Más contenido jurídico en elDial.com
Por Javier Esteban Bura Peralta
Si concientizar es una obligación del proveedor, su cumplimiento no puede medirse por la existencia del aviso, sino por su aptitud para producir el efecto que la norma persigue. Un correo masivo que repite "nunca le pediremos sus claves" satisface una formalidad, pero es previsiblemente ineficaz. Un profesional que conoce, o debe conocer, esa ineficacia, no puede invocar su envío como prueba de diligencia. Dicho de otro modo: si un crédito se obtiene con dos clics, la facilidad que beneficia al banco es la misma que expone al consumidor, y ningún folleto compensa un diseño que traslada al usuario la última línea de defensa.”“La plataforma electrónica bancaria es tratada como cosa o actividad riesgosa (arts. 1757 y 1758, CCyC), y el proveedor responde objetivamente frente al consumidor (art. 40, ley 24.240). La única vía de liberación es la causa ajena (arts. 1722 y 1729, CCyC), y la entrega de claves por parte del cliente es, en la práctica, la defensa que las entidades oponen en casi todos estos juicios. El antecedente fundacional es "Bieniauskas", donde la Sala D de la Cámara Comercial calificó como cosa riesgosa al sistema informático que permite concertar negocios y obtener servicios bancarios a distancia. La Corte Suprema, por su parte, erigió la seguridad en un valor que debe guiar a los proveedores y exigió a las empresas extremar las previsiones en amparo de las posibles víctimas.”
“… aun si la seguridad fuera una obligación de medios, éstos deben ser idóneos, y un aviso cuya ineficacia por repetición está documentada no es un medio idóneo, sino la constancia de haber hecho algo.”
“En "González c/ Banco de la Provincia de Buenos Aires" se afirmó que las exigencias del BCRA constituyen "un piso mínimo regulatorio" y que la entrega de datos mediante engaño fue "una condición del hecho", pero no la causa del daño. En "U. N. M. c/ Banco BBVA", el tribunal sostuvo que la entrega de claves mediante phishing no configura hecho de la víctima eximente cuando se incumplió la normativa que impone medidas para mitigar esos fraudes, y destacó que "el usuario en entornos digitales tiene una ignorancia razonable". Y en "Di Profio" se afirmó que "la facilitación de datos por parte de la víctima es una condición necesaria para el delito en análisis": la conducta que los bancos invocan como eximente es, en rigor, parte del riesgo que asumen al ofrecer el canal. En la misma dirección, el Superior Tribunal de Justicia de Río Negro rechazó la casación del banco en un caso de phishing contra una consumidora hipervulnerable, en el que la entidad había fundado su defensa en la conducta de la propia víctima.”
“Para que el hecho de la víctima libere, debe tener los caracteres de la causa ajena: ser imprevisible o inevitable para el proveedor. La literatura sobre habituación muestra que la desatención al aviso repetido no es un accidente individual, sino la respuesta esperable de cualquier persona expuesta al mismo estímulo. Lo que la ciencia predice no puede ser imprevisible para quien diseña el canal. La conducta de la víctima podrá, en casos excepcionales, incidir en la distribución del daño; lo que no puede es fundarse esa distribución en el solo hecho de que el banco haya enviado avisos genéricos.”
“Cuando la víctima entregó información, el encuadre requiere un ardid o engaño (art. 172, CP); cuando no intervino, la maniobra encuadra en la defraudación informática del art. 173, inc. 16, en el acceso ilegítimo del art. 153 bis o, si se usaron datos de tarjetas, en el art. 173, inc. 15. La conducta de la víctima sirve para elegir el tipo, no para debilitarlo. Sin embargo, en la práctica se escucha con frecuencia que la víctima "debió darse cuenta", como si un ardid que logra su objetivo fuera por eso menos idóneo. La literatura sobre fatiga muestra lo contrario: el engaño que explota el cansancio de decisión ataca una limitación previsible de cualquier persona, y es idóneo precisamente por eso.”
“La acción penal persigue la sanción del autor y no tiene por objeto directo recuperar los fondos; la acción civil puede ejercerse de manera independiente (art. 1774, CCyC), sin perjuicio de la restitución que pueda ordenar la sentencia penal (art. 29, CP). En el Caso B, los fondos fueron convertidos y retirados el mismo día de su ingreso: cada hora sin oficios a la billetera virtual, al exchange y a las entidades de destino reduce la posibilidad de congelar activos. Frente a los 2.204 reportes de esquemas de inversión fraudulenta recibidos en 2024, la UFECI informa haber generado alrededor de dos decenas de investigaciones preliminares, además de asistir a fiscales de todo el país. No es una crítica a una unidad que trabaja al límite: es la constatación de que el sistema no puede investigarlo todo y de que la víctima no puede esperar.
Tenerlo enfrente no es verlo: fatiga de seguridad, deber de seguridad bancario y culpa de la víctima en el fraude digital
Introito.
Quiero empezar con una confesión. Aproximadamente desde el año 2018 efectúo regularmente diversas publicaciones en mis redes intentando concientizar a los usuarios sobre los riesgos a los que se exponen al navegar por la web. Un poco más hacia adelante, también comencé a brindar charlas de concientización en escuelas y espacios comunitarios de la provincia de Santa Fe. Durante este mismo período, las consultas de víctimas digitales no bajaron: hoy recibo, como mínimo, dos llamados o mensajes acuciantes por semana. Estafas bancarias, inversiones fraudulentas en criptoactivos, robos de cuentas de Google y de redes sociales. La gente aplaude las charlas, pero no lee los flyers.
No es una impresión aislada. Branciforte describe con precisión que, año tras año, Estados provinciales, municipios y las propias entidades financieras multiplicaron publicaciones y charlas preventivas, y que aun así se siguen conociendo víctimas de las mismas maniobras[1]. El mismo autor recuerda que, cuando la pandemia forzó la digitalización bancaria, las entidades se adaptaron de manera rápida y desprolija, sin brindar a los usuarios mucho más que unos simples folletos con los pasos para operar en línea[2].
Esta paradoja tiene consecuencias jurídicas. Cuando la víctima reclama, la entidad responde que el cliente fue advertido y que, pese a ello -ejemplificativamente-, entregó sus claves. El aviso funciona como escudo: si el banco avisó, el daño sería obra de quien no hizo caso. Mi posición, que desarrollaré en las páginas siguientes, es que ese escudo no resiste el contraste con la evidencia empírica. Tener la advertencia enfrente no es verla, y el derecho no puede construir la culpa de la víctima sobre una ficción de atención que la ciencia del comportamiento desmiente.
I. Lo que la evidencia dice sobre la concientización.
- La fatiga de seguridad.
En 2016, un equipo del National Institute of Standards and Technology (NIST) de los Estados Unidos publicó un estudio basado en entrevistas semiestructuradas a cuarenta usuarios comunes[3]. Los investigadores, a pesar de no hallarse enfocados en ello, encontraron en la mayoría de los entrevistados un comportamiento determinante: una definida reticencia a ocuparse de la seguridad informática, con marcados síntomas de resignación, pérdida de control, fatalismo y evitación de decisiones.
El hallazgo central es causal: cuando a una persona se le exigen más decisiones de seguridad de las que puede gestionar, aparece una fatiga cognitiva que deriva en conductas de riesgo. Por eso las recomendaciones del NIST no apuntan a advertir más, sino a limitar todo aquello que se le exija al usuario para que se vuelva sencillo elegir la acción correcta. Es decir, a desplazar la carga del usuario hacia el diseño del sistema.
- La habituación a las advertencias.
La segunda línea proviene de la neurociencia aplicada a sistemas de información. En un experimento con resonancia magnética funcional sobre veinticinco participantes, Anderson, Vance, Kirwan, Jenkins y Eargle demostraron que la respuesta cerebral a una advertencia de seguridad decrece con su repetición, y que los avisos que varían su aspecto resisten mejor ese desgaste[4]. El estudio longitudinal posterior del mismo grupo combinó resonancia, seguimiento ocular y un experimento de campo: registró una caída general de la atención a lo largo de una semana laboral, con recuperación apenas parcial entre jornadas, y una caída sustancial del cumplimiento de las advertencias en tres semanas[5]. Un trabajo complementario detectó, con la repetición, mayor actividad en la red neuronal asociada a la divagación mental[6].
Ninguno de estos estudios argumenta que el usuario sea irresponsable. Sostienen algo distinto y más grave para el argumento bancario: que la atención frente a avisos repetidos se agota por mecanismos automáticos, no voluntarios. Reprochar a la víctima no haber atendido el aviso número cien es reprocharle una limitación cognitiva previsible, y previsible precisamente para quien diseña el canal y envía los avisos.
II. Las cifras oficiales: más avisos, más denuncias.
La Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) recibió 2.581 reportes en los doce meses previos a la pandemia; 22.364 en 2021; 32.395 en 2022; 28.456 en 2023 y 34.468 en 2024, la cifra anual más alta registrada. En seis años, los reportes se multiplicaron por trece[7]. En 2024 el fraude en línea fue la maniobra más reportada, con 21.729 casos (63 % del total); dentro de ella, 3.806 reportes correspondieron a accesos indebidos y vaciamiento de cuentas por homebanking, y otros 4.637 a usurpación de cuentas de WhatsApp seguida de pedidos de dinero[8].
Dos advertencias metodológicas: son reportes recibidos en una casilla institucional, no una medición de la victimización total: la cifra real, probablemente, sea mayor. Y la correlación no prueba que las campañas aumenten el fraude. Lo que sí demuestra es que no lo contuvieron.
El propio informe contiene el dato más elocuente. En sus conclusiones, la UFECI reafirma que las campañas de concientización son fundamentales. Pero cuando explica la única baja estadística relevante, la de los accesos directos a cuentas bancarias desde mediados de 2021, no la atribuye a una campaña: la vincula, como explicación posible, a la imposibilidad de engrosar las cuentas con préstamos preaprobados de acreditación inmediata, tras los nuevos requisitos de la Comunicación "A" 7319 del BCRA[9]. Lo que movió la aguja fue un control estructural impuesto al proveedor, no un aviso dirigido al usuario.
III. La concientización como deber del proveedor.
- El fundamento normativo.
El primer error del argumento de la víctima advertida es de titularidad: la concientización no es una carga del usuario, sino una obligación del proveedor. El art. 42 de la Constitución Nacional reconoce a los usuarios el derecho a la protección de su seguridad e intereses económicos y a una información adecuada y veraz. La ley 24.240 lo concreta en el deber de información (art. 4) y en la responsabilidad objetiva por el riesgo o vicio del servicio (art. 40). El Código Civil y Comercial agrega el deber de prevención del daño (art. 1710) y una pauta decisiva para valorar la conducta de un profesional: cuanto mayor es el deber de obrar con prudencia y pleno conocimiento de las cosas, mayor es la diligencia exigible (art. 1725).
- La regulación bancaria.
El BCRA tampoco concibió la concientización como un consejo al cliente, sino como un requisito mínimo a cargo de la entidad: desde la Comunicación "A" 6017 de 2016, que modificó la "A" 5374, los bancos deben contar con procesos de concientización y capacitación para usuarios de canales electrónicos[10]. La evolución posterior muestra un desplazamiento claro desde informar al usuario hacia controlar la operación: la "A" 7724 de 2023 fijó requisitos mínimos de gestión de riesgos tecnológicos y prevención del fraude; la "A" 8471 del 27 de agosto de 2026 incorporó un proceso integral de gestión del riesgo de fraude interno y externo, y la "A" 8473 del 3 de septiembre de 2026 creó un esquema de puntaje de riesgo de fraude con información que el propio BCRA suministra[11].
- Cumplir no es mandar el aviso.
Si concientizar es una obligación del proveedor, su cumplimiento no puede medirse por la existencia del aviso, sino por su aptitud para producir el efecto que la norma persigue. Un correo masivo que repite "nunca le pediremos sus claves" satisface una formalidad, pero es previsiblemente ineficaz. Un profesional que conoce, o debe conocer, esa ineficacia, no puede invocar su envío como prueba de diligencia. Dicho de otro modo: si un crédito se obtiene con dos clics, la facilidad que beneficia al banco es la misma que expone al consumidor, y ningún folleto compensa un diseño que traslada al usuario la última línea de defensa.
- La hipervulnerabilidad digital.
La Resolución 139/2020 de la Secretaría de Comercio Interior reconoce como hipervulnerables a los consumidores que, por edad, condición o circunstancias sociales, económicas o culturales, tienen especiales dificultades para ejercer sus derechos. Branciforte retoma la figura doctrinaria del "usuario cazurro" —quien tiene problemas para comprender y usar las nuevas tecnologías— y propone considerar como tal a toda víctima de phishing o vishing[12]. La literatura sobre fatiga le aporta a esa propuesta una base empírica: la vulnerabilidad digital no depende solo de la edad, sino también de la saturación de decisiones de seguridad a la que el propio sistema somete al usuario.
IV. La "culpa de la víctima" en la jurisprudencia.
- El marco.
La plataforma electrónica bancaria es tratada como cosa o actividad riesgosa (arts. 1757 y 1758, CCyC), y el proveedor responde objetivamente frente al consumidor (art. 40, ley 24.240). La única vía de liberación es la causa ajena (arts. 1722 y 1729, CCyC), y la entrega de claves por parte del cliente es, en la práctica, la defensa que las entidades oponen en casi todos estos juicios. El antecedente fundacional es "Bieniauskas", donde la Sala D de la Cámara Comercial calificó como cosa riesgosa al sistema informático que permite concertar negocios y obtener servicios bancarios a distancia[13]. La Corte Suprema, por su parte, erigió la seguridad en un valor que debe guiar a los proveedores y exigió a las empresas extremar las previsiones en amparo de las posibles víctimas[14].
- La línea que convierte el aviso en escudo.
En "Cipriano", la Sala F de la Cámara Comercial rechazó la demanda: sostuvo que el deber de seguridad no puede considerarse una obligación de resultado, y valoró que el banco había publicado en su sitio de banca por internet advertencias como "No comparta su clave con nadie"[15]. En una línea similar, la Cámara de Gualeguaychú consideró adecuados, en el caso, los avisos de la entidad y su cumplimiento de la normativa del BCRA[16]. Es la tesis de la víctima advertida en estado puro. Estos pronunciamientos son minoritarios, pero el argumento sigue vivo en las defensas bancarias. La evidencia del apartado I desarma su premisa: aun si la seguridad fuera una obligación de medios, éstos deben ser idóneos, y un aviso cuya ineficacia por repetición está documentada no es un medio idóneo, sino la constancia de haber hecho algo.
- La línea mayoritaria.
El criterio contrario se construye en varios pronunciamientos. En "González c/ Banco de la Provincia de Buenos Aires" se afirmó que las exigencias del BCRA constituyen "un piso mínimo regulatorio" y que la entrega de datos mediante engaño fue "una condición del hecho", pero no la causa del daño[17]. En "U. N. M. c/ Banco BBVA", el tribunal sostuvo que la entrega de claves mediante phishing no configura hecho de la víctima eximente cuando se incumplió la normativa que impone medidas para mitigar esos fraudes, y destacó que "el usuario en entornos digitales tiene una ignorancia razonable"[18]. Y en "Di Profio" se afirmó que "la facilitación de datos por parte de la víctima es una condición necesaria para el delito en análisis": la conducta que los bancos invocan como eximente es, en rigor, parte del riesgo que asumen al ofrecer el canal[19]. En la misma dirección, el Superior Tribunal de Justicia de Río Negro rechazó la casación del banco en un caso de phishing contra una consumidora hipervulnerable, en el que la entidad había fundado su defensa en la conducta de la propia víctima[20].
- Lo que la fatiga agrega.
Para que el hecho de la víctima libere, debe tener los caracteres de la causa ajena: ser imprevisible o inevitable para el proveedor. La literatura sobre habituación muestra que la desatención al aviso repetido no es un accidente individual, sino la respuesta esperable de cualquier persona expuesta al mismo estímulo. Lo que la ciencia predice no puede ser imprevisible para quien diseña el canal. La conducta de la víctima podrá, en casos excepcionales, incidir en la distribución del daño; lo que no puede es fundarse esa distribución en el solo hecho de que el banco haya enviado avisos genéricos.
V. Tres casos de mi práctica profesional.
Los casos que siguen provienen de mi práctica en la ciudad de Santa Fe. Omito nombres, entidades y datos de identificación de las causas, y consigno las cifras en valores aproximados.
Caso A. Una docente jubilada, cuyo único ingreso es su haber previsional, advirtió durante 2025 consumos que no había realizado con su tarjeta de crédito por unos nueve millones seiscientos mil pesos. Radicó la denuncia penal y reclamó ante el banco. La entidad cerró el reclamo sin resolución fundada, le negó el detalle de las operaciones y continuó debitando las cuotas de su cuenta sueldo. Cuando volvió a pedir la documentación, el personal le respondió verbalmente que había sido destruida porque el reclamo estaba cerrado. El banco nunca discutió sus propios controles: discutió la conducta de la clienta. Sin embargo, la única prueba capaz de dilucidar cómo se produjeron las operaciones —registros de acceso, dispositivos, IP, perfil transaccional— estaba en su poder, y en una relación de consumo con una consumidora hipervulnerable, la carga de aportarla recae sobre quien la tiene (art. 53, ley 24.240; art. 1735, CCyC). Alegar la culpa de la víctima mientras se retiene, o se dice haber destruido, la información que permitiría probarla es un contrasentido.
Caso B. Otra jubilada fue captada por una supuesta plataforma internacional de inversión. A lo largo de varias fases de engaño transfirió fondos que, el mismo día de su ingreso a una billetera virtual, fueron convertidos a criptoactivos en un exchange registrado como proveedor de servicios de activos virtuales y retirados hacia billeteras externas. El perjuicio mínimo estimado supera los treinta y tres millones de pesos. En el camino, los autores obtuvieron la frase semilla de una billetera de la víctima y la amenazaron con supuestas actuaciones de organismos extranjeros sin jurisdicción alguna. Los registros muestran siete verificaciones de dispositivo en un mismo día, seguidas de la conversión total de los fondos y su retiro inmediato: exactamente el tipo de patrón inusual que los requisitos de monitoreo de la actividad de los clientes buscan detectar. La modalidad coincide con los esquemas de inversión en criptoactivos que la UFECI identifica como tendencia creciente, con 2.204 reportes en 2024[21].
Caso C. El tercero es, para la tesis de este trabajo, el más elocuente. La víctima es una clienta de muchos años: conoce mi trabajo y mi especialidad, y escuchó de primera mano, más de una vez, las mismas advertencias que repito en cada charla. Nadie podría decir que le faltó información. Aun así, durante 2025 fue captada con la misma mecánica del Caso B: una supuesta oferta de inversión que usaba falsamente el nombre de YPF. Para "invertir", en muy poco tiempo tomó créditos y canalizó fondos a través de cinco proveedores distintos: un banco, dos compañías financieras, una billetera virtual y un comercio. Solo los créditos y operaciones identificados fuera del banco suman unos seis millones ochocientos mil pesos. Es madre de dos hijos menores y el perjuicio recayó sobre fondos de carácter alimentario. La causa tramita en sede penal, donde se promovió un incidente de cese del estado antijurídico para suspender los efectos económicos de la maniobra mientras se investiga.
Si la concientización funcionara como sus defensores suponen, este caso no debería existir: la víctima había sido advertida no por un folleto, sino por su propio abogado especialista. Que haya caído igual es la mejor ilustración de lo que describe la literatura sobre fatiga de seguridad. No falló su conocimiento; falló, en el momento decisivo, una atención que ninguna persona puede sostener de manera indefinida, frente a un engaño que se apoyaba en la confianza en una marca conocida. Que dos víctimas sin vínculo entre sí hayan caído en la misma maniobra demuestra, además, que no se trata de descuidos individuales sino de un esquema que se repite y que, por eso mismo, es detectable. Y mientras tanto, ninguno de los cinco proveedores detuvo una secuencia de créditos y transferencias que, vista en conjunto, era inconfundible.
Ninguno de los tres casos se habría evitado con un aviso más. En todos faltó un control activado en el momento crítico —la operación inusual, el dispositivo nuevo, el cambio de patrón— y, después del hecho, una respuesta del proveedor orientada a esclarecer lo ocurrido en lugar de atribuírselo a la víctima.
VI. La víctima culpabilizada en el proceso penal.
- El tipo depende de la conducta de la víctima, pero no la exculpa.
Cuando la víctima entregó información, el encuadre requiere un ardid o engaño (art. 172, CP); cuando no intervino, la maniobra encuadra en la defraudación informática del art. 173, inc. 16, en el acceso ilegítimo del art. 153 bis o, si se usaron datos de tarjetas, en el art. 173, inc. 15[22]. La conducta de la víctima sirve para elegir el tipo, no para debilitarlo. Sin embargo, en la práctica se escucha con frecuencia que la víctima "debió darse cuenta", como si un ardid que logra su objetivo fuera por eso menos idóneo. La literatura sobre fatiga muestra lo contrario: el engaño que explota el cansancio de decisión ataca una limitación previsible de cualquier persona, y es idóneo precisamente por eso.
- La vía penal no devuelve el dinero, y el reloj corre.
La acción penal persigue la sanción del autor y no tiene por objeto directo recuperar los fondos; la acción civil puede ejercerse de manera independiente (art. 1774, CCyC), sin perjuicio de la restitución que pueda ordenar la sentencia penal (art. 29, CP). En el Caso B, los fondos fueron convertidos y retirados el mismo día de su ingreso: cada hora sin oficios a la billetera virtual, al exchange y a las entidades de destino reduce la posibilidad de congelar activos. Frente a los 2.204 reportes de esquemas de inversión fraudulenta recibidos en 2024, la UFECI informa haber generado alrededor de dos decenas de investigaciones preliminares, además de asistir a fiscales de todo el país[23]. No es una crítica a una unidad que trabaja al límite: es la constatación de que el sistema no puede investigarlo todo y de que la víctima no puede esperar.
En Santa Fe, la constitución como querellante permite a la víctima dejar de ser una denunciante pasiva, proponer medidas urgentes, incorporar prueba técnica propia y controlar el avance de la investigación[24]. El Caso C muestra además que el proceso penal ofrece herramientas para no esperar la sentencia: el incidente de cese del estado antijurídico permite pedir que se detengan los efectos económicos del delito mientras se investiga. Un proceso que trata a la víctima de fraude digital como corresponsable de su propio daño contradice ese diseño en su espíritu y, en los hechos, la desalienta a denunciar.
VII. Propuesta.
De lo expuesto se derivan cuatro criterios aplicables con el derecho vigente:
1. El aviso genérico no prueba diligencia: el envío de campañas, correos o folletos no debería computarse como cumplimiento del deber de seguridad ni como fundamento de la culpa de la víctima; lo relevante es si el proveedor activó controles en el momento de la operación.
2. La carga de probar esos controles es del proveedor, que tiene siempre en su poder los registros de acceso, dispositivos, direcciones IP y alertas generadas; su negativa a exhibirlos o su destrucción deberían operar como presunción en contra.
3. La concientización exigible es la que funciona: su cumplimiento debería evaluarse por resultados y no por volumen, orientándose a avisos contextuales y variables, activados en el momento de riesgo.
4. Por último, la víctima no es sospechosa: en sede penal, su conducta debe servir para encuadrar el hecho y orientar la investigación, nunca para relativizar la idoneidad del ardid ni para postergar medidas urgentes.
Colofón.
La defensa advertida descansa en una premisa que la evidencia desmiente: exponer a una persona a un aviso equivale a que lo procese. Los estudios sobre fatiga de seguridad y habituación muestran que la atención frente a avisos repetidos se agota por mecanismos automáticos y previsibles. Las cifras de la UFECI muestran que seis años de campañas no contuvieron el crecimiento de los reportes, mientras que la baja más notable que registran se vincula con un control impuesto a los bancos.
Dediqué años a dar charlas de prevención. No reniego de ellas en absoluto, pero sí del uso que se hace de su existencia en los tribunales. La víctima tenía el aviso enfrente. Que no lo haya visto no es su culpa: es exactamente lo que cualquiera que diseña estos sistemas debería esperar.
(*) Abogado (U.N.L.), Matrícula N° 8682, Fº 340, Tº V. Diplomado en Cibercrimen (U.C.A. Rosario). Analista Digital Forense doblemente matriculado internacionalmente en la Red Latinoamericana de Informática Forense (REDLIF), certificación AR-IDF-202001 y por la Red Stanford Networks y Escuela Internacional de Criminología y Criminalística matrícula EF0002. Director del Área de Investigación Forense del Instituto Argentino de Derecho Procesal Informático (IADPI). Coautor de "Ciberdelitos 2" y "Ciberdelitos 3" (dir. Aboso, Editorial Albremática, 2024 y 2025). Coautor de la obra "Tratado de la Prueba Electrónica", Thomson Reuters La Ley, Buenos Aires, 2021. Litigante en derecho informático y ciberdelitos.
[1] Branciforte, Fernando, "Estafas virtuales", Ediciones DyD, CABA, 2026, pág. 16.
[2] Ibídem, pág. 15.
[3] Stanton, Brian; Theofanos, Mary F.; Prettyman, Sandra S. y Furman, Susanne, "Security Fatigue", IT Professional (IEEE), septiembre-octubre de 2016, DOI 10.1109/MITP.2016.84. Ver también el comunicado institucional del NIST del 4 de octubre de 2016: https://www.nist.gov/news-events/news/2016/10/security-fatigue-can-cause-computer-users-feel-hopeless-and-act-recklessly.
[4] Anderson, Bonnie Brinton; Vance, Anthony; Kirwan, C. Brock; Jenkins, Jeffrey L. y Eargle, David, "From Warning to Wallpaper: Why the Brain Habituates to Security Warnings and What Can Be Done About It", Journal of Management Information Systems. Resumen oficial: https://jmis-web.org/articles/1304.
[5] Vance, Anthony; Jenkins, Jeffrey L.; Anderson, Bonnie Brinton; Bjornn, Daniel K. y Kirwan, C. Brock, "Tuning Out Security Warnings: A Longitudinal Examination of Habituation Through fMRI, Eye Tracking, and Field Experiments", MIS Quarterly, vol. 42, n.° 2, 2018.
[6] Kirwan, C. Brock y otros, "Repetition of Computer Security Warnings Results in Differential Repetition Suppression Effects as Revealed With Functional MRI", Frontiers in Psychology, vol. 11, 2020, DOI 10.3389/fpsyg.2020.528079.
[7] Unidad Fiscal Especializada en Ciberdelincuencia (UFECI), "Informe 2024. Casos y modalidades reportadas a UFECI", Ministerio Público Fiscal de la Nación, junio de 2025, págs. 8-11. Disponible en: https://www.mpf.gob.ar/ufeci/files/2025/06/UFECIinformeanual_2024-1.pdf.
[8] Ibídem, págs. 12-22.
[9] Ibídem, págs. 16-17 y 29. Comunicación BCRA "A" 7319: http://www.bcra.gov.ar/pdfs/comytexord/A7319.pdf.
[10] Escobar, Diego Sebastián, "Requisitos mínimos de concientización para usuarios de Canales Electrónicos", Publicaciones de la Comisión de Estudios sobre Sistemas de Registro, núm. 2-3, 2022, págs. 1-8. Disponible en: https://www.aacademica.org/escobards/67.pdf.
[11] BCRA, Comunicación "A" 8471 (27/08/2026), "Gestión del riesgo de fraude", https://www.bcra.gob.ar/Pdfs/comytexord/A8471.pdf; Comunicación "A" 8473 (03/09/2026), "Prevención del fraude", https://www.bcra.gob.ar/archivos/Pdfs/comytexord/A8473.pdf.
[12] Branciforte, ob. cit., págs. 123-124. La obra menciona la norma como "DNU 139/2020"; se trata de la Resolución 139/2020 de la Secretaría de Comercio Interior (RESOL-2020-139-APN-SCI#MDP), B.O. N° 34.391 del 28/05/2020: https://www.argentina.gob.ar/normativa/nacional/norma-338055/texto.
[13] CAUSA 32.242/2004 - "Bieniauskas Carlos c/Banco de la Ciudad de Buenos Aires s/ordinario" – CNCOM – SALA D – 15/05/2008 [elDial.com - AA4927].
[14] CSJN, "Ledesma, María Leonor c/ Metrovías S.A." elDial.com - AA471E, Fallos 331:819 (2008), y "Uriarte Martínez, Héctor Víctor y otro c/ Transportes Metropolitanos General Roca S.A. y otros", Fallos 333:203 (2010).
[15] CNCom., Sala F, "Cipriano, Ricardo José y otro c/ Banco Credicoop Limitado s/ ordinario", 28/12/2020 [MJ-JU-M-130378-AR].
[16] CApel. Civ., Com. y Lab. Gualeguaychú, Sala I, "G. B. I. c/ Nuevo Banco de Entre Ríos S.A. s/ sumarísimo", 13/08/2021 [MJ-JU-M-134709-AR].
[17] CApel. Civ. y Com. Necochea, "González, Verónica Graciela c/ Banco de la Provincia de Buenos Aires y otro/a s/ nulidad de contrato", expte. 13.220, 09/08/2022 [MJ-JU-M-138632-AR].
[18] Juzg. Civ., Com. y Flia. de 3ª Nominación de San Francisco (Córdoba), "U. N. M. c/ Banco BBVA Argentina S.A. s/ abreviado – otros – trám. oral", expte. 10176944, 11/02/2022 [MJ-JU-M-136171-AR].
[19] CApel. Segunda Civ. y Com. La Plata, Sala I, "Di Profio, Mónica Beatriz c/ Banco de la Provincia de Buenos Aires s/ nulidad de contrato", causa 128.602, 29/10/2024, voto del juez Sosa Aubone, § 3.7. Texto completo publicado por la propia Cámara: https://blogs.scba.gov.ar/camaracivil2laplata/wp-content/uploads/sites/8/2024/11/1286021.pdf.
[20] STJ Río Negro, "Bartorelli, Emma Graciela c/ Banco Patagonia S.A. s/ daños y perjuicios (sumarísimo) – casación", 17/10/2023. Protocolo oficial en https://fallos.jusrionegro.gov.ar.
[21] UFECI, ob. cit., pág. 16.
[22] Branciforte, ob. cit., págs. 18-21.
[23] UFECI, ob. cit., pág. 16.
[24] Código Procesal Penal de la Provincia de Santa Fe, ley 12.734, arts. 93 a 98. En el plano nacional, ver la ley 27.372 de Derechos y Garantías de las Personas Víctimas de Delitos.