El incremento de las transacciones electrónicas en el sistema bancario colombiano ha traído consigo un aumento paralelo en las modalidades de fraude informático. Entre estas técnicas, el phishing —mecanismo mediante el cual suplantadores obtienen credenciales confidenciales mediante correos o mensajes engañosos— representa uno de los mayores motivos de litigio entre los usuarios y los establecimientos de crédito.
Frente a la pérdida de dinero por transacciones no reconocidas, surge un interrogante jurídico fundamental: ¿debe la entidad financiera restituir los fondos de manera automática o la conducta del usuario puede exonerarla de responsabilidad? A través de las funciones jurisdiccionales ejercidas por la Superintendencia Financiera de Colombia (SFC) y la jurisprudencia de la Corte Suprema de Justicia, el ordenamiento jurídico ha fijado criterios precisos para resolver estos conflictos.
El régimen de responsabilidad en el contrato de cuenta corriente y de ahorros
El contrato de cuenta corriente o de ahorros genera una relación pasiva de crédito en la que el establecimiento bancario asume la custodia de los dineros depositados. Al ejecutar un desembolso o transferencia a favor de un tercero sin la debida autorización de su titular, la entidad incurre en un incumplimiento contractual, pues el pago solo se considera válidamente efectuado cuando responde a las instrucciones auténticas del cuentacorrentista.
Dada la naturaleza de la actividad financiera y el impacto de esta en el interés público (artículo 78 de la Constitución Política de Colombia), la Corte Constitucional y la Corte Suprema de Justicia han exigido a los bancos un nivel superior de diligencia profesional y control técnico. Sin embargo, este régimen de responsabilidad no es absoluto ni de carácter puramente objetivo.
Criterio jurisprudencial: En sentencia de la Sala de Casación Civil de la Corte Suprema de Justicia (M.P. Arturo Solarte Rodríguez, Expediente Tutela 2010-00320), se precisó que la entidad financiera puede exonerarse demostrando que el daño no deriva de sus fallas operativas o de seguridad, sino de la conducta exclusiva del cuentacorrentista o de un evento imprevisible e irresistible.
Obligaciones de seguridad a cargo del consumidor financiero
Si bien los bancos están obligados a implementar canales seguros y estándares de autenticación robustos, la ley impone cargas correlativas al cliente. De acuerdo con el artículo 6º de la Ley 1328 de 2009 (Estatuto del Consumidor Financiero), los usuarios tienen la obligación de:
- Revisar de manera diligente los términos y condiciones del contrato.
- Informarse sobre las condiciones de operación del producto o servicio.
- Observar rigurosamente las instrucciones y recomendaciones de seguridad impartidas por la entidad vigilada.
Cuando el usuario suscribe el reglamento de banca virtual y se compromete a mantener en absoluta reserva sus claves de acceso, usuario y factores de autenticación, la custodia de dicha información confidencial queda bajo su exclusiva esfera de control.
La culpa exclusiva de la víctima como causal de exoneración de la entidad bancaria
En los litigios tramitados ante la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia (mediante la acción de protección al consumidor financiero establecida en los artículos 57 y 58 de la Ley 1480 de 2011 y el Código General del Proceso), el debate probatorio se centra en determinar el origen de la fuga de información.
Un caso ilustrativo resuelto por la Delegatura (Radicado Interno 506 Jurisdiccionales, Sentencia del 12 de diciembre de 2013) analizó la reclamación de una cuentacorrentista a quien le fueron sustraídos fondos de su cuenta mediante dos transferencias virtuales no reconocidas. La usuaria argumentó la falla del servicio del banco; sin embargo, el material probatorio —incluyendo los registros transaccionales (logs) e investigaciones internas— demostró que las operaciones se autorizaron con las claves correctas de la cliente inmediatamente después de que esta ingresara sus datos en un correo electrónico fraudulento.
┌─────────────────────────────────────────────────────────────────┐
│ EVALUACIÓN PROBATORIA EN EL PHISHING │
├─────────────────────────────────────────────────────────────────┤
│ 1. ¿Funcionaron los sistemas de seguridad del banco? │
│ └─► Sí: Los logs registran autenticación correcta. │
├─────────────────────────────────────────────────────────────────┤
│ 2. ¿Hubo inobservancia de las deberes de seguridad del usuario? │
│ └─► Sí: Suministró claves tras dar clic en enlaces falsos. │
├─────────────────────────────────────────────────────────────────┤
│ RESULTADO JURÍDICO: Exoneración de la entidad por culpa │
│ exclusiva de la víctima y ruptura del nexo causal. │
└─────────────────────────────────────────────────────────────────┘
En este tipo de eventos, si el banco demuestra que la plataforma tecnológica funcionó en condiciones normales y que la captación de los datos confidenciales obedeció a que el consumidor omitió las advertencias expresas de seguridad —por ejemplo, haciendo clic en enlaces sospechosos o entregando sus claves a terceros—, se configura la culpa exclusiva de la víctima. Dicha circunstancia rompe el nexo de causalidad entre la conducta del banco y el perjuicio sufrido, liberando a la institución financiera de la obligación de reembolso.
Consideraciones prácticas para el litigio y la gestión del riesgo
Para que una entidad bancaria alegue con éxito la culpa exclusiva de la víctima, no basta con hacer una afirmación genérica sobre la existencia de phishing. Corresponde al establecimiento probar:
- La idoneidad de sus sistemas de información y que las transacciones se efectuaron en el patrón habitual o mediante validación de credenciales correctas.
- La existencia de campañas de prevención y avisos de seguridad dirigidos al usuario sobre los riesgos de revelar contraseñas.
- La prueba directa o indiciaria de que la información confidencial salió del dominio del cliente por una acción u omisión directa de este.
Por su parte, el consumidor financiero que alegue la responsabilidad del banco deberá enfocar sus esfuerzos en demostrar eventuales fallas de la plataforma, fallos en los sistemas de alertas de operaciones inusuales o vulneraciones de la seguridad interna del establecimiento de crédito.
En materia tributaria y patrimonial, el manejo adecuado de contingencias financieras y la planeación en la recuperación de activos requiere un análisis riguroso de cada contrato. Si su empresa o patrimonio enfrenta controversias complejas de carácter fiscal derivadas de pérdidas patrimoniales o litigios corporativos, es clave contar con la asesoría de un abogado tributarista que evalúe el impacto impositivo de tales situaciones y garantice la defensa integral de sus derechos.
Preguntas Frecuentes (FAQ)
1. ¿El banco siempre debe devolver el dinero sustraído mediante internet?
No. Aunque el banco responde por la custodia de los fondos, la ley le permite exonerarse si demuestra en juicio que el fraude se debió a la culpa exclusiva del usuario o a fuerza mayor.
2. ¿Qué norma regula la acción jurisdiccional contra un banco por protección al consumidor?
Las acciones de protección al consumidor financiero se fundamentan principalmente en las Leyes 1328 de 2009 y 1480 de 2011 (Estatuto del Consumidor), y se tramitan ante la Superintendencia Financiera o los jueces civiles.
3. ¿Qué es la confesión ficta en este tipo de procesos verbales sumarios?
Es la consecuencia jurídica (prevista en las normas procesales civiles) que ocurre cuando una de las partes no asiste a la audiencia fijada sin causa justificada, dándose por ciertos los hechos susceptibles de confesión alegados por la contraparte.
Conclusión
El régimen de responsabilidad en el sector bancario colombiano impone un alto estándar de custodia a las entidades financieras, pero exige un deber estricto de autocuidado por parte de los cuentacorrentistas. La jurisprudencia y los conceptos de la Superintendencia Financiera han consolidado que la entrega indiligente de credenciales a través de mecanismos como el phishing libera a los bancos de la obligación indemnizatoria, al configurarse la culpa exclusiva de la víctima.
Para prevenir estas contingencias y estructurar mecanismos de defensa adecuados frente a litigios bancarios y sus implicaciones fiscales, consulte la asesoría especializada de Legal One.
Fuentes Citadas
- Superintendencia Financiera de Colombia (Delegatura para Funciones Jurisdiccionales): Sentencia del 12 de diciembre de 2013, Radicado Interno 506 Jurisdiccionales (Acción de Protección al Consumidor Financiero).
- Corte Suprema de Justicia (Sala de Casación Civil): Sentencia de Tutela del 11 de marzo de 2010, Exp. 2010-00320, M.P. Arturo Solarte Rodríguez.
- Corte Constitucional de Colombia: Sentencia C-640 de 2010.
- Congreso de la República de Colombia: Ley 1328 de 2009 (Estatuto del Consumidor Financiero) y Ley 1480 de 2011 (Estatuto del Consumidor).