Si hubo clave, ¿hubo consentimiento?

Hay fraudes que comienzan con un mensaje. Otros con una llamada. Otros con una clave temporal. Otros con un consumo que aparece en el exterior, mientras el titular está en Ecuador, trabajando, durmiendo o intentando vivir con normalidad.

Lo curioso es que, cuando el usuario reclama a su institución financiera, casi siempre escucha una misma explicación: “la transacción fue validada”, “se usó una clave”, “el código fue enviado al número registrado”, “el sistema registra autorización”. En otras palabras, la tecnología del banco termina convertida en testigo, juez y sentencia.

En el último año he conocido de cerca varios casos.

Una amiga me contó que jamás perdió el control de su clave y, sin embargo, apareció un consumo realizado en el exterior. En otro caso, la confirmación de una compra llegó a un número telefónico que la hija de un amigo había utilizado alguna vez, pero que no correspondía al manejo ordinario de su tarjeta. El reclamo fue negado bajo la premisa de que el banco envió la confirmación a un número entregado por la propia usuaria. Pero ahí aparece la verdadera pregunta: ¿quién verificó cómo se incorporó ese número?, ¿se revisó la solicitud original de apertura de la tarjeta?, ¿se comprobó cuándo, desde dónde y por qué canal se cambió la información de contacto?

Un tercer caso resulta todavía más revelador. A un amigo le robaron sus equipos y tarjetas. Luego vinieron consumos altos y sucesivos, activaciones, claves temporales y movimientos que no respondían a su comportamiento habitual como cliente. La respuesta bancaria, nuevamente, tendió a reducir el problema a una fórmula cómoda: si hubo clave, hubo autorización.

Pero esa conclusión es peligrosa. Una clave temporal enviada a un celular robado no prueba necesariamente la voluntad del titular. Prueba, apenas, que alguien tenía el dispositivo o acceso a un canal de validación. Confundir posesión del medio con consentimiento real es trasladar al usuario toda la carga de un sistema que no administra, no diseña y no controla.

El punto jurídico de fondo es sencillo: la actividad financiera no es una actividad privada cualquiera. Es un servicio de orden público, sometido a regulación, control y vigilancia estatal. Los bancos no solo prestan dinero o emiten tarjetas; administran confianza. Y quien administra confianza debe responder con estándares más altos que el consumidor común. Existe normativa que obliga a las instituciones financieras a establecer sistemas y políticas antifraude, desconozco si son suficientes.

Lo que sí es evidente es que el usuario no conoce esa normativa, ni los algoritmos antifraude. No accede a los registros internos. No puede revisar los logs. No sabe desde qué IP se hizo un cambio. No puede auditar cómo se modificó un número telefónico. No tiene acceso a los sistemas que detectan consumos inusuales. El banco, en cambio, sí tiene esa información. O debería tenerla.

Por eso resulta insuficiente que el banco conteste: “nuestro sistema registró la operación”. Esa respuesta no prueba nada por sí sola. El sistema es del banco, los registros son del banco, la trazabilidad está en poder del banco, las alertas dependen del banco, los límites de riesgo los diseña el banco, el monitoreo transaccional lo ejecuta el banco y la decisión de bloquear o permitir una operación también nace del banco.

Si toda la información relevante está bajo control de una sola parte, no parece justo exigir al usuario que pruebe lo que técnicamente no puede probar.

El problema se agrava cuando las instituciones de control analizan estos casos partiendo de una sospecha casi automática contra el cliente: “seguramente descuidó la clave”, “seguramente entregó información”. Claro que los usuarios debemos ser cuidadosos. Pero una cosa es exigir diligencia y otra muy distinta es convertir al consumidor en responsable universal de cualquier vulneración tecnológica.

Hay señales que no deberían ser ignoradas: operaciones en el exterior, cambios repentinos de datos, consumos extraordinarios, compras sucesivas, activación de claves temporales, movimientos incompatibles con el perfil histórico del cliente. Frente a esas señales, el banco no puede limitarse a decir que el sistema dejó pasar la operación. Precisamente porque el sistema dejó pasar la operación es necesario revisar si el sistema funcionó bien.

Si un banco conoce los hábitos de consumo de una persona para ofrecerle créditos, promociones, aumentos de cupo o productos financieros, ¿por qué no puede conocer esos mismos hábitos para bloquear a tiempo una operación sospechosa? Si el sistema sabe vender, también debería saber proteger. Si el algoritmo sirve para cobrar, también debe servir para prevenir.

El llamado Defensor del Cliente, en la práctica opera más como un mediador que como una instancia fuerte de protección. Difícilmente equilibra por sí solo la relación entre una entidad financiera con todo su aparato técnico y un usuario que apenas tiene estados de cuenta, capturas de pantalla y angustia. El consumidor llega al reclamo con la sensación de haber sido robado dos veces: primero por el delincuente y luego por un sistema que le exige demostrar lo que solo el banco puede verificar.

Debemos avanzar hacia una regla más justa. En consumos inusuales, operaciones en el exterior, cambios repentinos de datos de contacto, activación de claves temporales, retiros sucesivos, compras de alto valor o movimientos incompatibles con el perfil del cliente, debe operar una inversión de la carga de la prueba. No debería ser el usuario quien demuestre que no autorizó la operación. Debería ser el banco quien demuestre, con evidencia técnica completa, que actuó correctamente; que no existió falla en sus controles; que el cambio de datos fue legítimo; que la autenticación fue robusta; que el consumo era compatible con el perfil del cliente; y que se activaron las alertas exigibles.

Y si queda duda, esa duda no debería favorecer al sistema financiero. Debería favorecer al usuario. Un verdadero in dubio pro usuario financiero permitiría corregir el desequilibrio estructural entre quien controla la información y quien solo sufre la consecuencia económica del fraude.

No se trata de liberar al consumidor de toda responsabilidad. Se trata de impedir que la banca convierta la opacidad tecnológica en una presunción de culpabilidad contra el cliente.

La protección real del usuario financiero exige controles más profundos, auditoría efectiva de los procesos antifraude, revisión técnica de los cambios de datos, trazabilidad completa de las operaciones, obligación de bloqueo ante consumos inusuales y responsabilidad bancaria cuando el sistema falla o cuando no puede demostrar de forma convincente que actuó con la diligencia debida.

No es un favor al cliente. Es una consecuencia lógica de la relación desigual entre banco y usuario. Quien administra el riesgo, cobra por el servicio, diseña la plataforma y controla la información debe asumir la responsabilidad principal cuando el fraude se produce dentro del sistema que él mismo administra.

Es lo lógico, pero ¿lo dejarán los poderosos intereses financieros?