Fraude digital: ¿Cómo protegerse y cómo actuar ante una operación desconocida?

Los ataques cibernéticos contra usuarios del sistema financiero dejaron de ser un problema lejano. El phishing, los mensajes falsos, las publicidades engañosas y otras modalidades de estafa forman parte de un escenario que cambia a medida que también cambia la forma en que las personas realizan sus operaciones financieras.

Desde el Centro de Respuestas ante Incidentes Cibernéticos (CERT) del Ministerio de Tecnologías de la Información y Comunicación (MITIC) advierten que este fenómeno no es exclusivo de Paraguay. Indican que ocurre de manera permanente en distintos países y las modalidades se van adaptando a los nuevos hábitos digitales.

Walter Magliano, jefe del área de Seguridad Preventiva y Proyectos del CERT, explicó a Agenda Legal que el cambio tecnológico también modificó la forma en que operan los delincuentes. Hace 15 o 20 años eran frecuentes las llamadas telefónicas engañosas; posteriormente aparecieron los correos falsos y actualmente las campañas pueden utilizar mensajes de texto, enlaces, códigos QR y publicidad digital para intentar obtener información o acceder a cuentas.

El objetivo, según explicó, suele ser el mismo, conseguir datos que permitan realizar operaciones fraudulentas, acceder a tarjetas o producir el vaciamiento de cuentas. La diferencia está en los mecanismos utilizados para engañar a las víctimas.

¿Por qué aumentan y cambian los ataques?

La mayor digitalización de las operaciones financieras amplió también la superficie de riesgo. El uso de códigos QR, alias, aplicaciones bancarias y otros mecanismos de pago facilitan las transacciones, pero también generan nuevas oportunidades para los estafadores.

Magliano explicó que actualmente ya no se puede considerar que determinadas modalidades de ataque son problemas que ocurren solamente en otros países. La evolución tecnológica y la rápida incorporación de nuevas herramientas digitales hacen que esas prácticas también lleguen a Paraguay.

Una de las modalidades mencionadas son las llamadas “campañas”. “Un grupo de delincuentes identifican un país o un determinado grupo de interés, preparan una estructura de engaño y la ejecutan contra varias personas en un mismo periodo. Por eso pueden registrarse varios casos similares prácticamente al mismo tiempo”, precisó.

También están las publicidades engañosas en internet. Los delincuentes pueden crear anuncios que aparentan pertenecer a medios de comunicación, empresas u otras entidades conocidas y dirigir a la víctima hacia un sitio falso. El hecho de que muchas operaciones publicitarias sean automatizadas facilita la creación de este tipo de contenidos.

Ante este escenario, el especialista del CERT insiste en una medida básica, desconfiar de los enlaces recibidos por mensajes, correos o redes sociales y verificar siempre la dirección del sitio al que se está ingresando. Tampoco se debe entregar información personal, claves, códigos de autenticación u otros datos sensibles a través de canales no oficiales.

La seguridad, además, no depende únicamente del banco. Magliano señala que el propio usuario debe adoptar medidas de protección. Por ejemplo, recomienda evitar operaciones bancarias desde redes Wi-Fi públicas y utilizar la conexión móvil del teléfono para este tipo de transacciones.

También aconseja revisar las aplicaciones instaladas en el celular y evitar aquellas de origen dudoso, porque cada aplicación puede representar una nueva puerta de entrada para un atacante.

¿Qué pasa si igual vacían la cuenta?

Aquí aparece una de las principales dudas de los usuarios. Si una persona cae en un esquema de phishing y pierde dinero, ¿la responsabilidad es automáticamente del banco?

La respuesta no es automática. Nadia Pereira, abogada especializada en propiedad intelectual y protección de datos personales y crediticios, aclaró a Agenda Legal que la responsabilidad debe analizarse según las circunstancias del caso y las medidas de seguridad implementadas por la entidad.

El banco tiene obligaciones concretas en materia de gestión de riesgos y seguridad. Ante un incidente, debe actuar de manera inmediata para contener el daño, incluyendo el bloqueo de cuentas o canales digitales comprometidos cuando corresponda. También debe informar a la Superintendencia de Bancos sobre hechos que puedan afectar la seguridad y proporcionar información clara y oportuna al cliente afectado.

Nadia Pereira, abogada especializada en propiedad intelectual y protección de datos personales y crediticios.

La especialista expuso que la omisión de las medidas exigidas puede generar sanciones administrativas y que estas no necesariamente excluyen una eventual responsabilidad civil frente al cliente cuando se demuestra negligencia en la protección de los sistemas.

Por eso, no todos los casos de fraude tienen el mismo resultado jurídico. Una cuestión relevante será determinar si la entidad contaba con medidas adecuadas de seguridad y si estas fueron aplicadas correctamente.

¿Qué debe hacer una persona ante una operación fraudulenta?

Lo primero es contactar inmediatamente al banco a través de sus canales oficiales y dejar constancia formal del reclamo. Remarcó que la rapidez es fundamental para intentar bloquear las cuentas y evitar que continúen las operaciones.

El segundo paso es realizar la denuncia correspondiente ante el Ministerio Público, debido a que puede tratarse de un delito informático. También existe la posibilidad de acudir ante la Secretaría de Defensa del Consumidor y el Usuario (SEDECO) cuando estén involucrados derechos del consumidor y ante la Superintendencia de Bancos cuando el reclamo esté relacionado con la seguridad o funcionamiento de la entidad financiera.

Estas vías pueden utilizarse de manera complementaria, según la naturaleza del caso. Pereira hizo énfasis también en que el cliente tiene derecho a recibir información clara, a un trato digno y a contar con sistemas seguros para el manejo de sus datos e información financiera.

En caso de buscar posteriormente un resarcimiento económico por los daños sufridos, puede existir una vía judicial civil o penal, dependiendo de las características del hecho. Sin embargo, la especialista refiere que primero debe recurrirse a la entidad bancaria y agotar la instancia administrativa correspondiente.

Si el banco no responde dentro del plazo establecido, la vía administrativa puede considerarse agotada. Según mencionó, la entidad dispone de 30 días para responder al reclamo y puede solicitar una prórroga de 15 días adicionales. Cumplido ese plazo sin una respuesta, el cliente puede acudir ante la Superintendencia de Bancos.

La prevención sigue siendo la primera barrera

Desde el CERT, el enfoque principal es preventivo. El organismo brinda orientación a la ciudadanía y asistencia a entidades gubernamentales sobre incidentes y medidas de seguridad. También realiza análisis de vulnerabilidades y brinda apoyo relacionado con entornos de seguridad y monitoreo.

En el caso de las empresas privadas, el CERT no funciona como una consultora de ciberseguridad general, ya que su trabajo está principalmente dirigido a las instituciones públicas y a la ciudadanía. No obstante, una persona puede acudir al organismo cuando tenga una duda razonable sobre la seguridad de sus datos y recibir orientación o ser derivada a la instancia correspondiente.

La principal conclusión que dejan ambas miradas es que la seguridad financiera ya no depende solamente de una contraseña. Bancos, empresas y usuarios forman parte de una cadena en la que cada eslabón debe adoptar medidas de protección.

En un entorno donde las operaciones digitales crecen y las modalidades de estafa cambian constantemente, reconocer un mensaje falso, no abrir un enlace sospechoso y actuar rápidamente ante una operación desconocida puede ser tan importante como cualquier otra medida de seguridad.