La Corte de Apelaciones de Santiago revocó la sentencia del Segundo Juzgado de Policía Local de Ñuñoa y acogió la demanda de un banco contra un cliente por dos operaciones desconocidas realizadas con código QR en 2022, por un total de 3.000.000 de pesos. El fallo, redactado por la ministra Carolina Vásquez Acevedo, concluye que el usuario actuó con grave descuido en el cuidado de sus credenciales y ordena la restitución del abono normativo, autorizando al banco a dejar sin efecto la cancelación de cargos.
La decisión es relevante porque invierte el resultado de primera instancia, donde la acción había sido rechazada, y porque analiza por primera vez en el caso concreto los estándares de autenticación reforzada incorporados a la Ley 20.009, aun cuando los hechos ocurrieron en 2022, antes de su entrada en vigencia.
LOS HECHOS
Las operaciones discutidas fueron dos, por 3.000.000 de pesos en total, realizadas desde la tarjeta de crédito del cliente a través de la plataforma Kushki y efectuadas con código QR. Según el fallo, para concretar este tipo de pago se requieren todos los datos de la tarjeta: número completo, nombre impreso, fecha de vencimiento, CVV, verificación por SMS y aviso al correo electrónico.
El banco sostuvo que todos esos datos son de uso y custodia exclusiva del cliente y que, al usarse el sistema, se genera de inmediato un comprobante de pago que llega al correo registrado por el usuario, lo que contradice el desconocimiento alegado por el cliente, quien afirmó haber advertido lo sucedido recién dos días después.
LA DEFENSA DEL CLIENTE Y SUS PROPIAS DECLARACIONES
El cliente declaró sospechar que pudo ser víctima de phishing, ya que no se afectaron saldos de cuentas ni avances ni otras tarjetas del mismo banco. Admitió que luego de estos hechos formateó su teléfono e instaló un antivirus con detección de phishing, porque habría advertido que no solo las entidades financieras pueden ser objeto de ataques cibernéticos, sino que también los clientes.
En su comunicación al banco señaló que el fraude también se intentó en sus otros bancos, pero que no se habría logrado. En su contestación, en tanto, indicó que existe al menos otra causa seguida ante el mismo tribunal, iniciada por el BCI, también por operaciones en la misma fecha y en horas aproximadas.
EL ANÁLISIS DE LA CORTE
El fallo reproduce la sentencia en alzada, pero elimina sus fundamentos octavo, noveno y décimo segundo a décimo cuarto, y desarrolla su propia argumentación. Para contextualizar el caso, la Corte examina el artículo 5 ter de la Ley 20.009, precisando que fue incorporado a la ley con posterioridad a los hechos. Esa disposición presume el dolo o la culpa grave del usuario, entre otros supuestos, cuando existen indicios suficientes de haber sido el mismo usuario quien realizó la operación reclamada, y cuando la operación desconocida fue realizada con autenticación reforzada, siendo al menos uno de los factores de autenticación el de inherencia.
El artículo 4 de la misma ley, citado en el fallo, define la autenticación reforzada como la utilización de al menos dos factores de autenticación, sea de conocimiento, posesión o inherencia, diferentes e independientes entre sí. La Comisión para el Mercado Financiero dictó la norma de carácter general N°538, de 17 de junio de 2025, que precisa que el conocimiento comprende algo que solo el usuario conoce, como contraseñas o PIN; la posesión, algo que solo el usuario posee, como un token, un mensaje OTP, la tarjeta de pago o un smartphone; y la inherencia, algo que el usuario es, usualmente mediante verificación biométrica.
La Corte concluyó que en el caso concreto se cumplió la autenticación reforzada, pues concurrieron al menos dos factores: el conocimiento, porque se emplearon las contraseñas o números de identificación personal del cliente, y la posesión, porque la operación se realizó a través del smartphone del cliente, quien accedía a él con sus claves personales y la clave secreta para transferencias Itaú Pass, contemplándose además la comunicación vía SMS o correo electrónico. Respecto del factor inherencia, el tribunal señaló que se presume que pudo concurrir, pero faltan elementos de prueba para tenerlo por cierto.
DOS SEÑALES DE ALERTA
El fallo destaca dos circunstancias que llamaron la atención del tribunal. Primero, que el cliente dijo creer que fue víctima de phishing, lo que lo movió a resetear su teléfono e instalar un antivirus especializado. Segundo, que informó haber sufrido el mismo fraude, en la misma fecha y hora similar, respecto de otras tres instituciones financieras, pidiendo que se tuviera a la vista la causa iniciada por el BCI en su contra.
Para la Corte, resulta posible concluir la existencia de indicios suficientes de que fue el usuario quien actuó con grave descuido o negligencia en el cuidado de medidas de seguridad que son de su ámbito exclusivo y en las cuales el banco no tiene injerencia. El fallo razona que no aparece razonable concluir que los otros tres bancos sufrieron también brechas en sus sistemas de seguridad, sino que el elemento común es el cliente y el aparato tecnológico que emplea para sus operaciones bancarias.
La sentencia agrega que el banco demandante frenó otras dos operaciones incluso antes de que el cliente lo advirtiera, a consecuencia de haberse levantado una de las alertas que mantiene en funcionamiento. Y respecto del argumento del demandado de que el fraude no se habría podido materializar en los otros bancos, lo que en su opinión evidenciaría un desempeño deficiente del actor, el tribunal concluye que subsiste la conclusión de que el problema no fue de la banca, sino de las medidas de cuidado cuya adopción recae en el cliente.
LA DECISIÓN
Por estas consideraciones, y de acuerdo también a lo establecido en el artículo 32 de la Ley 18.287, la Corte revocó la sentencia apelada de treinta de marzo de dos mil veintitrés, pronunciada por el Segundo Juzgado de Policía Local de Ñuñoa, que había rechazado la acción, y en su lugar declaró que aquella queda acogida, debiendo el cliente proceder a la restitución del abono normativo en la forma que señala la ley. Asimismo, autorizó al banco a dejar sin efecto la cancelación de los cargos o demás medidas que haya adoptado en su oportunidad. Cada parte pagará sus costas, por haberse litigado con motivo plausible.
El fallo fue pronunciado por la Décima Tercera Sala de la Corte de Apelaciones de Santiago, integrada por los ministros Carolina Vásquez Acevedo, Claudia Lazen Manzur y la fiscal judicial Carla Troncoso Bustamante.
Rol N°2951-2023 Policía Local, Corte de Apelaciones de Santiago.
Nota del Editor Fotografía referencial generada por Inteligencia Artificial.
Acerca del Autor
