nombre reservado con BANCO SCOTIABANK CHILE

C.A. de Concepción.

Concepción, doce de agosto de dos mil veinte.

Vistos:

Comparece en estos autos, doña nombre reservado terapeuta ocupacional, domiciliada en domicilio reservado, e interpone recurso de protección en contra del Banco Scotiabank Chile, representado legalmente por su gerente general don nombre reservado, ambos domiciliados en domicilio reservado.

Expone, que es cliente de la recurrida en virtud de un contrato de cuenta corriente, por el cual obtuvo los siguientes productos: Cuenta corriente N° [cuenta reservada], tarjeta de crédito VISA N°[cuenta reservada], tarjeta de crédito MasterCard N°[cuenta reservada], contrato que celebró, en razón de que dicho Banco le aprobó un crédito hipotecario, siendo condición para la obtención de tal crédito tener contratado dichos productos, pudiendo además obtener la posibilidad de pagar los gastos operacionales del crédito hipotecario con el cupo de la línea de crédito o con cargo a alguna de las tarjetas de crédito.

Afirma que el viernes 10 de enero del presente año, alrededor de las 17:00 horas, encontrándose en su lugar de trabajo, recibió un correo electrónico de parte de Banco Scotiabank, informándole que tenía una transferencia de fondos retenida, razón por la cual mediante la aplicación de su celular, revisó su cuenta, percatándose que se había utilizado el cupo de sus productos según el siguiente detalle: a) Tarjeta MasterCard N° 5156-5863-0082-6715 por un valor de $1.900.000; b) Tarjeta Visa N° 4214-0161-0069-3100 por un valor de $1.900.000; c) Transferencia de línea de crédito asociada a su cuenta corriente N° [cuenta reservada] por un valor de $ 1.142.082. Lo que en definitiva suma un total de $4.942.082.-, dinero que fue defraudado de sus productos, sin su autorización. Indica que, en ningún momento, utilizó sus tarjetas bancarias, no realizó ningún tipo de transacción en donde hubiera ingresado los datos o códigos de autorización para la utilización de sus productos, destacando que los productos antes indicados eran nuevos, con menos de un mes de antigüedad, desde que los obtuvo.

Agrega que, procedió inmediatamente a llamar telefónicamente a la Srta. nombre reservado, ejecutiva de cuenta de BANCO SCOTIABANK, sucursal ubicada en domicilio reservado, quien una vez narrado los hechos le indicó que podría tratarse de un fraude, sin embargo, antes de dar cualquier respuesta formal debían revisar los antecedentes, por lo que la aconsejó que llamara al número 6006700500, que corresponde al centro atención de clientes del banco, a través de la llamada le informaron que se trataría de un fraude, por lo que se procedería a bloquear en ese mismo instante la línea de crédito y todas las tarjetas de crédito y débito, señalándose además, que el dinero le sería devuelto. Se le asignó el número de atención 1694859.

Añade que, a las 17:37, mientras conversaba con el centro de atención al cliente, doña nombre reservado, le envió un correo, señalándole que elimine el correo que le llegó indicando que tenía una transferencia, ya que podría ser un Phishing, que es un tipo de fraude electrónico, respondiéndole que se había comunicado con el centro de atención a clientes, habiendo bloqueado las tarjetas y la línea de crédito, y que le repondrían el dinero y los productos.

Expresa que el 14 de enero, recibió un correo de nombre reservado, analista del centro de atención a clientes la que le pidió que remitiera una serie de documentos, ya que ella sería la encargada de resolver la solicitud respecto al desconocimiento de las transacciones y la devolución de los dineros sustraídos fraudulentamente de sus productos bancarios, encargándole además que realizara la denuncia correspondiente. El 15 de enero de 2020, a las 13:56 horas acorde a lo instruido, por su ejecutiva bancaria, se dirigió a carabineros, particularmente a la Segunda Comisaría de Talcahuano, donde fue atendida por la funcionaria nombre reservado, a quien relató los hechos, quedando la denuncia bajo el número de Parte 233, luegp remitió a doña nombre reservado, la documentación solicitada, incluida la denuncia realizada en carabineros, comenzando a correr el plazo de 30 informado por su ejecutiva en el cual se realizaría el abono de los dineros defraudados. Hace presente que, habiendo transcurrido varios días sin respuesta a sus llamados telefónicos y correos electrónicos, el 28 de enero de 2020, la ejecutiva de cuentas doña nombre reservado, le envió un correo en respuesta a su consulta, indicándole que el banco tiene un mes contado desde que hizo la denuncia para realizar el abono provisorio, cuestión que nunca ocurrió, por lo que esperó hasta el 15 de febrero de 2020, época en la cual se cumplía el plazo indicado anteriormente, sin embargo nunca recibió la devolución del dinero y mucho menos el depósito de fondos provisorios, sino todo lo contrario, ya que desde el banco comenzó a recibir llamadas de cobros, indicándole que tenía cuotas pendientes de pago, correspondiente al uso de sus tarjetas de crédito Visa y Master Card, además de su línea de crédito.

Posteriormente, el 06 de marzo de 2020, recibió un correo de doña nombre reservado, quien le señaló que debía realizar un depósito urgente a su cuenta corriente, ya que se deben cubrir gastos operacionales asociados al crédito hipotecario, sin embargo, en sus productos no hay saldo disponible para cubrir estos gastos, cuestión que se informaría como deuda morosa a DICOM. Ante dicha situación y la posibilidad de que la deuda, generada por el fraude del cual fue víctima, se informará a DICOM, y basada en la información entregada por las ejecutivas, de que el dinero le sería devuelto, se vio en la obligación de acceder a lo indicado por la Sra. nombre reservado, depositando $610.000, transfiriendo el monto señalado el 10 de marzo de 2020.

El 18 de mayo de 2020, dice la recurrente, recibió un correo en que se le indica: que realizada la investigación pertinente, se concluyó que no existe vulneración de los sistemas de seguridad del Banco, que las transacciones fueron validadas, presumiendo la presencia de un Malwere (virus).

Manifiesta que la negativa del BANCO SCOTIABANK, a restituir los dineros defraudados, constituye, un acto ilegal y arbitrario, toda vez que la priva del derecho de propiedad, el derecho a la honra, consagrados en el artículo 19 N° 24 y N° 4 de la Constitución Política de la República, al imputársele maniobras dolosas destinadas a engañar al Banco recurrido, desconociendo estas transacciones que según éste, habría efectuado, lo cual no aconteció. Además la amenaza con enviarla registros de morosidad por deudas no adquiridas por ella, por lo que conforme el artículo 4 de la ley 20.009, modificada por la ley 21.234 publicada el 29 de mayo de 2020, pide se acoja el recurso decretando las medidas pertinentes para el restablecimiento del derecho y, en definitiva, se ordene al banco recurrido: a) Anular o dejar sin efecto transacción realizada sin su consentimiento el 10 de enero de 2020, con cargo a la tarjeta de crédito MasterCard N°[cuenta reservada], bajo el código de referencia 1301 con la descripción de avance, por $1.900.000.-, según consta en cartola de estado de cuenta nacional de tarjeta de crédito MasterCard, emitida el 27 de enero de 2020, (en cartola se registra como fecha de la transacción el día 13-01-2020, en consideración que la operación fue realizada el día viernes 10-01-2020, pasadas las 14:00 horas, considerándose efectuada el siguiente día hábil bancario); b) Anular o dejar sin efecto transacción realizada sin su consentimiento el 10 de enero de 2020, con cargo a su tarjeta de crédito VISA N°[cuenta reservada], bajo el código de referencia 1301 con la descripción de avance, por $1.900.000, según consta en cartola de estado de cuenta nacional de tarjeta de crédito VISA, emitida el 27 de enero de 2020 (en cartola se registra como fecha de la transacción el día 13-01-2020, en consideración que la operación fue realizada el día viernes 10-01-2020, pasadas las 14:00 horas, considerándose efectuada el siguiente día hábil bancario); c) Anular o dejar sin efecto la transacción realizada sin su consentimiento el 10 de enero de 2020, con cargo a la línea de crédito de su cuenta corriente N°[cuenta reservada], bajo el código de transacción 3Y con la descripción de transferencia de línea de crédito, por $1.142.082, según consta en la cartola de estado de cuentas, el 15 de enero de 2020; d)Eliminar todos los intereses y comisiones asociados a las operaciones antes señaladas; e) Eliminar a la recurrente de los registros de deudores morosos de la nómina de clientes del recurrido; f)

Dejar de realizar llamados de cobranza por parte del recurrido hacia el recurrente, exigiendo el pago de cuotas e intereses asociados a las operaciones objetadas en el presente recurso, con costas del recurso.

Informó don nombre reservado, Fiscal Jefe de la Fiscalía Local de Talcahuano, quien manifestó que se lleva adelante investigación RUC N2 2000061603-7, seguida por presunto delito de uso fraudulento de tarjeta de crédito, iniciada por denuncia de que da cuenta Parte policial N° 233, de 15 de enero de 2020, de la Segunda Comisaría de Carabineros de Talcahuano, en que se indica que la Sra. nombre reservado, 36 años, chilena, soltera, terapeuta ocupacional, cédula nacional de identidad NRUT reservado, formuló denuncia en contra de persona indeterminada, en los siguientes términos: y luego transcribe los mismos hechos relatados en el recurso. Señala que, a raíz de esa denuncia, el 22 de enero de 2020 se envió instrucción particular a la Brigada Investigadora de Delitos Económicos de Concepción, mediante oficio N° 1116-2020, en donde se instruye: 1) Entrevistar a la víctima, consultándole si ha entregado claves de acceso al banco o si ha perdido tarjetas de débito asociadas a la cuenta corriente mal utilizada y determinar si posee seguros o si el banco hizo devolución de dineros defraudados; 2) Determinar el lugar donde se efectuó el giro de dinero o la forma en que aquellos fueros sustraídos en el evento de cometerse el fraude por medios electrónicos; 3) Por lo anterior, se deberá llevar a cabo todas aquellas diligencias de investigación necesarias para el esclarecimiento de los hechos denunciados por la víctima y/o denunciante, el que se encuentra pendiente a la fecha.

Informó la Comisión para el Mercado Financiero, la que expuso, que no cuenta -como principio general- con los antecedentes particulares de las operaciones bancarias realizadas entre los bancos -como es el caso del recurrido de autos- y sus clientes. Asimismo, habiendo buscado en los sistemas de correspondencia de esa Comisión, no se encontraron registros de presentaciones efectuadas por la recurrente de autos sobre el asunto motivo de su recurso, pero que, esa Comisión ha dispuesto en el Capítulo 1-7 de su Recopilación Actualizada de Normas (RAN) sobre Transferencia Electrónica de Información y Fondos, el que se acompaña al presente oficio, las instrucciones para la prestación de servicios bancarios y la realización de operaciones interbancarias que se efectúan mediante transmisiones de mensajes o instrucciones a un computador conectado por redes de comunicación propias o de terceros, efectuadas desde otro computador o mediante el uso de otros dispositivos electrónicos, tales como cajeros automáticos, teléfonos, PINPAD u otros; y que dichos servicios comprenden tanto las transferencias electrónicas de fondos como cualquier otra operación que se realice utilizando documentos o mensajes electrónicos o dispositivos que permiten a los clientes del banco la ejecución automática de operaciones. Además, dichas normas abarcan las comunicaciones por vía electrónica que no den origen a una operación propiamente tal, cuando la información transmitida esté sujeta a secreto o reserva de acuerdo con lo establecido por el artículo 154 de la Ley General de Bancos.

Agrega que, los sistemas tecnológicos de que disponga el banco, como requisito general deben proveer un perfil de seguridad que garantice que las operaciones sólo puedan ser realizadas por personas debidamente autorizadas para ello, debiendo resguardar, además, la privacidad o confidencialidad de la información transmitida o procesada por ese medio. Igualmente los procedimientos deberán impedir que tanto el originador como el destinatario, en su caso, desconozcan la autoría de las transacciones o mensajes y la conformidad de su recepción, debiendo utilizarse métodos de autentificación para el acceso al sistema y al tipo de operación, que permitan asegurar su autenticidad e integridad. Por lo demás, las instituciones financieras deben mantener permanentemente abierto y disponible un canal de comunicación que permita al usuario ejecutar o solicitar el bloqueo de cualquier operación que intente efectuarse utilizando sus medios de acceso o claves de autenticación. Cada sistema que opere en línea y en tiempo real, debe permitir dicho bloqueo también en tiempo real.

Añade que, los canales electrónicos que sean dispuestos por las empresas bancarias deben contar con apropiados privilegios de autorización y medidas de autentificación, controles de acceso lógico y físicos, adecuada infraestructura de seguridad para observar el cumplimiento de las restricciones y límites que se establezcan para las actividades internas y externas, así como para cuidar la integridad de los datos de cada transacción y la privacidad de los registros e información de los clientes.

Hace presente que, la norma en comento exige a los bancos contar con sistemas o procedimientos que permitan identificar, evaluar, monitorear y detectar en el menor tiempo posible aquellas operaciones con patrones de fraude, de modo de marcar o abortar actividades u operaciones potencialmente fraudulentas, para lo cual deberán establecer y mantener, -de acuerdo a la dinámica de los fraudes-, patrones conocidos de estos y comportamientos que no estén asociados al cliente. Dichos sistemas deberán permitir tener una vista integral y oportuna de las operaciones tanto de clientes, como de no clientes, por ejemplo en los intentos de acceso, de los puntos de acceso, direcciones IP, Cajero Automático u otros, hacer el seguimiento y correlacionar eventos y/o fraudes a objeto de detectar otros fraudes, puntos en que estos se cometen, modus operandi, y puntos de compromisos, entre otros.

Respecto, de las medidas de seguridad de tarjetas de crédito, El Capítulo III.J.1 del Compendio de Normas Financieras del Banco Central de Chile, sobre Emisión de Tarjetas de Pago (“Capítulo III.J.1”), dispone expresamente que los emisores de tarjetas −como, en este caso, de pago −por ejemplo, una tarjeta de crédito− deberán disponer de resguardos operacionales y de seguridad adecuados en función de las tarjetas que emitan, conforme a los estándares y mejores prácticas internacionales sobre medios de pago (Tít. I, N°3, párrafo 2°). Por su parte, esta norma se ve reforzada por lo dispuesto en el Capítulo 8-41 de la RAN sobre Tarjetas de Pago (N°2.4.1). Además, la citada disposición del Capítulo III.J.1 indica que, como mínimo, deberán contar con una tecnología de seguridad que permita proteger apropiadamente la información contenida en las tarjetas, implementar mecanismos robustos de autentificación y prevención de fraudes, así como facilitar la verificación oportuna de la disponibilidad de cupos y saldos de éstas, y su bloqueo, según corresponda (Tít. I, N°3, párrafo 2°). Agrega que el Capítulo III.J.1 que los emisores deberán establecer políticas de gestión y control, especialmente, en materia de riesgos de fraude, entre otras. Dichas políticas deberán ser aprobadas por el directorio de la empresa emisora, así como la estructura organizacional y los procedimientos internos conducentes a su adecuada implementación y cumplimiento. Además, entre otros contenidos mínimos, dichas políticas y procedimientos deberán incluir las medidas de ciberseguridad y de otra índole adoptadas para prevenir y mitigar los riesgos de fraude, considerando las mejores prácticas en la materia (Tít. I, N°10, párrafo 3).

Finaliza señalando que la forma en que esa Comisión fiscaliza a las entidades bancarias es a través de un modelo denominado “Supervisión basada en Riesgos” (“SBR”). En definitiva, el modelo SBR apunta a verificar que las entidades supervisadas cumplan con el marco regulatorio prudencial vigente y adhieran a sanas prácticas de gestión de los riesgos; es decir, verificar la idoneidad de la gestión de los riesgos a que están expuestos los bancos. Desde una perspectiva de estabilidad financiera, el objetivo que se persigue con el modelo de SBR es que los bancos gestionen adecuadamente los riesgos a que están expuestos, en cuanto a su identificación, medición, control y monitoreo.

Informó don nombre reservado, abogado, en representación de Scotiabank Chile S.A., señalando que, recibido el reclamo de la recurrente, se efectuó la investigación del caso, determinando que todas las transacciones objetadas fueron realizadas utilizando las claves personales e intransferibles del actor, que dicha operaciones se realizaron a través del sitio web privado de la señora nombre reservado en el Banco, al cual se accede a través de la página web https://www.scotiabankchile.cl, ingresando en la sección de acceso al sitio privado, el Rut del recurrente y su clave personal y exclusiva, que es de su responsabilidad administrar y resguardar; y que las operaciones se realizaron mediante la aplicación móvil Keypass, que había sido correctamente enrolada por quien se identificó digitalmente como doña nombre reservado, mediante las correspondientes credenciales de seguridad proporcionadas por el Banco.

Expone, que el Keypass es una aplicación para dispositivos móviles, que cumple la función de ser un generador de claves dinámicas, que son específicamente creadas mediante esta aplicación móvil, a solicitud de titular de una cuenta corriente, para autorizar cada operación específica que éste desee realizar. Agrega que, en tanto no existió vulneración a los sistemas de seguridad de la institución y la recurrente se identificó correctamente como tal frente al Banco, de cara a las transacciones objetadas, ingresándose los datos y claves privadas y confidenciales del cliente, cuya custodia es su responsabilidad y que son indispensables para poder operar y administrar los productos y servicios financieros proveídos por el Banco a sus clientes en forma remota, a través de su sitio web o aplicación para dispositivos móviles. Asevera, además, que al Banco no le consta que la actora haya sido efectivamente víctima de un fraude, por lo que ella deberá acreditar íntegramente lo anterior y declararlo así en el tribunal pertinente, en un procedimiento de lato conocimiento.

Añade que la investigación y análisis que realizó el banco arrojó lo siguiente: 1) Se investigó el origen de las transacciones objetadas por la clienta, determinando que fueron realizadas a través del aplicativo Scotiaweb, siendo correctamente validadas por los sistemas de seguridad del Banco. La autorización fue mediante el uso del aplicativo KeyPass; 2) Se evidencia un eventual patrón de fraude informático por un tercero que habría afectado a titular de cuenta corriente, con el objeto de apropiarse de sus credenciales y claves con que operan por canales no presenciales del Banco; 3) Las transacciones objetadas y que fueron cursadas por Scotiabank, corresponden a operaciones a través de canal Scotiaweb o Scotiabank Go respectivamente, donde la cliente habría sido suplantada digitalmente por terceros. Las transacciones fueron validadas mediante el uso correcto del Rut y claves que solo están en conocimiento de los titulares de las cuentas (Clave Scotiaweb, Scotiapass, Keypass y Códigos de Tarjetas de coordenadas según corresponda). Todas las credenciales a excepción de KeyPass, habrían sido proporcionadas por el propio cliente al ser engañado a través de correos electrónicos falsos, sitios web falsos o llamados telefónicos realizados por falsos ejecutivos); 4) No existe responsabilidad de Scotiabank en el accionar fraudulento de terceros, ya que se utilizan las credenciales y claves proporcionadas por el propio cliente. Estas claves son de conocimiento, uso y resguardo exclusivo del titular de la cuenta, ya que no es posible su recuperación desde los sistemas, razón por lo cual no es factible su vulneración desde el interior del banco; 5) No se evidencia el compromiso a nivel de procesos o sistemas informáticos del Banco, para el curso de las transacciones objetadas por los clientes; 6) Producto que la captura de información personal y privada de los clientes se realiza fuera del ambiente seguro del Banco, los sistemas y procesos de seguridad implementados en la actualidad por Scotiabank no permiten alertar sobre esta situación. Sin embargo, permanentemente a través de los medos de comunicación y redes sociales de Scotiabank se informa a los clientes sobre métodos utilizados por los ciberdelincuentes y las medidas de autocuidado que deben ser adoptadas para prevenir y/o denunciar situaciones atribuibles a fraude, indicando los cuidados que los clientes, en cumplimiento de su obligación contractual y legal de resguardo de sus credenciales y claves privadas, deben tomar.

Expone, además, que el banco cuenta con un sitio web seguro, que permite acceder a cada cliente a sus productos financieros, mediante la incorporación del usuario y la clave de seguridad, personal e intransferible, que es definida por cada cliente, si luego de escribir correctamente la dirección, aparece un candado al costado izquierdo; y que para realizar operaciones online con los productos y servicios se requiere para ejecutar cada operación de una clave dinámica adicional a la de acceso al sitio web privado, la que es generada por los dispositivos o aplicaciones entregados por el Banco a sus clientes, esto es, Scotiapass y Keypass, señalados anteriormente; y que por lo demás, desde hace un tiempo se hacen campañas informativas, en razón de la existencia del flagelo de la ciberdelincuencia, siendo numerosas y reiteradas alertas a través de los distintos medios sociales y de comunicación, que han levantado las instituciones financieras.

Conforme lo anterior, hace presente que un fraude bancario puede ocurrir básicamente, por dos vías: (1) con vulneración de los sistemas del Banco; o (2) sin vulneración de los sistemas del Banco, suplantándose digitalmente la identidad del cliente por un tercero, quien obtuvo sus claves y datos a través de los mecanismos de fraude habituales: Pharming, Fishing, llamados telefónicos, instalación de malware.

Hace ver que en la actualidad, existe la posibilidad de validar una transacción ingresando la segunda clave a través de una aplicación móvil, llamada “Keypass” (o Scotiabank Azul Pass para los antiguos clientes de BBVA) que fue la aplicación utilizada para realizar las transacciones objetadas por la actora y que, de acuerdo a sus dichos, lo que en todo caso no les consta, no habrían sido realizadas por ella. Dicha aplicación “Keypass” es una aplicación móvil que genera claves únicas para que los usuarios autoricen transacciones desde el teléfono celular, sin necesidad de utilizar una tarjeta de coordenadas, Scotia Pass o una tercera clave, entregando un mayor dinamismo y velocidad, sin comprometer la seguridad en las transacciones bancarias.

Refiere que de acuerdo al artículo 602 del Código de Comercio se define el contrato de cuenta corriente como “un contrato bilateral y conmutativo…”. a su vez, el artículo 1 del DFL N° 707 señala “La cuenta corriente bancaria es un contrato a virtud del cual un Banco se obliga a cumplir las órdenes de pago de otra persona hasta concurrencia de las cantidades de dinero que hubiere depositado en ella o del crédito que se haya estipulado”, que por tanto, se trataría de un contrato nominado o típico, cuyas disposiciones esenciales se encuentran en los cuerpos legales antes referidos; así como también un contrato de “confianza en virtud del cual el Banco se obliga a cumplir las órdenes de pago del cliente hasta la concurrencia de las cantidades de dinero que hubiere depositado en ella o del crédito que se haya estipulado”. Y alega que el DFL N° 707 sobre Cuentas Corrientes Bancarias y Cheques señala el procedimiento para reclamar en caso que exista una divergencia o incongruencia en los estados de cuenta del cliente, y transcribe los artículos 4° y 5°. En consecuencia, la determinación judicial de los saldos en la cuenta corriente, no es cuestión que competa conocer a la Corte, con motivo de la interposición de un recurso de protección.

Sostiene, que no puede existir vulneración alguna al derecho de propiedad de la recurrente en el actuar de la recurrida, pues, no existe vulneración a las medidas de seguridad del Banco, pues la recurrente es quien tenía el deber de custodiar sus claves, quien falló en ello por lo que, de conformidad al contrato celebrado por las partes, debe hacerse responsable por el riesgo, por lo que solicita el rechazo del recurso de protección con costas.

Se ordenó traer los autos en relación.

Con lo relacionado y considerando:

1°) Que el recurso de protección de garantías constitucionales establecido en el artículo 20 de la Constitución Política de la República, constituye jurídicamente una acción constitucional de urgencia, de naturaleza autónoma, destinada a amparar el libre ejercicio de las garantías y derechos preexistentes que en esa misma disposición se indican, mediante la adopción de las medidas de resguardo que sean conducentes, ante un acto u omisión arbitrario o ilegal que impida, afecte, amague o perturbe el ejercicio de tales derechos.

Por consiguiente, es requisito indispensable para la plausibilidad de la acción de protección, la existencia de un acto u omisión arbitrario o ilegal, esto es, un evento contrario a la ley según el concepto contenido en el artículo 1° del Código Civil, o bien un evento que sea arbitrario, es decir, producto del mero capricho o voluntad infundada de quien incurre en él, y que provoque algunas de las consecuencias que se han enunciado, afectando a una o más de las garantías constitucionales preexistentes expresamente protegidas por la Constitución, consideración que resulta básica para el análisis y la decisión del recurso.

2°) Que, en el caso de que se trata, quien recurre de protección, ha manifestado que fue objeto de fraude bancario, toda vez que el día 10 de enero estando en su trabajo recibió un correo electrónico del Banco Scotiabank, informándole que tenía “una transferencia de fondos retenida”, por lo que ingresó mediante el celular a su cuenta constatando que le habían sustraído diversas sumas, sin su consentimiento, las que consistieron en: a) Desde la tarjeta MasterCard N° 5156-5863-0082-6715 le sustrajeron $1.900.000; b) Desde la tarjeta Visa N° 4214-0161-0069-3100 le sustrajeron $1.900.000; c) Y, además, se efectuó una transferencia de la línea de crédito asociada a su cuenta corriente N° [cuenta reservada] por la suma de $ 1.142.082. Lo que en definitiva suma un total de $ 4.942.082.

Una vez hecho el reclamo, el Banco le contestó que no le corresponde asumir responsabilidad en tales hechos, debido a que efectuaron la investigación correspondiente y se concluyó que no existió vulneración a los sistemas de seguridad del Banco.

Pide, que se anulen o se dejen sin efecto las transacciones señaladas, así como también los cobros por intereses y comisiones asociados a ellas; se le elimine del registro de deudores morosos y cesen las llamadas de cobranza asociadas a las referidas transacciones, con costas.

3°) Que, a su turno, el Banco Scotiabank Chile S.A. ha solicitado el rechazo del recurso en atención a que la gerencia de seguridad informó que las operaciones cuestionadas por la actora fueron realizadas utilizando las claves personales e intransferibles del ella; que dicha operaciones se realizaron a través del sitio web privado de la señora nombre reservado en el Banco, al cual se accede a través de la página web https://www.scotiabankchile.cl, ingresando en la sección de acceso al sitio privado, el Rut del recurrente y su clave personal y exclusiva, que es de su responsabilidad administrar y resguardar; y que las operaciones se realizaron mediante la aplicación móvil Keypass, que había sido correctamente enrolada por quien se identificó digitalmente como doña nombre reservado, mediante las correspondientes credenciales de seguridad proporcionadas por el Banco. Por consiguiente, en su opinión, no existió vulneración a los sistemas de seguridad de la entidad bancario, y de igual modo, no le consta, al Banco, que la señora nombre reservado haya sido objeto de un fraude.

4°) Que, por otra parte el Consejo de la Comisión para el Mercado Financiero ha informado -por medio del Intendente de Regulación de Bancos e Instituciones Financieras-que no cuenta con antecedentes relacionados con el caso de autos, pero al mismo tiempo ha hecho presente, las siguientes circunstancias: que la referida entidad ha dispuesto en el Capítulo 1-7 de su “Recopilación Actualizada de Normas (RAN) sobre Transferencia Electrónica de Información y Fondos”, las instrucciones para la prestación de servicios bancarios y la realización de operaciones interbancarias que se efectúan mediante transmisiones de mensajes o instrucciones a un computador conectado por redes de comunicación propias o de terceros, efectuadas desde otro computador o mediante el uso de otros dispositivos electrónicos, tales como cajeros automáticos, teléfonos, PINPAD u otros; y que dichos servicios comprenden tanto las transferencias electrónicas de fondos como cualquier otra operación que se realice utilizando documentos o mensajes electrónicos o dispositivos que permiten a los clientes del banco la ejecución automática de operaciones.

Refiere, que la norma antes señalada, exige a los bancos contar con sistemas o procedimientos que permitan identificar, evaluar, monitorear y detectar en el menor tiempo posible aquellas operaciones con patrones de fraude, de modo de marcar o abortar actividades u operaciones potencialmente fraudulentas, para lo cual deberán establecer y mantener, -de acuerdo a la dinámica de los fraudes-, patrones conocidos de estos y comportamientos que no estén asociados al cliente. Dichos sistemas deberán permitir tener una vista integral y oportuna de las operaciones tanto de clientes, como de no clientes, por ejemplo en los intentos de acceso, de los puntos de acceso, direcciones IP, Cajero Automático u otros, hacer el seguimiento y correlacionar eventos y/o fraudes a objeto de detectar otros fraudes, puntos en que estos se cometen, modus operandi, y puntos de compromisos, entre otros.

Y en relación con las tarjetas de crédito, afirma (…) “las medidas de seguridad de tarjetas de crédito, El Capítulo III.J.1 del Compendio de Normas Financieras del Banco Central de Chile, sobre Emisión de Tarjetas de Pago (“Capítulo III.J.1”), dispone expresamente que los emisores de tarjetas” −como, en este caso, de pago −por ejemplo, una tarjeta de crédito− “deberán disponer de resguardos operacionales y de seguridad adecuados en función de las tarjetas que emitan, conforme a los estándares y mejores prácticas internacionales sobre medios de pago (Tít. I, N°3, párrafo 2°). Por su parte, esta norma se ve reforzada por lo dispuesto en el Capítulo 8-41 de la RAN sobre Tarjetas de Pago (N°2.4.1)”.

“Además, la citada disposición del Capítulo III.J.1 indica que, como mínimo, deberán contar con una tecnología de seguridad que permita proteger apropiadamente la información contenida en las tarjetas, implementar mecanismos robustos de autentificación y prevención de fraudes, así como facilitar la verificación oportuna de la disponibilidad de cupos y saldos de éstas, y su bloqueo, según corresponda (Tít. I, N°3, párrafo 2°). Agrega que el Capítulo III.J.1 que los emisores deberán establecer políticas de gestión y control, especialmente, en materia de riesgos de fraude, entre otras”.

5°) Que, así las cosas, con lo informado por el Banco recurrido se deduce que no cuestiona las transacciones individualizadas en el recurso de protección, -que han sido calificadas por la recurrente como fraudulentas-, sino que ha manifestado que dichas operaciones bancarias se realizaron mediante la aplicación móvil Keypass, que había sido correctamente enrolada por quien se identificó digitalmente como la cuentacorrentista doña nombre reservado, mediante las correspondientes credenciales de seguridad proporcionadas por el Banco.

Por consiguiente, -dice el Banco-, de acuerdo al informe elaborado por la gerencia de seguridad, (…)”no existió vulneración a los sistemas de seguridad de la entidad bancaria, y de igual modo, no le consta, al Banco, que la señora nombre reservado haya sido objeto de un fraude”.

6°) Que, en el informe suscrito por el Gerente de Servicios Digitales del Banco recurrido, el analista forense responsable de analizar el caso a que se refieren estos autos, estableció, -en relación a las cuatro operaciones que denuncia la recurrente-, los siguientes hechos:

a) El monto del fraude bruto alcanzó $ 4.942.082, por medio de 4 transacciones.

b) El vector de compromiso corresponde a Phishing y/o Pharming e Ingeniería Social.

c) Que el canal utilizado fue “Scotia Web”

d) Y a la pregunta ¿Es fraude? responde SI, y a continuación, afirma que el patrón de fraude fue “suplantación digital del cliente”.

Luego concluye: “No existe compromiso de los sistemas o procesos del Banco. El cliente fue víctima de fraude derivado del compromiso de su identidad digital fuera del ambiente seguro de Scotiabank, razón por lo cual, posteriormente habría sido suplantado por terceros a través de los canales no presenciales del Banco, concretando las transacciones objetadas y que derivaron en la presente investigación. Respecto de las credenciales y claves dinámicas comprometidas y que los clientes utilizan para realizar transacciones por los canales no presenciales o aplicaciones móviles, éstas son cifradas y no pueden ser recuperadas desde los sistemas del Banco. Es por esto que ante la eventualidad que un cliente olvide sus credenciales, el Banco reinicia las claves para que el titular las cree nuevamente y de esta manera se evita el compromiso a nivel de los sistemas de Scotiabank”.

7°) Que, en torno a esta materia, la jurisprudencia del Máximo Tribunal, ha establecido reiteradamente que, el contrato de cuenta corriente bancaria constituye una especie de depósito respecto de un bien eminentemente fungible, siendo de cargo del depositario el riesgo de pérdida de la cosa depositada durante la vigencia de la convención (Excma. Corte Suprema, sentencia 20/06/18, Rol Nº 2.196-2018). Y de acuerdo con lo dispuesto en el artículo 2.221 del Código Civil, ha resuelto que: “los depósitos en dinero que se entregan a los Bancos o en dinero, si no es en arca cerrada cuya llave tiene el depositante o con otras precauciones que hagan imposible tomarlo sin fractura, se debe presumir que se permite emplearlo, y el depositario será obligado a restituir otro tanto en la misma moneda. A este depósito que autoriza al depositario para emplearlo, esto es, el dinero, se le llama depósito irregular”, de lo anterior colige que, “la obligación esencial del Banco es la restitución de las sumas depositadas, vale decir, la misma cantidad de dinero que ha recibido, aunque no se trate de las mismas monedas y billetes, por cuanto se trata de un depósito de cosas fungibles, cuya propiedad, como antes se ha señalado, adquiere éste”. (Excma. Corte Suprema, sentencia 30/07/20 en autos Rol N° 59.554 -20; en igual sentido Rol N° 59842- 20 sentencia de 3/06/20).

8°) Que, en el caso en cuestión, el Banco recurrido, aunque reconoce que existió fraude en la sustracción de los dineros de la recurrente, -de acuerdo con el informe a que se refiere el motivo 6°) de esta sentencia-, ha soslayado su responsabilidad manifestando que los sistemas de seguridad del Banco no fueron vulnerados, de lo que se colige, que implícitamente atribuye la responsabilidad en la sustracción de fondos a la recurrente doña nombre reservado, por consiguiente solo ella debería soportar la pérdida de tales fondos.

Sin embargo, la decisión adoptada por el Banco recurrido no se condice con lo establecido por su propio servicio digital, puesto que, analizada la situación desde el punto de vista cibernético, logró establecer que, el vector de compromiso corresponde a Phishing y/o Pharming e Ingeniería Social y que el canal utilizado fue la “Scotia Web”.

En efecto, en dicho documento, (destacado en el motivo 6° precedente), se afirmó que el modus operandi empleado en el caso en cuestión, fue “mediante la utilización de técnicas de ingeniería social y/o compromiso por malware del dispositivo utilizado por el cliente para realizar consultas y transacciones por los canales no presenciales del Banco, ciberdelincuentes capturaron sus credenciales y claves de acceso, logrando de esta forma suplantar la identidad digital del cliente.

9°) Que, por otra parte, de acuerdo con lo informado por la Comisión para el Mercado Financiero, en estos antecedentes, y su normativa contenida en la “Recopilación Actualizada de Normas (RAN) sobre Transferencia Electrónica de Información y Fondos”, así como también del “Compendio de Normas Financieras del Banco Central de Chile”, sobre Emisión de Tarjetas de Pago, los Bancos tienen el deber de implementar sistemas de seguridad que (…) “deberán permitir tener una vista integral y oportuna de las operaciones tanto de clientes, como de no clientes, por ejemplo en los intentos de acceso, de los puntos de acceso, direcciones IP, Cajero Automático u otros, hacer el seguimiento y correlacionar eventos y/o fraudes a objeto de detectar otros fraudes, puntos en que estos se cometen, modus operandi, y puntos de compromisos, entre otros”.

De lo anterior, se colige, que el sistema utilizado por la recurrida, -al parecer-, no cumple con las directrices antes señaladas por la autoridad financiera, toda vez que se limita a analizar y constatar que sus sistemas de control interno no sean vulnerados, dejando de lado las medidas de seguridad de los dispositivos que entrega a sus clientes para efectuar transacciones electrónicas, no presenciales. Lo mismo ocurre con el deber de implementar un sistema que le permita detectar, oportunamente, los intentos de acceso, de los puntos de acceso, direcciones IP, Cajero Automático u otros, hacer el seguimiento y correlacionar eventos y/o fraudes a objeto de detectar otros fraudes.

10°) Que, por consiguiente la decisión adoptada por el Banco recurrido, en cuanto a no responder a su cliente, doña nombre reservado, por el fraude que ella ha debido soportar es ilegal y arbitraria, debido a que al no asumir el perjuicio económico ha trasladado los efectos de ilícito bancario a la citada cuentacorrentista, afectando directamente el patrimonio de ésta, vulnerando así la garantía contemplada en el artículo 19 N° 24 de la Constitución Política de la República, el derecho de propiedad, lo que conduce necesariamente a que el presente recurso sea acogido.

Por estas consideraciones y de conformidad, además, con lo dispuesto en el artículo 20 de la Constitución Política de la República de Chile y en el Auto Acordado de la Excelentísima Corte Suprema, sobre Tramitación y Fallo del Recurso de Protección de las Garantías Constitucionales, SE ACOGE el recurso interpuesto por doña nombre reservado en contra de Banco Scotiabank Chile S.A., en consecuencia este último, deberá:

a) Dejar sin efecto el cargo efectuado el 10 de enero de 2020 en la tarjeta de crédito MasterCard por la suma de $1.900.000 que figura en el estado de cuenta como realizado el 13 de enero último; así como también el cargo efectuado en la tarjeta de crédito Visa, el 10 de enero de 2020, por la suma de $1.900.000, que también aparece registrada en el estado de cuenta como realizado el 13 de enero recién pasado, ambos cargos, imputados a la recurrente de autos.

b) Dejar sin efecto la transacción efectuada el 10 de enero último, con cargo a la línea de crédito de la recurrente, con la descripción de transferencia de línea de crédito, por la suma de $ 1.142.082 según consta de la cartola emitida por el Banco, el 15 de enero de 2020.

c) Eliminar a la recurrente de los registros de deudores morosos, suprimiendo toda clase de cobranza que se encuentre realizando, como consecuencia de las operaciones que han sido dejadas sin efecto en este fallo.

Regístrese, comuníquese y oportunamente archívese.

Redactó la Ministra Valentina Salvo Oviedo.

Rol Nº 11.096 - 2020 Protección.