culpas.

En este caso, el juzgador, aparte de valorar la existencia de negligencia en cada uno de ellos, deberá tener en cuenta la incidencia que la omisión negligente de cada uno de ellos ha tenido en el daño, para asignar a cada parte la corresponsabilidad que les corresponde.

Si, por ejemplo, se decide por el juez o tribunal que ambas omisiones han contribuido al daño de forma paritaria, el proveedor debería abonar a la víctima el 50% del daño y la victima debería asumir el otro 50% del daño.

Así, si el importe de la factura es 100, el importe transferido es 100 y los gastos de la transferencia fueron 10; el proveedor debería pagar 55 a la víctima, que se compensaría con lo que se debe de la factura; y la víctima debería al proveedor 45 de la factura inicial.

Esta conclusión obviamente no impide ni al cliente ni al proveedor que haya asumido parte del daño, dirigirse contra los verdaderos causantes del daño para quedar indemnes con relación a los hechos relatados, siempre con el límite de evitar enriquecimientos sin causa.

VI. Conclusiones

El Fraude de Redireccionamiento del Pago de Facturas, como en el caso de otras estafas digitales, se evitan (i) implantando las debidas medidas de Ciberseguridad y (ii) con formación y conocimiento por parte de los empleados de las empresas, pequeñas o grandes.

Si, aun a pesar de haber implementado las medidas anteriores, se sufre un Fraude de Redireccionamiento del Pago de Facturas, desde la perspectiva de la responsabilidad civil extracontractual, estás serían las posibles acciones contra los intervinientes en la misma:

• • Respecto del defraudador/estafador, su responsabilidad es clara. Circunstancia distinta es saber quién es y dónde se localiza.
• • En relación al mulero, con alguna pequeña duda en algún caso muy concreto, también su responsabilidad es clara. Quizá sea posible localizarle, pero lo que será más difícil en la práctica, dado que suele tratarse de personas insolventes, será encontrarle bienes para ejecutar una sentencia condenatoria a indemnizar.
• • La entidad financiera, legalmente, no será responsable por realizar la transferencia al IBAN que le indique la víctima, pese a que no coincida con otros datos que se le proporcionen, como el beneficiario.
• • Si puede ser responsable la entidad bancaria, si ante el fraude, no le da a la víctima los datos de la cuenta en la que se realizó el ingreso.
• • El proveedor en caso de que sus sistemas hayan sido hackeados y obtenido el defraudador la información necesaria, puede ser responsable civil si no adoptó las medidas exigidas a un ordenado comerciante para evitar el hackeo de sus sistemas, elemento necesario para conocer los datos que llevaron a la estafa.
• • Si quien fue objeto de hacking fue la víctima, tan solo tendrá acción contra el estafador, el mulero y, en su caso, el banco, pero no contra el proveedor. La factura impagada al proveedor sigue siendo debida al mismo.
• • Si los que sufrieron el hackeo o fuga fueron el proveedor y la víctima, en aquellos casos en los que el estafado quiera dirigirse frente al proveedor, no podrá hacerlo por la totalidad del daño sufrido, pues existirá una concurrencia de culpas entre ellos, que hará teóricamente que el proveedor sólo deba responder en la medida en que su negligencia haya contribuido al daño. Obviamente la acción de la víctima frente a los causantes y otros responsables del daño sigue viva, con los límites de evitar enriquecimiento injusto.