La mañana comenzó con una tarea habitual para una empresa de repuestos y accesorios para el automotor de Cipolletti. Uno de sus responsables ingresó a la plataforma bancaria, revisó los movimientos de la cuenta y autorizó un pago. Poco después, la pantalla de la computadora quedó azul y mostró un aviso de actualización del sistema. Cuando intentó recuperar el acceso, descubrió que el saldo había cambiado de forma abrupta.
En pocos minutos, la cuenta registró una secuencia que la firma desconoció. El sistema incorporó a un nuevo usuario con perfil de administrador, permitió la contratación de un préstamo digital, concretó la venta de moneda extranjera y autorizó ocho transferencias hacia cuentas que no tenían relación previa con la actividad comercial.
El responsable de la empresa acudió de inmediato a la sucursal. Allí comunicó lo ocurrido y solicitó el bloqueo de los accesos. BBVA Argentina S.A. activó el protocolo antifraude y le indicó que debía efectuar una denuncia penal. La firma también presentó un reclamo formal, pero la entidad rechazó la solicitud de restitución.
En el expediente judicial, la empresa sostuvo que ninguna persona autorizada prestó consentimiento para esas operaciones y afirmó que el sistema bancario no detectó movimientos que se apartaron de manera evidente del uso habitual de la cuenta.
El banco negó su responsabilidad. Señaló que las operaciones se realizaron con credenciales válidas y sostuvo que la custodia de las claves y de los dispositivos de autenticación correspondía a quienes utilizaban el servicio.
La prueba incorporada al expediente permitió reconstruir parte de la secuencia. La pericia contable determinó que las transferencias se concentraron en un período reducido, tuvieron como destino cuentas sin antecedentes de vinculación con la empresa y modificaron de manera sustancial el perfil normal de sus operaciones.
La pericia informática confirmó que la cuenta tenía dos usuarios habituales, cada uno asociado a un dispositivo físico de autenticación. También detectó el alta de un tercer administrador que la firma no reconoció. La creación y la validación de ese usuario quedaron asociadas a conexiones distintas de las que utilizaba la empresa.
El análisis del correo electrónico vinculado con la cuenta tampoco encontró avisos sobre el alta del nuevo administrador, el préstamo, la venta de divisas o las transferencias. En cambio, sí aparecieron mensajes relacionados con operaciones legítimas anteriores.
La sentencia valoró que BBVA Argentina S.A. no presentó todos los registros técnicos necesarios para explicar cómo se incorporó al nuevo usuario, qué mecanismo de autenticación se utilizó y por qué la secuencia no activó controles adicionales. Tampoco acreditó el envío de alertas, una confirmación por un canal independiente o un bloqueo preventivo antes de la salida de los fondos.
El fallo consideró que el uso aparente de credenciales correctas no bastó para demostrar el consentimiento de la empresa. También señaló que la intervención de terceros constituye un riesgo previsible dentro de la banca digital y que las entidades deben aplicar medidas de monitoreo, alerta y validación ante operaciones inusuales.
La sentencia declaró inoponibles el préstamo, la venta de moneda extranjera y las transferencias respecto de la firma. Esto significa que el banco no puede hacer valer esas operaciones contra la empresa ni exigirle que asuma sus consecuencias. El crédito, los cargos y los registros vinculados con esa contratación no deben afectar su patrimonio ni su situación crediticia.
El fallo también ordenó la restitución de los fondos afectados y dispuso la rectificación de cualquier información desfavorable relacionada con el préstamo. Además, aplicó una multa civil por la magnitud de la operatoria, la falta de una explicación técnica individualizada y la respuesta que la entidad brindó después del reclamo.
La sentencia es de primera instancia y no está firme porque puede ser apelada.