Llevo desde principios de mes abrumado y superado por todo lo que me está cayendo. Hoy, ahora, en una oposición a catedrático de un mentor y sin embargo amigo, cumpliendo con mis labores administrativas, tengo tiempo y ganas de escribir, desde esta tablet que lo hace todo más fácil e incómodo.

Este mes empezó con mis problemas como presidente del Ampa,  que me ha quitado mucho más sueño y tiempo del previsto. También mi trabajo y mi departamento me ha dado trabajo y disgustos, aunque sorprendentemente menos que el Ampa. Y a todo esto le sumamos Bankia.

El día 2 de septiembre me llama Bankia para preguntarme si había sacado 2000 euros del cajero por el procedimiento de emergencia. Creía que era una broma. Resulta qué Bankia, en su infinita bondad y sabiduría, permite que una persona que no tenga físicamente la tarjeta ni el teléfono ni nada, en caso de emergencia, puede llamar desde una cabina y, si se identifica como el titular, le dan por teléfono un código que permite sacar dinero del cajero.  Así que alguien llamó,  se identificó como yo, y sacó 1000 euros el sábado y 1000 euros el domingo, desde sendos cajeros de Valencia.

No me quisieron decir con qué preguntas se habían identificado,  y el lunes fui a la Guardia Civil, puse la denuncia, fui a Bankia, cancelé la tarjeta, cerré  la oficina virtual e hice la reclamación.

Algo curioso: el Guardia Civil que redactó la denuncia, cuando se lo conté,  me dijo: no le han robado a usted, le han robado a Bankia.

Al día siguiente (sobre el día 5), Bankia me dice que se habían identificado con mis claves de Internet,  por lo que ya no le habían hecho más preguntas, y que yo había custodiado mal las claves, y por tanto no me devolvían el dinero.

Hay dos cosas curiosas, o tres. La primera es que Bankia descarga toda la responsabilidad sobre el cliente. No admiten que sea un fallo de seguridad suyo, o un fallo en la aplicación, o un empleado «contento con la empresa» que haya decidido agradecerle algo a sus jefes. Luego está que Bankia identifica a una persona como yo por un método ilegal (que yo sepa el único método legal de identificar a alguien es con Dni o pasaporte). Se equivocan identificándome, y cargan sobre mí la responsabilidad de su equivocación en un producto que yo ni siquiera había pedido. Y, por último, Bankia te pide para todo, Internet y banca telefónica,  que introduzcan tu Dni y el pin de tu tarjeta.

Para una persona como yo, que asometer la sospecha de que puedan haberme robado las claves, es un mazazo. Llevo 12 años sin un virus, trabajo con linux,  no me conecto al banco por Internet desde cualquier ordenador, uso Paypal para no comprometer la tarjeta, uso contraseñas con caracteres no alfanuméricos…

Cambié las claves de la wifi y de todas mis cuentas de correo, y empezó el análisis forense. En absolutamente todos mis ordenadores revisé los logs,  pasé antivirus en todos los windows y linux, pasé detectores de rootkits, vi aplicaciones ejecutándose y puertos abiertos, logs del router de casa, logs de las cuentas de correo… No encontré rastro de que nadie hubiera entrado en mi ordenador, hubiera usado mis cuentas, nadie había hecho nada con ningún dato mío adicional. Sí alguien hubiera estado en mi ordenador, podría acceder a mi correo, a mis datos laborales, haber pagado con Paypal, haber sacado mucha información sensible y útil o, incluso, husmear en mi vida. Pero no había nada. Quién me robó las claves, entró a mi ordenador sólo para ver las claves de Bankia, sin comprometer nada más. Y no me conecto a Bankia todos los días. Es difícil pillarme conectado al banco.

Sospeché del móvil o de la tablet, a las que pasé un antivirus y, pese a no salir nada, formateé. Hace 3 meses Bankia sacó una aplicación para móvil, que usaba para consultar movimientos pero no para hacer operaciones. Quizá  ese fue un punto débil, de Bankia, por algún error suyo de seguridad.

Respecto del phising,  tengo mucha experiencia y cuidado, no me fío de email ni llamadas, y me conecto sólo desde ordenadores fijos y de confianza. No me creo, veo casi imposible que alguien me engañara para meter mis claves en un sitio falso. Aunque Bankia me obligue a meter el pintura en Internet, en el cajero, en cualquier compra o incluso cuando reclamo por teléfono.

Además,  la tarjeta no la he perdido, siempre ha estado en mi poder. Si ya Bankia da dinero a cargo de mi tarjeta, en un cajero, sin tener la tarjeta física,  ya no sé qué puedo hacer yo como cliente desprotegido.

Es decir, que esto, salvo que haya habido un ataque Man-in-the-middle (y no me conecto a redes libres para operar en banca), todo hace indicar que hay un agujero de seguridad en Bankia, ya sea en sus aplicaciones informáticas o en su personal.

Tras pelear con Bankia, reconocieron que había más gente en mi misma situación,  la voz que llamó era siempre la misma y que era un fraude flagrante,  por lo que me iban a devolver el dinero. No reconocieron ni admitieron que podían tener responsabilidad en la custodia de claves o en el error. Esto sería el día 8.

Hoy estamos a 20. No me han devuelto aún el dinero, me ha ttocado meter dinero a la cuenta para pasar el mes, y ya se está acabando,  y no hacen más que darme largas. Es más: habilité alertas por móvil cada vez que accedan a mi cuenta (servicio por el que Bankia me cobra) y ayer tarde entré para probarlo y no funcionó. Cuando llamé para quejarme, me pidieron que tecleara en el teléfono mi Dni y el pin de la tarjeta.

Está claro que me voy de Bankia este diciembre. Ha sido un error suyo, que intentan colgarme a mí,  que presumen mi culpabilidad ante su error y que ahora me están ninguneando. Así que sabed con quién os jugáis los cuartos.

Bankia me ha amargado este mes.