.png)
Ciberseguretat a Conesa Legal
Quan contacti amb Conesa Legal per correu electrònic, aplicarem al seu primer missatge el Test de Turing a través de la plataforma legal Mail in Black:
Això és per comprovar que vostè és una persona i no una màquina, i el seu missatge quedarà retingut: no es preocupi, nosaltres podem recuperar igualment aquest correu, però si vol assegurar-se que el rebem haurà de seguir els passos que li indiquem per informar-nos tan sols d'una paraula per raons de seguretat.
Evitem virus i hackers
Pot suposar un petit inconvenient inicial, però per a la seguretat de tots dos (la seva i la nostra), estem evitant virus i hackers. Perquè cada dia hi ha més frau en línia: el 85% dels missatges que rebem són correu brossa (spam), i el 95% del programari maliciós (malware) que utilitzen els hackers arriba a través del correu electrònic amb l'objectiu d'introduir virus, suplantar la identitat o robar contrasenyes (phishing).
Adoptar mesures de protecció en el vostre programari significa implementar mesures de ciberseguretat.
Qui és el responsable davant d'un phishing?
Ho explico amb un exemple real:
"Fa uns anys va venir un client que era gerent d'una empresa química que comprava a Àsia contenidors de materials minerals cars per a la indústria química aquí a Espanya (cada contenidor tenia un valor d'1 M d'euros).
Aquest bon home va acudir al nostre despatx amb una carta d'acomiadament perquè, després de diversos anys a la empresa i d'haver realitzat ja moltíssimes compres amb el mateix proveïdor, va fer una darrera compra de tres contenidors com feia habitualment. Va rebre per correu electrònic el pressupost i va abonar a el compte corrent indicat el pagament del material.
Passaven els dies sense que rebés el material, i quan va contactar amb el proveïdor, aquest li va indicar que, com era habitual, necessitava que li fes el pagament per enviar la mercaderia. El nostre client va comprovar minuciosament tots els correus i va resultar que el correu amb el qual s'estava comunicant era mil·limètricament igual, però hi havia una lletra canviada, i el pressupost contenia un compte corrent que el proveïdor desconeixia. Era evident que els seus comptes havien estat hackejats perquè havien fet un pont en les comunicacions.
Mai més no es va saber on va anar a parar els diners enviats, els contenidors no van arribar mai i el gerent es va quedar sense feina."
Avui aquesta història passa cada dia.
A Conesa Legal hem trigat poc a implementar l'eina de Ciberseguretat Mail in Black que garanteix que això no passi. Necessitem garantir als nostres clients que les nostres comunicacions són segures per dues raons:
- Impedim que els diners i la informació que ens facin arribar els clients corrin perill, perquè a més de perdre's pot arruïnar una operació important per als nostres clients.
- Impedim que un jutjat atribueixi la manca de diligència a qui va facilitar les dades sol·licitant l'ingrés. És a dir, un pot ser culpable si no implementa mesures de ciberseguretat.
Sentències recents ja estan jutjant casos similars, culpant una de les dues parts, no només el hacker si el pillen..., de la seva responsabilitat perquè les comunicacions siguin segures. La sentència del Jutjat de Primera Instància i Instrucció de Moncada, de data 31/05/2023, recurs: 848/2021, estableix en un cas de phishing que es van produir càrrecs fraudulents al compte bancari de la clienta d'una entitat bancària, realitzats després que l'actora rebés un missatge de correu electrònic que aparentment procedia de l'entitat bancària, en el qual se li sol·licitaven les seves dades personals i claus d'accés. Després d'aportar la demandant aquestes dades, s'haurien produït els càrrecs fraudulents mitjançant dues compres amb la targeta de dèbit de l'actora en una Apple Store de Barcelona.
El Jutjat, recolzant-se en altres sentències i legislació, raona que:
"Cal valorar que en aquests supòsits de phishing ens trobem davant de conductes delictives molt elaborades, sovint perpetrades per professionals de l'engany, que simulen amb precisió els formats autèntics de les entitats bancàries i indueixen a error amb certa facilitat. Les dificultats per a la detecció del frau per part dels usuaris s'evidencien davant la multitud de procediments penals que es tramiten als nostres òrgans judicials per estafes d'aquest tipus."
Puc reclamar al Banc davant d'un Phishing?
Raona aquest mateix Jutjat que, "en conseqüència, la llei ha optat per un sistema de responsabilitat quasi objectiva, que atribueix a les entitats bancàries el deure de restitució davant d'operacions no acceptades, amb l'excepció de conductes dels usuaris que siguin malicioses o greument negligents."
Així ho considera igualment la sentència de l'Audiència Provincial de Madrid de 13 de gener de 2023, "no podem qualificar la possible negligència de la demandant en la conservació de les seves claus com a greu en cap cas. Estem davant d'un tipus de frau molt específic del qual és fàcil ser víctima, sense que això impliqui una actuació negligent del client, atès el grau d'elaboració en l'execució d'aquesta modalitat de frau".
Si bé és cert que el Jutjat i l'Audiència exigeixen al Banc un deure de vigilància en els moviments bancaris no habituals del client, també és cert que estem observant una tendència jurisprudencial creixent a exigir un mínim de diligència en ciberseguretat, ja que és obvi que el ........ % dels atacs dels hackers entren per la bústia de correu. I així ho manifesta l'esmentada sentència quan diu que "no s'ha al·legat ni molt menys provat que la mercantil demandada hagués proporcionat a l'actora de forma personalitzada els mecanismes antiPhishing de supervisió suficients, de caràcter reforçat, per detectar i evitar aquest tipus de frau, sense que puguin resultar suficients els avisos de caràcter genèric del web del banc."
Qui és responsable davant d'una transferència bancària errònia per Phishing?
El 16 de gener de 2023, el Tribunal Superior de Johannesburg Sud va dictaminar que ENSAfrica havia de pagar danys i costes a Judith Hawarden i el va condemnar a lliurar la casa perquè Judith Hawarden, la compradora, havia transferit 5,5 milions de rands al compte d'un estafador que es va fer passar per ENSAfrica.
La sentència raona que:
"Further, the defendant (ENSAAfrica) had control over the way in which it conveyed its bank account details to the plaintiff - in an unprotected pdf attachment to an email it transmitted to the plaintiff – whilst technically safe measures, amongst others, multi-channel verification (in-person or telephonic confirmation of bank details) were available to be employed by it to avert cyber fraud. Held that, a duty of care exists between a purchaser in a conveyancing transaction and the conveyancing attorneys handling the transaction to prevent harm resulting from the conveyancer's failure to warn the depositor of the dangers of cyber hacking and spoofing of emails or of the fact that pdf attachments to emails containing sensitive information such as bank account details are not invulnerable to BEC"
És a dir, qui va informar com i de quina manera havia de realitzar-se la transferència hauria d'haver emprat unes mesures de seguretat mínimes perquè el client hagués pogut transferir l'import al compte corrent correcte.
Contacta amb el nostre advocat especialista en phishing
