Aviso legal: Este artículo tiene fines exclusivamente informativos y de divulgación jurídica. No constituye asesoría legal individual ni reemplaza la consulta con un abogado especializado en derecho del consumidor financiero. Cada caso tiene circunstancias particulares que deben evaluarse de forma independiente.
Si el dinero desapareció de su cuenta de un momento a otro, o si recibió un mensaje confirmando una compra que jamás autorizó, probablemente lo primero que sintió fue pánico, y lo segundo, la sospecha de que el banco le va a decir que el problema es suyo. Durante años, la respuesta automática de muchas entidades ante un reclamo por fraude ha sido “usted debió cuidar sus claves”. Esa respuesta, en la mayoría de los casos, no tiene respaldo legal en Colombia: la jurisprudencia ha construido un sistema que pone la carga de la seguridad digital sobre los hombros del banco, no del cliente. Esta guía explica, con ejemplos numéricos y referencias normativas verificadas, cuándo el banco está obligado a devolverle su dinero, cuándo puede negarse legítimamente, y qué pasos concretos debe seguir para reclamar.
¿Es culpa suya o del banco? Descifrando la responsabilidad en fraudes digitales
El vínculo entre usted y su banco nace de un contrato: el de depósito (cuenta de ahorros o corriente) o el de apertura de crédito. Bajo ese contrato, el banco no solo le presta un servicio, asume una obligación de custodia sobre su dinero. Si un tercero logra sustraer esos fondos sin su autorización, en principio hay un incumplimiento contractual del banco, sin importar si sus empleados actuaron con dolo o simplemente sus sistemas fallaron.
La teoría del riesgo profesional: por qué responden los bancos
Piénselo con una analogía sencilla: si una empresa de transporte de valores pierde el dinero que le confiaron para trasladar, nadie discute que debe responder, así el asalto lo haya cometido un tercero con armas de fuego. La actividad bancaria funciona bajo una lógica parecida. La Corte Suprema de Justicia ha aplicado la teoría del riesgo profesional (o riesgo creado): quien obtiene un beneficio económico de una actividad que por su propia naturaleza genera riesgos para terceros —como ofrecer banca digital masiva— debe asumir las consecuencias cuando ese riesgo se materializa, según explica un análisis publicado por Ámbito Jurídico.
En términos numéricos: si un banco maneja, por ejemplo, 10 millones de transacciones digitales al mes y un porcentaje mínimo de ellas —digamos el 0,01%, es decir 1.000 casos— termina en fraude por fallas de seguridad, esa cifra no es una “mala suerte” imprevisible. Es una consecuencia estadísticamente previsible de operar un canal digital masivo, y por eso la ley exige al banco anticiparla, mitigarla y, cuando falla, indemnizarla.
Qué dicen las sentencias de la Corte Suprema de Justicia
Tres decisiones marcan el estándar actual:
| Sentencia | Fecha | Regla establecida |
|---|---|---|
| SC18614-2016 | 19 dic. 2016 | La actividad bancaria es riesgosa y genera presunción de culpa contra el banco frente a fraudes electrónicos; el fraude se asume como riesgo profesional inherente al negocio, según reseña La República. |
| SC16496-2016 | 16 nov. 2016 | Invierte la carga de la prueba: que el sistema del banco registre el uso correcto de una clave no exime al banco; debe probar la culpa efectiva del cliente. |
| SC037-2023 | 2023 | Reafirma que las obligaciones de seguridad del banco son “de resultado” y no de simple “medio”: no basta con intentar proteger, hay que lograrlo, según recoge un análisis de la Revista Misión Jurídica. |
En la práctica, esto significa que si el banco se limita a decir “nuestros registros muestran que se usó la clave correcta”, eso no cierra el debate. Debe demostrar, con evidencia técnica concreta, que no hubo intrusión en sus sistemas y que fue realmente usted quien actuó con negligencia grave.
Phishing, smishing y vishing: ¿quién asume la pérdida?
Este es el escenario más común: usted recibe un correo, un SMS o una llamada que aparenta ser de su banco, entrega sus datos en un portal falso o los dicta por teléfono, y minutos después el dinero desaparece. Aquí el debate se vuelve más matizado, porque usted sí interactuó con el engaño.
El deber del banco de bloquear operaciones sospechosas
El punto que suele definir estos casos no es si usted cayó en el engaño, sino si el banco detectó —o debió detectar— el comportamiento anómalo posterior. La Circular Externa 029 de 2014 de la Superintendencia Financiera (cuyas obligaciones de seguridad hoy están compiladas dentro de la Circular Básica Jurídica vigente, Circular Externa 006 de 2025) obliga a los bancos a mantener un perfil transaccional de cada cliente y a bloquear operaciones que se salgan de ese patrón.
Un ejemplo numérico ilustra el punto: si una persona acostumbra retirar entre 200.000 y 500.000 pesos semanales de un cajero en su barrio, y de repente su cuenta registra siete transferencias de 3 millones de pesos cada una, en el lapso de 20 minutos, hacia cuentas nunca antes usadas, ese patrón debería activar una alerta o un bloqueo automático. Si el banco no lo hizo, la Superintendencia Financiera ha resuelto en contra de la entidad, como ocurrió en la Resolución con radicación 2024089700-038-000 del 29 de julio de 2025, disponible en el sitio oficial de la Superintendencia Financiera.
¿Puede el banco culparlo automáticamente por "descuido"?
No. La respuesta de que “usted debió cuidar sus claves” no es, por sí sola, una defensa válida ante un juez o ante la Delegatura de la Superintendencia Financiera. El banco tiene que demostrar dos cosas al mismo tiempo: que hubo negligencia grave de su parte, y que esa negligencia fue la causa única y determinante del fraude, sin que existiera además una falla suya en el monitoreo. Si ambas fallan al tiempo —usted entregó un dato y el banco no bloqueó la operación anómala que siguió—, la responsabilidad recae, total o parcialmente, sobre el banco.
¿A quién corresponde demostrar el fraude? La carga de la prueba
Uno de los puntos que más tranquiliza a las víctimas, y que menos conocen, es que la ley no les exige demostrar cómo los delincuentes vulneraron el sistema del banco. Bastaría que la Corte le pidiera eso a un usuario común para que la reclamación se volviera, en la práctica, imposible: usted no tiene acceso a los servidores del banco, ni a sus registros de auditoría, ni conocimientos de informática forense.
Los derechos protegidos por la Ley 1328 de 2009
Por eso el artículo 11, literal c), de la Ley 1328 de 2009 —el Régimen de Protección al Consumidor Financiero— califica como práctica abusiva que el banco pretenda invertir la carga de la prueba en su contra en un caso de fraude. En la práctica esto se traduce en la figura de la “negación indefinida”: a usted le basta con afirmar, ante el banco o ante la autoridad competente, que no realizó ni autorizó la operación. A partir de ahí, es el banco quien debe demostrar, con pruebas técnicas concretas —registros de IP, huella digital del dispositivo, análisis forense—, que no hubo intrusión en sus sistemas y que usted actuó con culpa grave y exclusiva.
Cómo reclamar si le vaciaron la cuenta o le robaron la tarjeta
Si ya fue víctima de un fraude, el orden en que actúe importa. Estos son los pasos, de la vía más rápida a la más formal.
Paso 1: bloqueo y reversión de pagos (Decreto 587 de 2016)
Lo primero es bloquear todos sus productos financieros (tarjetas, banca móvil, banca por internet) llamando a la línea de su banco y exigiendo un número de radicado de PQR. Inmediatamente después, invoque el Decreto 587 de 2016, que regula la reversión de pagos electrónicos no reconocidos. Este decreto le da un plazo de cinco (5) días hábiles, contados desde que detecta el fraude o recibe su extracto, para radicar formalmente la queja exigiendo la reversión. A partir de ahí, el banco emisor tiene un máximo de quince (15) días hábiles para reversar el dinero disputado, sin que se requiera un fallo judicial previo.
Paso 2: el Defensor del Consumidor Financiero
Si el banco niega el reintegro por la vía directa, el siguiente escalón es el Defensor del Consumidor Financiero (DCF) de su entidad, una instancia gratuita e independiente dentro del propio banco. Si el DCF falla en su contra, usted no pierde ningún derecho: puede seguir adelante con las siguientes vías.
Paso 3: demanda ante la Superintendencia Financiera
Aquí existen dos caminos distintos y complementarios:
- Queja administrativa: busca que la Superintendencia Financiera investigue y, eventualmente, sancione al banco por incumplir sus deberes de seguridad. No ordena devolverle el dinero a usted directamente.
- Acción de protección al consumidor financiero (funciones jurisdiccionales): aquí sí. Bajo la Ley 1480 de 2011, usted demanda al banco ante la Delegatura de Funciones Jurisdiccionales de la Superintendencia Financiera, que actúa con las mismas facultades de un juez. Es un proceso verbal sumario, más rápido y económico que un juicio civil ordinario, y puede terminar en una orden de pago, reintegro e intereses a su favor.
Como último recurso está la acción civil ordinaria (para casos de fraudes de alto valor con pretensiones adicionales de indemnización) y, de forma muy excepcional, la acción de tutela. La Corte Constitucional, en la Sentencia T-479 de 2023, fue clara en que la tutela no procede como regla general en estos casos —porque existen las vías anteriores— salvo que esté en juego un perjuicio irremediable e inminente, como la privación total del mínimo vital de una persona pensionada.
el equipo de ConsumidorFinanciero.com puede orientarlo sobre los siguientes pasos.
Casos críticos: créditos preaprobados fraudulentos y la nueva Ley 2573 de 2026
Uno de los fraudes más agresivos de los últimos años ocurre así: un delincuente logra entrar a la aplicación bancaria de la víctima (usando claves filtradas en bases de datos vulneradas), encuentra un cupo de “crédito rápido preaprobado” y, sin salir de esa misma sesión, lo activa y transfiere el dinero desembolsado a varias cuentas distintas, todo en cuestión de minutos.
Hasta hace poco, esta situación dejaba a la víctima en un limbo: aunque tuviera argumentos sólidos para decir que el pagaré era inexistente por falta de consentimiento, muchas veces terminaba reportada en centrales de riesgo como DataCrédito mientras el proceso avanzaba, con el consiguiente daño a su historial crediticio.
Esto cambió de forma importante en 2026. La Corte Constitucional, mediante la Sentencia C-413 de 2025, avaló la constitucionalidad de lo que se convirtió en la Ley 2573 de 2026, sancionada el 19 de mayo de 2026 según reporta El País. Esta ley obliga a bancos, cooperativas y comercios a:
- Suspender de inmediato el cobro de créditos u obligaciones cuando la víctima presente pruebas iniciales de suplantación de identidad.
- Solicitar la eliminación (o el reemplazo por la anotación “Víctima de Falsedad Personal”) de los reportes negativos en centrales de riesgo como DataCrédito y TransUnion.
- Mantener esa suspensión hasta que exista una decisión judicial definitiva en el proceso penal por falsedad personal o documental.
Importante para su caso: la Ley 2573 de 2026 fue sancionada el 19 de mayo de 2026, pero según lo reportado entrará en vigencia plena en noviembre de 2026, seis meses después de su promulgación. Esto significa que, al momento de publicar este artículo, la ley ya existe y fue declarada ajustada a la Constitución, pero conviene que usted verifique con su abogado o directamente en el Sistema Único de Información Normativa (SUIN-Juriscol) la fecha exacta de entrada en vigor aplicable a su caso concreto, dado que estas fechas pueden precisarse o ajustarse en el desarrollo reglamentario.
Mientras tanto, y para créditos desembolsados antes de la entrada en vigencia de la ley, sigue aplicando el criterio general: la concesión automatizada de créditos de montos considerables sin verificación reforzada (biometría, doble factor) contradice las obligaciones de seguridad del Estatuto Orgánico del Sistema Financiero y la normativa de la Superintendencia Financiera, lo que da pie a exigir la anulación del pagaré por ausencia de consentimiento del supuesto deudor.
Glosario rápido
- Phishing: técnica de fraude por correo electrónico o portales falsos que suplantan a una entidad real para robar credenciales.
- Smishing: la misma técnica de suplantación, pero ejecutada mediante mensajes de texto (SMS).
- Vishing: suplantación mediante llamadas telefónicas, generalmente haciéndose pasar por asesores del banco.
- 2FA (doble factor de autenticación): mecanismo de seguridad que exige dos formas independientes de verificar la identidad del usuario (por ejemplo, clave más un código de un solo uso).
- OTP (One Time Password): código numérico de un solo uso, generalmente enviado por SMS, que autoriza una transacción específica.
- Riesgo profesional / riesgo creado: teoría jurídica según la cual quien se beneficia económicamente de una actividad riesgosa debe asumir las consecuencias de los daños que esa actividad genera.
- Culpa exclusiva de la víctima: eximente de responsabilidad que aplica solo cuando se demuestra que la conducta negligente del usuario fue la causa única y determinante del fraude.
Preguntas frecuentes
¿Si entran a mi banca virtual, el banco debe devolverme el dinero sustraído?
Como regla general, sí. El banco asume la responsabilidad patrimonial bajo la teoría del riesgo creado por la actividad bancaria y solo se exime si prueba su negligencia grave y exclusiva (Sentencia SC18614-2016 de la Corte Suprema de Justicia; artículo 1391 del Código de Comercio).
El banco niega la reversión diciendo que yo compartí mis claves. ¿Es válido?
Esa afirmación, por sí sola, no es concluyente. El banco debe probar su descuido y, aun así, debe demostrar que ese descuido fue la causa exclusiva del fraude, sin que existieran omisiones suyas en el monitoreo o el bloqueo de operaciones (Sentencia SC16496-2016; Circular 029 de 2014 de la SFC).
¿Cuánto tiempo tengo para objetar una transacción no autorizada?
Cinco (5) días hábiles desde que conoce el fraude, para exigir al emisor la reversión temporal del pago bajo el Decreto 587 de 2016. El banco tiene después quince (15) días hábiles para resolver.
Hackearon mi perfil y sacaron un crédito preaprobado sin mi autorización. ¿Qué puedo hacer?
El banco asume una obligación de resultado: desembolsar créditos sin factores reforzados de autenticación (biometría, doble factor) ante operaciones atípicas le obliga a revertir el crédito. Adicionalmente, desde 2026 la Ley 2573 de 2026 (avalada por la Sentencia C-413 de 2025 de la Corte Constitucional) obliga a suspender cobros y limpiar el reporte en centrales de riesgo mientras se resuelve el proceso penal por suplantación.
¿El banco gana el caso si demuestra que la IP o el celular usados eran míos?
No necesariamente. Que la conexión provenga de su dispositivo no descarta que haya sido controlado remotamente por un malware o troyano. El banco debe probar que no hubo vulneración de sus propios controles de seguridad, no solo que el dispositivo era suyo.
¿Tengo que aportar pruebas técnicas de cómo accedieron al sistema del banco?
No. La Ley 1328 de 2009 (artículo 11, literal c) le da amparo para simplemente negar haber autorizado la transacción. Es el banco quien debe aportar el material probatorio técnico.
¿Sirve de algo acudir al Defensor del Consumidor Financiero si su decisión no me favorece?
Sí, porque no le cierra ninguna puerta. Si el resultado le es adverso, conserva intacto el derecho de acudir a la Superintendencia Financiera o a la vía judicial ordinaria.
¿Es rápida la acción de tutela para este tipo de reclamaciones?
Por regla general, no procede, porque existen mecanismos idóneos como la Superintendencia Financiera. Solo es procedente de forma excepcional cuando hay un perjuicio irremediable inminente, como ocurrió en la Sentencia T-479 de 2023 de la Corte Constitucional.
¿Debo seguir pagando las cuotas de un préstamo que sacaron delincuentes a mi nombre?
Es un punto que ha sido polémico, pero la Ley 2573 de 2026 (declarada exequible mediante la Sentencia C-413 de 2025) resuelve gran parte de la incertidumbre: una vez presente pruebas iniciales de suplantación de identidad ante el banco y la denuncia penal correspondiente, la entidad debe suspender el cobro y ajustar su reporte en centrales de riesgo mientras se resuelve el proceso. Verifique con su abogado la fecha exacta de entrada en vigor aplicable a su situación, dado que la ley fue sancionada en mayo de 2026 con una entrada en vigencia prevista meses después.
¿Tenía el banco la obligación de avisarme mientras vaciaban mi cuenta?
Sí. La normativa de la Superintendencia Financiera exige notificar las operaciones mediante SMS o correo electrónico, para que usted pueda reaccionar a tiempo. La falta de esas alertas es una omisión que se suma en contra del banco.
y le ayudamos a evaluar si su situación encaja en alguno de estos escenarios.
Fuentes consultadas
- Ámbito Jurídico – Entidades financieras deben reparar perjuicios
- La República – La Corte Suprema señaló que los bancos deben responder por los fraudes
- Revista Misión Jurídica – La responsabilidad objetiva de los bancos en fraude electrónico
- Superintendencia Financiera de Colombia – Resolución Rad. 2024089700-038-000
- Superintendencia Financiera de Colombia – Circular Básica Jurídica (Circular Externa 006 de 2025)
- Función Pública – Ley 1328 de 2009
- Función Pública – Decreto 587 de 2016
- Corte Constitucional – Sentencia T-479 de 2023
- LexLatin – Sentencia C-413/25 y el fraude digital en Colombia
- El País – Ley que obliga a bancos a suspender cobros y borrar reportes en DataCrédito
- SUIN-Juriscol – Sentencia C-413 de 2025
