Nota: Ausbanc México no tiene ninguna relación con Ausbanc España, solo decidimos tomar las mismas iniciales aquí en México

Asaltos en el ciberespacio
Por Gina Manfredo

El teléfono sonaba de manera insistente aquella mañana del 14 de julio de 2005, recuerda Alejandro Sánchez, empresario de la ciudad de México. La llamada era de la directora de una de las sucursales del BBVA Bancomer. Quería saber si él había realizado algún movimiento en sus cuentas bancarias en los tres últimos días. Sánchez le contestó que la última vez que había entrado en su página electrónica había sido el 30 de junio, cuando pagó las nóminas de sus empleados. Preocupado, le preguntó a la directora cuál era el problema. Ésta le contestó que no podía decírselo en ese momento, pero que, por medidas de seguridad, bloquearía sus cuentas. A Sánchez le entró pánico.
Al mediodía, varios funcionarios del banco llegaron a su oficina como si fueran a un velorio. Le dijeron que sus cuentas se encontraban casi en cero: cerca de tres millones de pesos se habían esfumado en el ciberespacio. “Me caí de espaldas”, dice Sánchez, de 45 años. El shock fue total días después, cuando el banco le enseñó los últimos movimientos de sus cuentas: el fraude del fin de semana fue lento pero seguro. En un total de 199 operaciones, el dinero se transfirió a cuentas “desconocidas” dentro y fuera de la entidad. Los funcionarios del banco le aseguraron que en una semana le devolverían su dinero. Pero se equivocaron.
Cinco meses y medio después, el 27 de diciembre, a María Ramírez, de 39 años de edad y con 15 años de experiencia en el sector bancario, le sacaron un millón de pesos de sus cuentas en el banco Santander Serfín. Dos años atrás había decidido acogerse a la comodidad prometida por el banco: acceso seguro a sus cuentas bancarias las 24 horas del día, desde cualquier computadora, independientemente del lugar del mundo donde se encontrara. Abrió tres cuentas de cheques y compró un servicio de enlace de Internet para administrarlas. Pero la noche del 27 de diciembre, alguien ajeno a ella transfirió los dineros de sus cuentas de cheques a su cuenta de enlace. De ahí, el dinero se movió a tres cuentas “desconocidas” en diez transferencias a otra institución bancaria. Ella tampoco ha podido recuperar su dinero.
Sánchez y Ramírez son víctimas de uno de los delitos que más preocupan a las autoridades financieras en el ámbito mundial en los últimos años ¬—pero que apenas empieza a inquietar a funcionarios mexicanos: el fraude cibernético. De acuerdo con un comunicado de prensa colocado a mediados de marzo en la página Web de la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros, Condusef, “el fraude cibernético a cuentahabientes asciende en México ya a los 7,000 millones de pesos, es decir, que el índice de transacciones fraudulentas está por el orden de una de cada tres mil”. En el mundo, el monto de los fraudes podría superar los 105,000 millones de dólares. Las cifras salieron a relucir en el marco del Primer Congreso Internacional de Protección de los Derechos de los Usuarios de Servicios Financieros, organizado en febrero por la propia Condusef. En la mayoría de los casos los montos son pequeños, pero no son extraños casos como los de Sánchez y Ramírez.

¿Culpa de quién?
Después de una investigación de 45 días, en el caso de Sánchez, el banco concluyó que alguien le había robado la contraseña al empresario, y que por lo tanto la institución no tenía ninguna responsabilidad en el fraude. Consultado por PODER, el BBVA Bancomer no quiso hacer comentarios sobre el caso específico del empresario, pero respondió por escrito que la tendencia mundial es que los delincuentes cibernéticos, imposibilitados de sacar información secreta de los bancos –por los controles que estos han impuesto–, “han buscado el eslabón más fácil de la cadena: el cliente, a quien le roban su información sensible”. El banco, dice, intenta combatir esto educando a sus clientes para que naveguen seguro por el Internet, y “robusteciendo” sus sistemas de autenticación.
Ése es un argumento que los bancos han venido reiterando en los últimos meses. Dentro de la mesa de análisis “Fraudes Cibernéticos, Tecnologías de la Información y Servicios Financieros” del Congreso organizado por la Condusef, la misma entidad, según un comunicado de prensa, concluyó que el cliente, más que el sistema financiero, es vulnerable a ataques cibernéticos porque “conoce poco la tecnología”.
No es extraño, por eso, que ése haya sido también el argumento que utilizó el banco Santander Serfín para responderle a Ramírez por el millón de pesos desaparecido de sus cuentas. “El robo fue de tu lado”, le dijo uno de los directores del banco, mientras le informaba que la institución que representaba no tenía responsabilidad alguna en el fraude, pues había sido a ella a quien le habían robado la contraseña.

¿Sistema seguro?
En opinión de algunos expertos, el problema es que la banca electrónica en México tuvo un crecimiento muy acelerado, que no estuvo acompañado por desarrollos adecuados en materia de seguridad. “En México estamos en pañales”, dice Enrique Arias, director de Análisis Financiero de Condusef. El país, según él, se ha quedado en la retaguardia en lo que compete al fraude en el mundo cibernético, donde los defraudadores son cada vez más agresivos. México necesita aprender de las experiencias de Estados Unidos y Europa, donde ya han vivido los riesgos y han sufrido las pérdidas, dice.
Ken Rijock, experto estadounidense en el tema del fraude bancario, dice por su parte que los bancos en México no tienen elementos de seguridad suficientes para garantizar la confidencialidad de las cuentas del cliente y evitar que se realicen operaciones ilegales. Y los cuentahabientes están muy desprotegidos. “En Estados Unidos y en Europa –dice– los bancos tienen seguros que protegen el dinero que tienen depositados los clientes contra distintos tipos de ilícitos como lo es el fraude cibernético”.
El sistema punitivo, además, es muy débil, y las investigaciones se ven obstaculizadas muchas veces por falta de elementos probatorios. Eduardo Zepeda, jefe del departamento de delitos cibernéticos de la Policía Federal Preventiva, declaró a reporteros locales que una de las razones por las cuales no logran detener a los responsables es porque la mayoría de las veces los bancos no colaboran con el suministro de la información necesaria para las investigaciones.
Según Arias, las amenazas en la banca electrónica están en todos lados –dentro y fuera del ciberespacio–. Los peligros empiezan con el cliente, que muchas veces descuida su contraseña y no protege su equipo. El banco, que debe de tener los más altos estándares de seguridad, desde la contratación del personal hasta la integridad del sistema, también falla. Y las autoridades responsables, que deben inspeccionar que los bancos cumplan con los parámetros de seguridad, no hacen su trabajo. “El circulo es perverso”, dice Arias.

Falta de reglas
Aunque los servicios de banca electrónica por Internet en México datan del año 2000, sólo el pasado 3 de marzo la Comisión Nacional Bancaria y de Valores (CNBV), organismo regulador de las instituciones financieras, puso en marcha reglamentos de seguridad para proteger a los usuarios de la banca electrónica. Considerando, entre otras cosas, “que de acuerdo con las sanas prácticas internacionales, resulta necesario establecer los requerimientos mínimos que deberán observar las instituciones de crédito en materia de seguridad para operaciones de banca electrónica, a fin de proteger tanto a los usuarios como a las propias instituciones de crédito”, la resolución adiciona un capítulo a las disposiciones de carácter general aplicables a las instituciones de crédito, para tratar de aumentar la seguridad en el sector.
Con los nuevos reglamentos, los bancos estarán obligados, entre otras cosas, a advertir a los clientes sobre los riesgo que enfrentan con el uso de la banca en línea, a establecer tecnologías y métodos de seguridad contra el robo de contraseñas, a cancelar la sesión por Internet si el cliente no registra actividad en un periodo mayor de 20 minutos y a entregar la bitácora de las cuentas de los clientes, cuando éstos lo soliciten. “Las reglas que la CNBV ha emitido, harán del uso de la banca por Internet en México una de las más seguras en el mundo”, según Carlos Marmolejo Trujillo, director general de Supervisión de Sistemas Informáticos de Instituciones Financieras.
De hecho, varios bancos –incluido el BBVA Bancomer– empezaron a adoptar medidas más estrictas de seguridad aún antes de que se expidiera la resolución de la Comisión Nacional Bancaria y de Valores, que sólo estará en plena aplicación en un plazo de seis meses. Todos estos pasos darán sin duda más tranquilidad, tanto a los cuentahabientes como a los bancos. Pero no liberarán a estos últimos de enfrentar los reclamos de los clientes que han sido víctimas de fraudes en los últimos meses.

Los reclamos
Tal es el caso de Sánchez. Después de asegurarle que el banco no tenía responsabilidad en el fraude sufrido por él, los funcionarios del BBVA Bancomer le dijeron que lo único que podían hacer era devolverle 575,000 pesos que habían sido retenidos después de descubrir las 199 transacciones fraudulentas en sus cuentas. La condición era que tenía que firmar una carta en la que deslindaba al banco de toda responsabilidad por la pérdida del resto del dinero –casi 2.5 millones de pesos–. Sánchez no sólo se negó, sino que decidió entablar una denuncia penal contra los funcionarios del banco, por extorsión.
El empresario presentó, además, una reclamación en la Condusef, que actúa como organismo conciliador entre los usuarios y las entidades financieras del país y arbitra sus diferencias. Pero en la diligencia de conciliación la abogada externa contratada por el banco no entregó la bitácora de las cuentas de Sánchez, solicitadas por éste de manera reiterada. Entregó a cambio un documento que decía que los traspasos fraudulentos se efectuaron bajo la responsabilidad de Sánchez y declinó la invitación al arbitraje. La conciliadora de Condusef le dijo a Sánchez que si “Bancomer no quería negociar, no podía hacer nada”. Y cerró el caso. Sánchez decidió entonces presentar otra denuncia contra los funcionarios del banco, por encubrimiento.
En el caso de Ramírez, el abogado penalista Alejandro Céspedes acusa a Santander Serfín de presentar un informe incompleto de los hechos, en el que no se menciona que ella no pudo tener acceso a sus cuentas el día del fraude, ya que el sistema invalidó su contraseña. “El informe del banco no fue veraz”, dice Céspedes. El banco, según el abogado, nunca advirtió a su clienta que corría el riesgo de perder “todo” su capital de trabajo al usar la banca electrónica y no le enseñó cómo protegerse de las operaciones ilegales. Todo lo contrario: le aseguró que el servicio era 100 por ciento confiable.
Al igual que Sánchez, Ramírez asistió a una audiencia de conciliación arbitrada por Condusef. En la audiencia, un abogado externo contratado por el banco entregó por escrito la posición de Santander Serfín y declinó la invitación al arbitraje. El informe decía que las 13 operaciones ejecutadas el día del fraude habían sido “exitosas”. “Al banco le robaron mi dinero y se ha deslindado de su responsabilidad”, dijo Ramírez. El abogado respondió que no conocía de su caso en particular y que él no llevaba el tema de banca electrónica en general. Su especialidad, dijo, era el fraude con cheques.
Al final de la audiencia, Condusef dictaminó que existían elementos jurídicos para ir a los tribunales y dio órdenes a Santander Serfín de reservar el dinero de Ramírez hasta que un juez civil dicte una sentencia. Ni los voceros ni los directores del banco respondieron a varias llamadas y mensajes mandados por correo electrónico pidiendo una ampliación de la información sobre las medidas de seguridad del banco, las responsabilidades del mismo hacia sus clientes y comentarios sobre las acusaciones de Ramírez.

Preparativos
Para tratar de evitar este tipo de problemas, bancos como Banorte y Banamex han proporcionado a sus clientes un dispositivo portátil que genera claves dinámicas de acceso. Banamex, además, ha contratado a conocidos expertos mundiales para que dicten charlas sobre el tema. Hace poco trajo a México a Frank Abagnale, multimillonario conferencista estadounidense y personaje principal en la vida real de la película “Atrápame si puedes”, para que les platicara a sus clientes y a los empleados del banco cómo evitar fraudes.
Un mes después del fraude sufrido por Sánchez, BBVA Bancomer proporcionó a sus clientes una tarjeta de tabla de contraseña aleatoria. Un director del banco dijo que, desde que implementaron ese sistema, las reclamaciones por fraude en Internet prácticamente han desaparecido. Los directores del Banco Santander Serfín no respondieron a varias solicitudes de información sobre sus medidas de seguridad, pero ejecutivos de cuenta de banca electrónica insistieron en que con mantener en secreto la clave del usuario y la contraseña es suficiente para prevenir operaciones ilegales.
Bancos pequeños como Ixe prefieren que sus clientes de la banca empresarial registren previamente las cuentas destinos y hagan sus transferencias de dinero en computadoras en las cuales ellos ya han instalado un certificado de protección digital, un documento electrónico que identifica al usuario. “Hasta ahora no hemos tenido quejas, por lo menos en el área de seguridad”, dice Claudia Reyes, ejecutiva del departamento de Banca Electrónica.
Lo cierto es que cada día los usuarios de la banca electrónica serán más exigentes. “Los clientes deben de escoger un banco por recomendación, que tenga la postura de ‘vamos a investigar’ en el momento de un fraude y demuestre sus planos de seguridad”, dice David Robillard, director de Kroll en México, una empresa líder que asesora a empresas en el tema de riesgos. Si las instituciones no tienen el sistema para capturar la evidencia cibernética es muy difícil encontrar o rastrear hacia donde fue el dinero, dice. Ya otros países han pasado por estos procesos y, lejos de declinar, la banca electrónica está cada día más desarrollada. México no puede ser la excepción. Sino, dice Ramírez, “Vamos a tener que regresar a los días cuando escondíamos el dinero abajo del colchón de la cama”.