Estafa per suplantació de factures al correu: queda el deutor alliberat del pagament?

Segons dades recollides per la Fiscalia General de l’Estat, durant l’any 2020 van tenir lloc a Espanya més de 16.900 procediments judicials per ciberdelinqüència, la qual cosa va suposar un increment d’un 28,69% respecte a l’any anterior. En els anys següents, aquestes xifres no han fet sinó augmentar.

D’entre les víctimes d’aquest tipus de delictes, es calcula que entre un 65 i un 70 per cent són petites i mitjanes empreses. El motiu està clar: l’ús recurrent d’eines digitals– per emmagatzemar i gestionar informació, per fer pagaments, etc. – sumat a una manca de recursos i coneixements en matèria de prevenció, converteix les PIMES en l’objectiu número u d’aquests criminals.

Una de les formes més populars de ciberdelinqüència és la tècnica coneguda com a «Man in the Middle». Mitjançant aquesta tècnica el ciberdelinqüent intercepta les comunicacions intercanviades entre dues parts, monitoritzant els missatges i, arribat el moment, manipulant al seu gust els missatges encreuats.

Una de les tipologies més freqüents, i sobre la qual parlarem en aquest article, és la del frau de factures per correu electrònic. En aquests casos l’actuació del delinqüent es produeix quan, en el context del pagament d’uns serveis, el proveïdor envia al seu client una factura. En aquest punt, estant les comunicacions prèviament monitoritzades pel delinqüent, aquest envia, des del compte de correu electrònic del mateix proveïdor o des d’un amb un nom d’adreça molt similar, un correu electrònic informant sobre un canvi en el número de compte bancari al qual efectuar l’ingrés.

Un cop el deutor ha abonat l’import al nou compte, el delinqüent desapareix sense deixar rastre. Sovint la intrusió no es detecta fins passades unes setmanes, quan el proveïdor, en no veure l’ingrés al seu compte bancari, contacta amb el seu client i descobreix el que ha passat.

Com apuntàvem, aquesta és una tècnica àmpliament utilitzada pels criminals i que ja ha estat objecte de tractament per part dels nostres tribunals, penals i civils. Aquests han tingut ocasió de pronunciar-se, entre altres qüestions, sobre el tema central d’aquest article: té el pagament efectuat pel deutor efectes alliberadors? És a dir, un cop detectat el que ha passat, ha el deutor de pagar al seu creditor la suma ja abonada al compte del ciberdelinqüent o el pagament efectuat l’allibera de la seva obligació?

Per resoldre aquesta qüestió hem de partir en primer lloc de la regla general recollida a l’article 1162 del Codi Civil, que estableix que el pagament s’ha de fer a «la persona en favor de la qual estigués constituïda l’obligació».

No obstant això, la norma general troba dues excepcions: (i) la disposada a l’article 1163 del CC: «[…] serà vàlid el pagament fet a un tercer en tant s’hagués convertit en utilitat del creditor»; i especialment, (ii) la recollida a l’article 1164 del CC: «el pagament fet de bona fe al qui estigués en possessió del crèdit, alliberarà el deutor«.

És precisament sobre la base d’ambdós preceptes que la nostra jurisprudència s’ha pronunciat sobre l’efecte alliberador del pagament efectuat en el context d’una estafa «Man in the Middle«, i en particular, sobre els requisits o elements que s’han d’examinar per donar resposta a la qüestió plantejada.

Per la seva claredat ens remetem en primer lloc, al resolt per l’Audiència Provincial de Madrid (Secció 10a) Sentència núm. 501/2019 de 28 octubre:

«En suma, és necessari, en aquest últim cas, supòsit sobre el qual pivota la resolució de la qüestió sotmesa a enjudiciament, que perquè el pagament realitzat pel deutor al creditor aparent, produeixi l’efecte alliberador, la concurrència de tres requisits: pagament efectiu pel deutor; possessió del crèdit o aparença de titularitat del crèdit, la qual ha de ser raonable o objectivament versemblant, és a dir, que justifiqui la bona fe en pagar a persona diferent del veritable creditor; i bona fe del deutor o solvens; […] no n’hi ha prou amb la mera creença o convenciment subjectiu que es paga al veritable creditor, sent necessari que tal creença existeixi tot i havent emprat la diligència realment exigible d’acord amb les circumstàncies del cas, havent de derivar de dades objectives i fiables. Bona fe objectiva que, a diferència de la subjectiva, no es presumeix, ha de ser provada per qui la invoca (Art.217 LEC). I de no concórrer tals pressupòsits, com succeeix en el present cas, el deutor resulta obligat a pagar al seu creditor, sense perjudici de reclamar a qui va considerar creditor, la devolució del lliurat[…]«.

Així, els requisits que s’han d’observar perquè el pagament efectuat per un tercer de bona fe a qui no era creditor tingui efectes alliberadors, són els següents: (i) realització d’un pagament efectiu; (ii) existència d’una aparença, raonable i justificada, de la titularitat del crèdit; i (iii) la bona fe del deutor, entesa de forma objectiva i examinada a la llum de l’ús de la diligència deguda.

No sent discutible en aquests casos, ni el pagament a tercer ni la bona fe subjectiva, entesa com el convenciment que qui paga ho fa al veritable creditor, l’efecte alliberador del pagament el determinarà la concurrència de la bona fe objectiva que, com ja hem apuntat, neix a partir de l’ús de la diligència deguda. Així, únicament l’observança d’aquesta diligència, contextualitzada en les particularitats de cada cas, permet afirmar la raonabilitat de la creença aparent que és justificativa del pagament a tercer i que allibera del deute.

Per això, no és possible donar una resposta genèrica a la qüestió plantejada, sinó que haurem necessàriament d’atendre les circumstàncies concretes de cada cas.

Així, en contra del que succeïa en el supòsit anterior, on el Tribunal resolia que el deutor havia d’abonar al veritable creditor l’import ja satisfet al ciberdelinqüent, en el següent supòsit resolt pel Jutjat Mercantil núm. 2 de Bilbao en la seva Sentència núm. 152/2021 d’11 març, s’estableix el contrari:

«Amb la precisió que faré en relació amb la quantia, la impugnació es resoldrà a favor de la concursada perquè a la vista de les circumstàncies concurrents s’ha d’estimar provat que Balzola va actuar amb la diligència exigible. En efecte, va actuar després de rebre un email de la mateixa persona amb qui havia gestionat el pagament anteriorment i procedent de la mateixa adreça de correu electrònic. I el que és més rellevant; quan va materialitzar la transferència va obtenir un justificant que assenyala com a beneficiària de la mateixa la mercantil impugnant. Així les coses, cap motiu tenia Balzola per sospitar que estava sent objecte d’un il·lícit, raó per la qual ha de ser eficaç el pagament que va realitzar».

Per tot això, a tall de conclusió podem afirmar que perquè el pagament fet pel deutor de bona fe a un tercer diferent del creditor tingui efectes alliberadors hem d’analitzar si aquest ha obrat amb la deguda diligència, no podent establir una resposta homogènia per a tots els casos. Per a això, és important valorar les circumstàncies de cada cas observant nombrosos elements com ara: (i) l’adreça de correu electrònic emprada pel delinqüent; (ii) existència de signes externs manifestos que alertin sobre un possible pirateig; (iii) existència de relacions comercials prèvies en què el pagament es realitzava en un altre compte diferent o a través d’un altre contacte; etc.