El día que Carolina nos contactó, llevaba tres semanas peleando con su banco. Le habían hecho vishing — una llamada en la que los delincuentes se hicieron pasar por el área de seguridad de la entidad y obtuvieron sus claves de acceso. En menos de cuatro horas, transfirieron $7.8 millones de su cuenta de ahorros.
El banco tenía su respuesta preparada desde el principio: «La transacción fue autorizada desde sus dispositivos y con sus credenciales. Usted entregó los datos. No somos responsables.»
Carolina llamó tres veces. Fue a la sucursal dos veces. Le dijeron lo mismo. Llegó a nosotros convencida de que no había nada que hacer.
Cuatro meses después, el banco le reintegró el dinero completo. Esto es lo que pasó.
Lo que el banco no te dice cuando dice que no es su culpa
Cuando un banco responde que «usted entregó los datos», está usando una defensa técnicamente válida pero jurídicamente incompleta. Y cuentan con que la mayoría de personas no lo sabe.
La Circular Externa CE 052 de 2007 de la Superintendencia Financiera de Colombia es la norma que establece los estándares mínimos de seguridad que deben cumplir todas las entidades financieras del país. Entre otras obligaciones, exige que los bancos implementen:
- Sistemas de monitoreo y detección de transacciones inusuales en tiempo real.
- Mecanismos de autenticación robusta para operaciones de alto valor o fuera del perfil del cliente.
- Protocolos de alertas y bloqueos automáticos ante patrones sospechosos.
- Canales de atención inmediata ante reportes de fraude.
Si una transacción fraudulenta de $7.8 millones se completó sin que se activara ninguno de esos mecanismos — sin alerta, sin bloqueo, sin validación adicional — la pregunta jurídica pertinente no es «¿quién entregó los datos?» sino «¿por qué el banco no lo detectó?»
El caso de Carolina: qué hicimos y por qué funcionó
Cuando Carolina llegó, lo primero que hicimos fue revisar el caso con ojos legales, no emocionales. Muchas personas que llegan a nosotros están en un estado de frustración comprensible — han sido víctimas de un engaño sofisticado y encima sienten que el sistema no las protege. Ese estado emocional, aunque válido, no es el mejor aliado para construir un reclamo sólido.
Lo que hicimos fue esto:
Paso 1 — Solicitamos el registro completo de la transacción
Un derecho que muy pocas personas ejercen: solicitar al banco el registro detallado de cada transacción fraudulenta. Esto incluye la dirección IP desde donde se autorizó, el dispositivo utilizado, la geolocalización aproximada y el timestamp exacto.
En el caso de Carolina, el registro mostró que la transacción se autorizó desde una IP ubicada en una ciudad diferente a donde ella vive, en un horario fuera de su patrón habitual de uso bancario, y desde un dispositivo no registrado en su perfil.
Esos tres factores juntos constituían exactamente el tipo de operación que la CE 052 exige detectar y bloquear automáticamente.
Paso 2 — Verificamos el cumplimiento del banco con la CE 052
El banco decía que sus sistemas eran seguros. La evidencia decía otra cosa: una transacción que violaba tres patrones simultáneos (geolocalización, dispositivo y horario) había pasado sin ningún tipo de validación adicional.
Esto nos permitió construir el argumento central: el banco incumplió sus obligaciones de seguridad establecidas en la CE 052. No porque alguien en el banco fuera negligente individualmente, sino porque el sistema de monitoreo no estaba funcionando a los estándares que la norma exige.
Paso 3 — Radicamos queja formal ante la Superintendencia Financiera
Este paso cambia toda la dinámica del proceso. Una queja interna al banco — por teléfono o en sucursal — puede ignorarse. Una queja radicada ante la Superintendencia Financiera de Colombia no.
La Superfinanciera tiene funciones de inspección, vigilancia y control sobre todas las entidades financieras del país. Cuando una queja se radica allí con la documentación correcta, el banco sabe que está bajo escrutinio regulatorio — y eso cambia su disposición a resolver.
Adjuntamos a la queja: el registro de la transacción fraudulenta, la evidencia del patrón de uso normal de Carolina, la denuncia penal interpuesta en la Fiscalía, y el análisis del incumplimiento de la CE 052.
Paso 4 — El banco prefirió negociar antes de llegar a un proceso judicial
Esto ocurre con más frecuencia de lo que la gente piensa. Cuando un banco sabe que tiene un expediente bien documentado en su contra, que hay una queja activa en la Superintendencia, y que hay evidencia objetiva de posible incumplimiento regulatorio — la cuenta de costo-beneficio cambia.
Un proceso judicial largo, con la posibilidad de sanciones adicionales de la Superfinanciera, sale mucho más caro que reintegrar los $7.8 millones y cerrar el caso. Ese es el cálculo que hizo el banco. Y fue el correcto para los dos.
Carolina recibió el reintegro completo de su dinero, más los intereses del período transcurrido.
¿Cuándo tiene posibilidades de éxito un reclamo por fraude bancario?
No todos los casos son iguales. La honestidad es parte de cómo trabajamos, así que lo decimos directamente: hay situaciones donde el reclamo tiene fundamentos sólidos y hay situaciones donde las probabilidades son menores. Estos son los factores que más influyen:
El hecho de que usted haya entregado los datos bajo engaño no exonera automáticamente al banco. Si los sistemas de seguridad de la entidad eran insuficientes o no funcionaron correctamente, existe fundamento para reclamar su responsabilidad con base en la CE 052.
Factores que fortalecen el caso
- La transacción se realizó desde una IP, dispositivo o ubicación que no corresponden al patrón habitual del cliente.
- El banco no activó ninguna alerta ni validación adicional a pesar de que la operación era inusual.
- El fraude se realizó mediante ingeniería social sofisticada (suplantación del banco, presión psicológica, urgencia).
- Existe evidencia del intento de contacto con el banco en las primeras horas (llamadas, mensajes).
- Se interpuso denuncia penal en tiempo oportuno.
Factores que dificultan el caso
- La transacción fue autorizada desde el mismo dispositivo y ubicación habitual del cliente.
- El cliente compartió las credenciales voluntariamente, sin elementos claros de engaño o coacción.
- No radicó ningún reclamo formal ante el banco o la Superintendencia.
- No conservó evidencia del fraude (capturas, registros de llamada, etc.).
El tiempo importa. Entre más rápido actúes y más evidencia reúnas en las primeras horas, más sólido será tu caso. No esperes a ver si el banco resuelve solo — en la mayoría de los casos, no lo hace.
Lo que debes hacer si te acaba de pasar esto
Si estás leyendo esto porque acabas de ser víctima de fraude bancario, o porque alguien cercano lo fue, aquí está la secuencia de acciones en orden de prioridad:
- Bloquea todas tus tarjetas inmediatamente desde la app del banco o llamando a la línea de atención.
- Reúne toda la evidencia: pantallazos de los movimientos, mensajes recibidos, correos, lo que sea que tengas.
- Radica la queja por escrito al banco — no solo por teléfono. Exige número de radicado.
- Interpón la denuncia penal en la Fiscalía, DIJIN o CAI Virtual (puedes hacerlo online).
- Espera la respuesta del banco — tienen 15 días hábiles por ley. Si no responden o la respuesta no es satisfactoria, escala a la Superintendencia Financiera.
Preguntas frecuentes sobre fraude bancario en Colombia
¿El banco siempre tiene que devolver el dinero si fui víctima de fraude?
No siempre. Depende de las circunstancias del caso y de si se puede demostrar que el banco incumplió sus obligaciones de seguridad. Cada caso requiere análisis individual.
¿Cuánto tiempo tengo para reclamar?
La acción de responsabilidad civil contractual prescribe en 10 años para entidades privadas. Sin embargo, actuar rápido aumenta significativamente las probabilidades de éxito — la evidencia se conserva mejor y el banco tiene menos argumentos para negar la responsabilidad.
¿Tengo que contratar un abogado para hacer el reclamo?
No es obligatorio para la queja inicial al banco o ante la Superfinanciera. Sin embargo, contar con asesoría legal especializada aumenta considerablemente las posibilidades de éxito, especialmente cuando el caso es más complejo o el banco se niega a resolver.
¿Qué es la Circular CE 052 y por qué es importante?
Es la norma de la Superintendencia Financiera que establece los estándares mínimos de seguridad que deben cumplir los bancos. Si un banco no tenía los sistemas de detección y prevención de fraude que esta circular exige, puede ser responsable de los daños sufridos por sus clientes.
¿Puedo reclamar aunque haya dado los datos yo mismo?
Sí, en muchos casos. El hecho de haber entregado los datos bajo engaño no exonera automáticamente al banco si sus sistemas de seguridad debieron haber detectado la operación como sospechosa y no lo hicieron.
¿Fue tu caso similar al de Carolina?
Si sufriste fraude bancario y el banco ya te dijo que no — ese no no es la última palabra. En Rojas • De Paz Abogados revisamos tu caso de manera gratuita y sin compromiso, y te decimos honestamente si hay fundamento legal para reclamar.
Operamos 100% online en todo Colombia. La primera consulta es gratuita.
Contenido informativo. No constituye asesoría legal sobre un caso particular.
