Los bancos deben rechazar las transacciones electrónicas que se realicen desde una dirección IP inusual a la utilizada por el cuentahabiente. Así lo señala una tesis dictada por el segundo tribunal colegiado en materia civil del tercer circuito, donde se advierte que, a menos que el dueño de la cuenta autorice explícitamente la operación, ésta no debe concretarse, o de lo contrario la responsabilidad recaerá completamente en la institución bancaria.
Aunque se trata de una tesis aislada, es decir, que no constituye jurisprudencia, se trata de la primera emitida por el Poder Judicial Federal en un litigio sobre operaciones no reconocidas en banca electrónica, y por lo novedoso del caso fue publicada en el Semanario Judicial de la Federación, bajo el registro 2 025 074.
El juicio inició cuando un ciudadano se dio cuenta de que se había retirado de su cuenta bancaria una fuerte cantidad de dinero mediante una transferencia electrónica solicitada desde otro país, cuando él nunca salió de México.
Ante la falta de respuesta del banco responsable, recurrió a un juicio oral mercantil, en la que un juez de primera instancia declaró la nulidad absoluta de la operación cuando se comprobó que la dirección IP, el protocolo de Internet, desde donde se generó no correspondía a la usual del titular de la cuenta.
El banco apeló y el colegiado ratificó el fallo favorable al cuentahabiente, generando la tesis que servirá de referencia para futuros casos parecidos.
“Este tribunal colegiado de circuito determina que cuando la dirección de protocolo de Internet (IP) tiene un lugar de origen inusual de operaciones del cuentahabiente y a pesar de ello el banco la autoriza sin suspender el servicio de banca electrónica o rechazar la transacción precautoriamente, debe considerarse que el cliente no otorgó su consentimiento, aun cuando se hayan utilizado todos los factores de autenticación necesarios para aprobar la transferencia electrónica bancaria”, señala el criterio jurídico del colegiado.
Este criterio se funda en las Disposiciones de Carácter General Aplicables a las Instituciones de Créditos, emitidas por la Comisión Nacional Bancaria y de Valores, publicadas en el Diario Oficial de la Federación el 2 de diciembre de 2005.
En ellas se advierte que es obligación del banco verificar aspectos técnicos del dispositivo, celular o computadora desde donde se inicia la operación, entre ellos el rango de dirección de los protocolos de comunicación y la ubicación geográfica, antes de autorizar cualquier transacción.
“De ahí que ante la apuntada deficiencia en los filtros de seguridad de la institución de crédito en la prestación del servicio de banca electrónica no puede considerarse que el cuentahabiente otorgó su consentimiento en la operación impugnada, a pesar de que se pudieran o no haber utilizado todos los datos de autenticación del cliente, como lo pueden ser nombres de usuarios, claves, claves dinámicas derivadas de tokens, o cualquier otro factor de autenticación, pues es sabido que los grupos delictivos obtienen los datos confidenciales de los clientes a través de engaños, que luego pueden usarse para autenticar transacciones fraudulentas”, advierte el tribunal colegiado en el criterio emitido.
