Suprema responsabiliza a Scotiabank por fraude de $17 millones

Corte Suprema responsabiliza a Scotiabank por fraude superior a $17 millones y confirma indemnización a cliente

La Corte Suprema acogió un recurso de queja y dejó sin efecto una sentencia de la Corte de Apelaciones de Santiago que había descartado la responsabilidad de Banco Scotiabank en una serie de operaciones fraudulentas sufridas por uno de sus clientes.

En fallo de mayoría, dictado en la causa rol 51.579-2024, la Segunda Sala del máximo tribunal confirmó la sentencia de primera instancia que acogió tanto la denuncia infraccional como la demanda de indemnización de perjuicios presentada contra la entidad financiera.

La Corte concluyó que el banco incumplió el deber de seguridad exigido por la Ley N.º 19.496 sobre Protección de los Derechos de los Consumidores, al permitir operaciones inusuales sin activar oportunamente sus sistemas de alerta, monitoreo y control.

Transferencia de crédito y operaciones por más de $17 millones

Según los antecedentes asentados en el proceso, el primer hecho cuestionado correspondió a una transferencia realizada vía web desde la tarjeta de crédito del cuentacorrentista el jueves 19 de marzo de 2020.

La Corte Suprema estimó que esa operación presentaba características sospechosas y que no fue comunicada oportunamente al cliente. Scotiabank tampoco habría aportado antecedentes suficientes para demostrar que el titular solicitó efectivamente el crédito asociado a dicha transacción.

El fallo sostuvo que, si una institución financiera ofrece créditos de manera remota y en cualquier horario, debe asumir los riesgos relacionados con esa modalidad de contratación y disponer de mecanismos adecuados para verificar la identidad y voluntad del cliente.

Una vez depositados los fondos en la cuenta corriente, se efectuaron, en un breve periodo, tres operaciones por:

• $11.480.043
• $3.356.561
• $2.553.020

Las transacciones sumaron $17.389.624 y prácticamente agotaron el saldo disponible en la cuenta.

Operaciones realizadas desde una dirección IP no habitual

Uno de los elementos centrales considerados por la Corte fue que los movimientos se efectuaron desde una dirección IP que no era utilizada habitualmente por el cliente.

Además, las operaciones:

• Fueron ejecutadas de manera remota.
• No respondían al comportamiento financiero habitual del cuentacorrentista.
• Se realizaron sin utilizar claves de la tarjeta de coordenadas.
• Involucraron montos elevados en un breve espacio de tiempo.
• No generaron comunicaciones de seguridad al correo electrónico registrado por el cliente.

Para la Segunda Sala, esas circunstancias debieron activar los mecanismos internos de seguridad de la institución financiera.

El máximo tribunal sostuvo que la autorización de tres pagos superiores a $17 millones, bajo condiciones alejadas del patrón normal del cliente, evidenció una conducta pasiva del banco y un incumplimiento de su deber de cuidado.

Scotiabank no acreditó una negligencia grave del cliente

Durante el proceso, el banco atribuyó lo sucedido a una supuesta negligencia del cuentacorrentista. Sin embargo, la Corte Suprema advirtió que la entidad no acompañó pruebas suficientes para respaldar esa afirmación.

Scotiabank tampoco aportó antecedentes detallados sobre la investigación interna desarrollada después del fraude, más allá del informe que contenía su propia conclusión.

El fallo destacó que el banco estaba en mejores condiciones para acreditar el funcionamiento de sus sistemas de seguridad, los registros de autenticación, las alertas generadas y las medidas adoptadas para verificar las operaciones.

No obstante, según la resolución, la institución no demostró que hubiese activado todos los resguardos exigibles ni que el fraude se produjera exclusivamente como consecuencia de un descuido grave del cliente capaz de superar las salvaguardas bancarias.

El deber de monitorear los fraudes corresponde al banco

La Corte Suprema enfatizó que las obligaciones de monitoreo, control y prevención de fraudes recaen expresamente sobre las entidades bancarias.

Los patrones habituales de comportamiento financiero de cada cliente constituyen, en ese contexto, elementos relevantes para detectar operaciones potencialmente engañosas o irregulares.

En este caso, el banco no explicó de manera detallada cómo evaluó la discrepancia entre las transacciones cuestionadas y la conducta habitual del titular de la cuenta.

Para el máximo tribunal, la entidad financiera tenía la obligación de contar con herramientas informáticas idóneas para detectar movimientos sospechosos, especialmente ante operaciones consecutivas, de elevados montos y realizadas desde una dirección IP desconocida.

Suprema establece falta o abuso grave

La Segunda Sala concluyó que los ministros de la Corte de Apelaciones de Santiago incurrieron en falta o abuso grave al descartar la responsabilidad infraccional de Scotiabank.

Según el fallo, los jueces se concentraron en la eventual entrega de mecanismos de seguridad a terceros, pero omitieron examinar suficientemente la conducta desplegada por la entidad financiera.

La Corte Suprema sostuvo que este análisis incompleto terminó trasladando al cliente las consecuencias económicas del fraude, pese a que sobre el banco pesaba el deber de resguardar los fondos y controlar las operaciones sospechosas.

Esta omisión vulneró el deber de seguridad establecido en el artículo 3, letra d), de la Ley N.º 19.496, disposición que reconoce el derecho de los consumidores a la seguridad en el consumo de bienes y servicios.

Confirman sentencia del Juzgado de Policía Local

Como consecuencia de lo anterior, la Corte Suprema acogió el recurso de queja presentado contra los ministros Carlos Farías Pino, Carolina Vásquez Acevedo y Patricio Martínez Benavides.

El máximo tribunal dejó sin efecto la sentencia pronunciada el 30 de septiembre de 2024 por la Corte de Apelaciones de Santiago y confirmó la resolución dictada el 2 de febrero de 2022 por el Primer Juzgado de Policía Local de Ñuñoa, en los autos rol 28.181-2020-RB.

La decisión fue adoptada con el voto en contra del ministro Manuel Antonio Valderrama.

La Corte resolvió no remitir los antecedentes al Pleno, al considerar que la inobservancia constatada no revestía una gravedad que justificara la aplicación de una medida disciplinaria.

Conclusión jurídica

El fallo reafirma que la seguridad bancaria no se agota en la entrega de claves, contraseñas o mecanismos de autenticación al cliente. Las instituciones financieras también deben mantener sistemas eficaces de monitoreo, capaces de detectar operaciones incompatibles con el comportamiento habitual de los usuarios.

La resolución establece que un banco no puede atribuir automáticamente el fraude al cliente sin demostrar, mediante antecedentes técnicos y verificables, que sus protocolos funcionaron correctamente y que el perjuicio se originó exclusivamente en una negligencia grave del titular.

En ese sentido, la sentencia fortalece la aplicación del deber de seguridad contemplado en la legislación de protección al consumidor y confirma que los riesgos derivados de los servicios financieros digitales no pueden ser trasladados íntegramente a los usuarios cuando existen señales objetivas que debieron activar las alertas de la institución.