Caso ilustrativo · Fraude por smishing · Colombia 2026
Ricardo de 38 años ya llevaba cuatro años trabajando en la misma empresa. Un martes por la tarde le llegó un mensaje de texto desde el número de su banco — el mismo desde el que siempre le llegaban las alertas de transacciones. El mensaje decía que había un intento de acceso no autorizado a su cuenta y que debía verificar sus datos de inmediato.
Hizo clic. Ingresó sus datos. Diez minutos después su cuenta de ahorros estaba en cero — $8.2 millones — y había un crédito a su nombre por $12 millones en 24 cuotas.
Fue al banco. La respuesta fue directa: «usted fue quien accedió al enlace y entregó sus datos. Eso es culpa suya. Lo que podemos hacer es darle $1.5 millones como gesto de buena voluntad — pero para eso necesita firmar este documento.»
Ricardo no firmó. Cuatro meses después había recuperado casi $30 millones.
Este artículo explica cómo — no para prometer que todos los casos terminan igual, sino para que quien esté en una situación parecida sepa qué camino existe.
El error más costoso: firmar la primera oferta
Cuando el banco presenta una oferta de compensación en los días siguientes a un fraude, suele ir acompañada de un documento para firmar. Ese documento se llama de distintas formas — acta de acuerdo, paz y salvo, cierre de caso — pero su efecto es siempre el mismo: con esa firma, la víctima renuncia al derecho de reclamar más adelante.
El banco lo sabe. Por eso la oferta llega rápido, cuando la víctima está en shock, necesita el dinero y no ha hablado con ningún abogado. Y por eso el monto suele ser el mínimo que el banco calcula que la persona va a aceptar.
Regla de oroNunca firmes un documento que te ofrezca el banco o su aseguradora sin haberlo revisado con un abogado. Una vez firmado, el caso queda cerrado legalmente — sin importar lo que se descubra después.
Por qué «usted fue quien dio clic» no es la última palabra
El argumento que los bancos usan con más frecuencia en casos de fraude por smishing o phishing es que el usuario fue negligente — que él mismo entregó sus datos, que él fue quien hizo clic, que él autorizó el acceso.
Ese argumento tiene una falla central: ignora la obligación que los bancos tienen de proteger a sus clientes con sistemas de seguridad que detecten operaciones inusuales, independientemente de si el usuario cometió un error.
En el caso de Ricardo, el mensaje de smishing era casi idéntico al mensaje original del banco — mismo número remitente, mismo formato, mismo tono. El argumento legal fue este: si el engaño estaba tan bien diseñado que era difícil distinguirlo del mensaje real, el banco también falló. Porque sus sistemas de monitoreo debían haber detectado una transferencia por el total de los ahorros hacia un destinatario nuevo, a las 11 de la noche, desde un dispositivo distinto al habitual.
Ese tipo de transacción — por el monto, el horario, el destinatario y el dispositivo — tenía todas las características de una operación fraudulenta. Y el banco la dejó pasar.
Lo que importa legalmenteLa pregunta legal relevante no es solo «¿el usuario cometió un error?» — es «¿el banco cumplió con todas sus obligaciones de seguridad?» Si la respuesta a la segunda pregunta es no, el banco no puede trasladar toda la responsabilidad al usuario.
La ruta de escalamiento — paso a paso
El sistema de protección al consumidor financiero en Colombia tiene tres niveles. La mayoría de las víctimas solo usa el primero y se detiene cuando el banco dice que no. Así funcionaron los cuatro meses del caso de Ricardo:
| Semana | Acción | Resultado |
|---|---|---|
| 1 | Reclamo formal al banco por escrito — número de radicado solicitado | Radicado entregado. Plazo: 15 días hábiles para respuesta |
| 3 | Respuesta del banco: $1.5M «por cortesía» y cierre. Rechazado. Escalamiento al Defensor del Consumidor Financiero | Caso en manos del Defensor |
| 6 | El Defensor no resuelve satisfactoriamente. Demanda presentada ante la Delegatura de la Superfinanciera | Caso en la Superfinanciera |
| 12 | Audiencia de conciliación. El banco prefiere conciliar antes que defender sus sistemas de seguridad | Acuerdo alcanzado |
| 16 | Acuerdo firmado: cuenta restituida + crédito cancelado + compensación adicional | Total recuperado: ~$28.5M |
Lo más importante de esta línea de tiempo: el caso no llegó a un juicio. Se resolvió en una audiencia de conciliación ante la Superfinanciera — un proceso más rápido, menos costoso y más predecible que un proceso judicial ordinario.
Por qué el banco concilióEn la audiencia de la Superfinanciera, el banco iba a tener que demostrar que sus sistemas de seguridad eran suficientes para detectar ese tipo de fraude. Una transferencia del 100% de los ahorros, a las 11 de la noche, a un destinatario nuevo, desde un dispositivo distinto. Sabían que no podían defender eso. Por eso prefirieron conciliar.
El resultado — y qué significa el monto
El acuerdo de conciliación cubrió tres componentes:
- La restitución de la cuenta: $8.2 millones — el dinero que fue sacado de la cuenta de ahorros.
- La cancelación del crédito: $12 millones — la deuda que habían generado a nombre de Ricardo sin su autorización quedó completamente cancelada. Eso es liberación de pasivo, no pago en efectivo, pero tiene el mismo efecto económico.
- La compensación adicional: el equivalente a 3 SMLV por daño moral (~$4.3M a valor 2026) más $4 millones por gastos de gestión reconocidos. En total, alrededor de $8.3 millones adicionales.
Total recuperado: aproximadamente $28.5 millones.
Comparado con la oferta inicial de $1.5 millones, la diferencia fue de $27 millones. Esa diferencia es el resultado de no firmar el primer documento, conocer la ruta de escalamiento y tener representación legal en la audiencia.
Nota importanteEste caso ilustra un camino posible — no un resultado garantizado. Cada caso depende de sus circunstancias específicas: el tipo de fraude, la documentación disponible, el comportamiento del banco y los argumentos que se construyan. La evaluación de cada situación en particular es lo que determina qué ruta tiene más probabilidades de éxito.
Preguntas frecuentes
¿Todos los casos de fraude bancario terminan en conciliación?
No. Algunos se resuelven en el nivel del Defensor del Consumidor. Otros requieren ir a audiencia ante la Superfinanciera. Algunos sí llegan a un proceso judicial. El resultado depende de la solidez de los argumentos, la documentación disponible y la posición que adopte el banco. Lo que sí es cierto es que la negativa inicial del banco no es la última palabra — hay instancias con mayor poder de decisión.
¿Qué pasa si el banco dice que el plazo para reclamar ya venció?
El plazo para presentar la demanda ante la Delegatura para Funciones Jurisdiccionales de la Superfinanciera es de 1 año desde que ocurrió el fraude. Si ese plazo no ha vencido, todavía hay opciones. Si ya venció, puede haber otras vías disponibles dependiendo de las circunstancias.
¿Cuánto cuesta contratar a un abogado para un caso como este?
En RDP Abogados trabajamos con honorarios de éxito en casos de fraude bancario — no hay pago por adelantado. El honorario se acuerda como un porcentaje de lo que se recupere. Si no se logra nada, no se cobra nada. La primera evaluación siempre es gratuita.
¿Es lo mismo reclamar al banco directamente que ir a la Superfinanciera?
No. El banco puede simplemente mantener su negativa sin consecuencias formales. La Superfinanciera, en cambio, tiene poder para ordenar al banco restituir el dinero — su decisión es vinculante. Es la diferencia entre pedirle algo a alguien que puede decir que no, y pedírselo a alguien que tiene autoridad para obligarle a cumplir.
¿Tienes un caso de fraude bancario sin resolver?
Si el banco ya te dio una respuesta insatisfactoria, si te están presionando a firmar algo, o si llevas tiempo sin saber qué hacer — en RDP Abogados evaluamos tu caso de forma gratuita y sin compromiso. Te decimos con honestidad si hay camino y qué probabilidades tiene.
La primera consulta es gratuita. Operamos 100% online en todo Colombia.
Contenido informativo. No constituye asesoría legal sobre un caso particular.
