El crecimiento de los servicios bancarios digitales en Colombia ha traído consigo una sofisticación en las modalidades de ciberdelincuencia. Entre estas, el phishing se ha posicionado como uno de los mecanismos más frecuentes para el apoderamiento ilícito de dinero depositado en cuentas corrientes y de ahorros. Ante este escenario, surge una interrogante recurrente para empresas y personas naturales: ¿quién asume la responsabilidad financiera frente a un fraude informático mediante suplantación de identidad?
La jurisprudencia y las decisiones emitidas por la Superintendencia Financiera de Colombia ofrecen un marco conceptual detallado sobre la naturaleza del contrato de depósito bancario, el régimen de responsabilidad de las entidades financieras y el deber de autoprotección que recae sobre los consumidores financieros.
Naturaleza del contrato de depósito bancario y régimen de responsabilidad
El contrato de depósito en cuenta corriente o de ahorros constituye un depósito irregular. A través de esta figura, el establecimiento bancario adquiere la propiedad de las sumas depositadas y asume la obligación de restituir su equivalente al cliente cuando este lo solicite.
Este vínculo contractual se enmarca en las garantías constitucionales de protección al consumidor (artículo 78 de la Constitución Política) y en el carácter de interés público que reviste la actividad financiera (artículo 335 ibídem).
Deberes de diligencia del sistema financiero
Las instituciones bancarias están sujetas a un régimen especial de responsabilidad civil profesional. En concordancia con los criterios de la Sala de Casación Civil de la Corte Suprema de Justicia, los establecimientos de crédito:
- Son expertos en la intermediación financiera y reciben habilitación estatal para manejar el ahorro del público.
- Asumen obligaciones de resultado en cuanto a la custodia y restitución de los fondos.
- Deben administrar los riesgos operativos e informáticos propios de su actividad, sin que sea admisible trasladar tales riesgos de manera automática a los cuentahabientes.
- Tienen prohibido pactar estipulaciones contractuales que impliquen exoneraciones totales de responsabilidad, de acuerdo con el Estatuto Orgánico del Sistema Financiero (artículo 98, numeral 4.1).
Adicionalmente, bajo la Ley 1328 de 2009 y las instrucciones de la Circular Básica Jurídica de la Superintendencia Financiera, los bancos deben implementar estándares mínimos de seguridad y calidad. Esto abarca el monitoreo transaccional, la creación de perfiles sobre los hábitos del cliente y la definición de alertas ante operaciones inusuales.
La prueba de la exoneración: la culpa exclusiva de la víctima
Aunque las entidades bancarias asumen una responsabilidad profesional reforzada, este sistema no constituye un régimen de responsabilidad absoluta. El banco puede exonerarse del deber de reparación si acredita la existencia de una causa extraña, en particular, la culpa exclusiva del consumidor financiero o de un tercero.
┌─────────────────────────────────────────────────────────┐
│ CRITERIOS DE EXONERACIÓN DE LA ENTIDAD BANCARIA │
└────────────────────────────┬────────────────────────────┘
│
┌─────────────────────┴─────────────────────┐
▼ ▼
┌──────────────────────────────┐ ┌──────────────────────────────┐
│ Culpa Exclusiva de Víctima │ │ Hecho de un Tercero │
├──────────────────────────────┤ ├──────────────────────────────┤
│ - Inobservancia de deberes │ │ - Intervención externa ajena │
│ de autoprotección. │ │ a la esfera de control │
│ - Entrega voluntaria de │ │ del banco. │
│ claves a terceros. │ │ - Evento irresistible e │
│ - Omisión ante alertas. │ │ imprevisible. │
└──────────────────────────────┘ └──────────────────────────────┘
En los eventos de phishing, el ciberdelincuente suplanta la identidad visual de la entidad bancaria mediante correos electrónicos o sitios web fraudulentos para captar datos confidenciales (como NIT, usuario, contraseñas y claves dinámicas).
El deber de autoprotección del cliente
El artículo 6º de la Ley 1328 de 2009 consagra las buenas prácticas a cargo de los usuarios, tales como seguir las instrucciones de seguridad impartidas por las entidades y hacer un uso adecuado de los canales transaccionales.
Cuando un cliente ignora las advertencias explícitas de la entidad financiera —como las instrucciones de no ingresar a la plataforma bancaria a través de enlaces contenidos en correos electrónicos o SMS— y suministra sus credenciales de acceso en portales apócrifos, incurre en una inobservancia de sus deberes de autoprotección.
En decisiones jurisdiccionales de la Superintendencia Financiera (como en el caso tramitado bajo la Acción de Protección al Consumidor conforme a la Ley 1480 de 2011), se ha determinado que el suministro de claves secretas en enlaces sospechosos:
- Constituye una conducta imprudente que rompe el nexo de causalidad entre el servicio bancario y el daño sufrido.
- Se enmarca en lo previsto en el artículo 2357 del Código Civil sobre la exposición imprudente al daño.
- Exonera a la entidad si el banco demuestra que sus sistemas operaron correctamente y que la transacción fue validada con las claves reservadas del usuario.
Elementos probatorios clave en litigios por fraude bancario
Para definir la responsabilidad en un proceso verbal sumario u ordinario, la autoridad jurisdiccional evalúa conjuntamente diversos elementos de prueba técnico-periciales y documentales:
- Trazabilidad y logs transaccionales: Registros de auditoría donde consta la dirección IP de origen, la validación de claves secretas y la secuencia de navegación.
- Configuración de mecanismos de autenticación: Evaluación de si la cuenta exigía el uso de dispositivos de autenticación fuerte (tokens o claves dinámicas) y a qué usuarios les habían sido asignados.
- Verificación de topes transaccionales: Comprobación de si las transacciones respetaron los límites cuantitativos parametrizados por el cliente para la modalidad de pagos a terceros.
- Alertamientos y confirmaciones oportunas: Análisis de las notificaciones enviadas por la entidad al correo electrónico o teléfono del cliente. Si el cliente recibe notificaciones de creación de lotes de pagos o transferencias en tiempo real y guarda silencio sin reportar la inusualidad, la omisión puede ser valorada como confirmación o validación de las operaciones.
Preguntas Frecuentes (FAQ)
¿El banco debe devolver el dinero automáticamente cuando notifico un fraude?
No siempre de forma inmediata. La entidad financiera realiza un análisis técnico interno para verificar la trazabilidad de la operación. Si concluye que el débito ocurrió por la entrega voluntaria de credenciales confidentiales por parte del usuario, rechazará la reclamación, obligando al cliente a acudir a la vía jurisdiccional o ante la Superintendencia Financiera.
¿Qué ocurre si la transacción superó los topes configurados en la cuenta?
Si la entidad bancaria autorizó operaciones que excedieron los límites o topes transaccionales fijados por el cliente para ese módulo específico, o omitió los protocolos de seguridad pactados contractualmente, se configura un incumplimiento del banco que le genera responsabilidad por los perjuicios causados.
¿El silencio del cliente ante los correos de alerta del banco afecta el proceso?
Sí. Cuando el banco remite notificaciones de alerta sobre la realización de transacciones o creación de destinatarios de pago y el cliente las recibe pero no reacciona ni solicita el bloqueo de los canales, dicho comportamiento puede interpretarse como un factor que valida la operación frente al banco, atenuando o exonerando la responsabilidad de la entidad.
Conclusiones y recomendaciones prácticas
La distribución de la pérdida en casos de ciberfraudess en Colombia depende del cumplimiento estricto de los deberes de diligencia por ambas partes. Mientras las entidades financieras deben asegurar plataformas robustas y sistemas de alerta eficientes, los usuarios deben mantener la custodia rigurosa de sus credenciales.
Frente a la prevención de riesgos corporativos o al manejo de contingencias por operaciones no reconocidas, resulta indispensable que las empresas revisen permanentemente sus protocolos de ciberseguridad, asignación de tokens y parametrización de topes operativos.
Para una evaluación técnica de sus contratos transaccionales, auditoría de riesgos o representación en litigios bancarios, puede contar con el acompañamiento de nuestros abogados tributarios y especialistas en derecho corporativo. Asimismo, para estructurar esquemas de autoprotección legal en su organización, consulte la oferta de servicios en Legal One.
Fuentes Citadas
- Sentencia de 23 de julio de 2014, Radicado XXXX – Delegatura para Funciones Jurisdiccionales, Superintendencia Financiera de Colombia.
- Corte Suprema de Justicia, Sala de Casación Civil – Sentencia del 11 de marzo de 2010 (Expediente Tutela 2010-00320) M.P. Arturo Solarte Rodríguez.
- Ley 1328 de 2009 – Régimen de Protección al Consumidor Financiero en Colombia.