Códigos OTP: la clave que nunca debes entregar por teléfono

Cuida tus finanzas | Balance Legal

Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 19 de agosto de 2025, radicación 2024096257-019-000.

Una llamada puede parecer inofensiva. Al otro lado de la línea alguien dice conocer tus datos, menciona tu tarjeta, habla con seguridad y ofrece un beneficio atractivo: eliminar una cuota de manejo, activar una promoción o mejorar las condiciones de tu producto financiero. El problema aparece cuando, en medio de esa conversación, te piden confirmar un dato o entregar un código que acaba de llegar a tu celular.

Esa escena, cada vez más común, fue el eje de una providencia de la Superintendencia Financiera en la que una consumidora desconoció una compra por $495.800 realizada con cargo a su tarjeta de crédito. Ella sostuvo que no había inscrito su tarjeta en su celular para realizar ese tipo de transacciones. La entidad demandada, Compañía de Financiamiento Tuya S.A., defendió que no había incumplido sus deberes de seguridad y que la operación se había materializado por culpa exclusiva de la consumidora.

La Superfinanciera negó las pretensiones. ¿Por qué? Porque encontró que, durante una llamada en la que supuestamente le ofrecían una exoneración de cuota de manejo, la consumidora entregó datos de la tarjeta y un código de seguridad enviado por mensaje de texto. Con esa información, terceros activaron la herramienta de pagos sin contacto por medio de Apple Pay y posteriormente realizaron la compra discutida.

El punto crítico: el código OTP no es un simple número

Un código OTP, por sus siglas en inglés One Time Password, es una clave de un solo uso. Normalmente se envía por mensaje de texto, correo electrónico, aplicación o notificación para confirmar una operación, registrar un dispositivo, activar una billetera digital o validar una transacción.

Ese código funciona como una llave temporal. Por eso, aunque parezca un dato pequeño, puede abrir la puerta a operaciones financieras importantes. Cuando una persona lo entrega a un tercero, especialmente durante una llamada no solicitada, puede estar autorizando sin saberlo la activación de un servicio o la validación de una operación.

En el caso analizado, la Superfinanciera tuvo en cuenta que a la consumidora le fue enviado un mensaje con una clave de un solo uso y que ella confesó haber entregado a terceros la fecha de vencimiento de la tarjeta y el código de seguridad recibido. Para la autoridad, esos elementos estaban bajo custodia de la consumidora y su entrega permitió la activación de pagos sin contacto.

Cuando conocen tus datos, no significa que sean del banco

Uno de los errores más frecuentes en los fraudes telefónicos es confiar porque quien llama ya conoce parte de nuestra información. Muchas personas piensan: “si sabe mi nombre, mi número de cédula o el banco donde tengo la tarjeta, debe ser real”. Esa confianza es justamente lo que aprovechan los delincuentes.

La providencia muestra una lección sencilla: que alguien conozca tus datos no lo convierte en funcionario de tu entidad financiera. En la llamada mencionada dentro del proceso, la consumidora indicó que quienes se comunicaron con ella tenían sus datos y le ofrecieron una exoneración de cuota de manejo. Sin embargo, el resultado fue la entrega de información confidencial que terminó siendo usada para activar un mecanismo de pago.

Para el consumidor, la regla práctica debe ser absoluta: ningún beneficio financiero justifica entregar por teléfono códigos de verificación, claves de un solo uso, números completos de tarjeta, fechas de vencimiento, CVV, claves dinámicas o contraseñas.

Apple Pay, billeteras digitales y pagos sin contacto

Las billeteras digitales permiten vincular una tarjeta a un celular, reloj u otro dispositivo para hacer pagos sin contacto. Son herramientas útiles, rápidas y seguras cuando son activadas por el titular real. Pero también pueden convertirse en un riesgo si un tercero logra obtener los datos necesarios para registrar la tarjeta en un dispositivo que no pertenece al consumidor.

En este caso, la Superfinanciera concluyó que la entrega de información confidencial permitió activar Apple Pay y realizar la compra cuestionada. Ese detalle diferencia esta providencia de otras decisiones sobre compras no reconocidas: aquí el problema no fue simplemente una operación virtual que el banco no logró autenticar, sino la entrega de elementos transaccionales que estaban bajo custodia de la consumidora.

La enseñanza financiera es clara: cuando llegue un código para activar una billetera digital, registrar un dispositivo o confirmar una operación que no estás haciendo, no lo compartas. Si no entiendes por qué llegó, lo correcto es bloquear el producto o comunicarte directamente con la entidad por canales oficiales.

El banco tiene deberes, pero el consumidor también

La Superfinanciera recordó que las entidades financieras tienen deberes de seguridad, diligencia y calidad en la prestación del servicio. También deben contar con mecanismos de bloqueo, confirmación y análisis de operaciones cuando existan situaciones que lo ameriten.

Pero esa protección no elimina los deberes del consumidor. La Ley 1328 de 2009 contempla prácticas de protección propia, como observar las instrucciones y recomendaciones de la entidad sobre el manejo de productos financieros. En términos sencillos: el banco debe proteger el sistema, pero el usuario debe cuidar sus claves, tarjetas, códigos y datos de validación.

En la sentencia, la Superfinanciera analizó si la operación era inusual o ajena al comportamiento transaccional de la consumidora. Concluyó que no se acreditó que la compra objeto de debate fuera extraña a sus costumbres transaccionales o que exigiera bloqueo o confirmación en tiempo real. Por eso consideró que no había incumplimiento atribuible a la entidad.

Qué hacer si recibes una llamada sospechosa

La mejor defensa frente a este tipo de fraude es cortar la cadena antes de entregar el código. Si recibes una llamada en la que te ofrecen beneficios, exoneraciones, premios, actualizaciones de seguridad o supuestos bloqueos urgentes, no entregues información sensible. Cuelga y comunícate directamente con tu banco desde la aplicación, la página oficial o el número que aparece en tu tarjeta o extracto.

Si ya entregaste un código o un dato de tu tarjeta, actúa de inmediato. Bloquea el producto, pide radicado, solicita confirmación escrita del bloqueo, revisa tus movimientos, guarda capturas de mensajes y conserva el registro de llamadas o comunicaciones. Si aparece una compra no reconocida, presenta reclamación formal y explica con precisión qué ocurrió.

También es importante revisar si se activó una billetera digital, un nuevo dispositivo, una suscripción, una compra recurrente o una herramienta de pago sin contacto. Muchas veces el fraude no termina con una sola operación: puede dejar habilitado un canal para nuevos cobros.

La lección para cuidar tus finanzas

Esta sentencia no debe leerse como una invitación a desconfiar de toda herramienta digital. Las billeteras electrónicas, los pagos sin contacto y los códigos OTP pueden ser mecanismos útiles de seguridad. El problema aparece cuando el consumidor entrega esas llaves a terceros.

La diferencia entre estar protegido y quedar expuesto puede ser de segundos. Un código que llega al celular no es una formalidad: es una autorización. Si alguien te lo pide, probablemente no está verificando tu identidad; está intentando usarla.

Por eso, antes de aceptar una llamada, una promoción o una supuesta exoneración, recuerda esta regla: las entidades financieras pueden enviarte alertas, pero no deberían pedirte que reveles claves de un solo uso para “ayudarte” por teléfono. Si el trámite es real, podrás verificarlo directamente por los canales oficiales.

Conclusión

La providencia deja una advertencia muy práctica: en materia financiera, la confianza también debe verificarse. No basta con que quien llama parezca amable, conozca tus datos o prometa un beneficio. Si te pide un código, una clave o información completa de tu tarjeta, la conversación debe terminar.

Cuidar tus finanzas no es solo revisar saldos o pagar a tiempo. También es entender que tus códigos de seguridad son personales, temporales y confidenciales. Entregarlos puede permitir que terceros activen servicios, registren billeteras digitales y realicen compras a tu nombre.

En el mundo digital, muchas veces el fraude no empieza cuando se hace la compra. Empieza cuando el consumidor entrega la llave.

Balance Legal

Balance Legal | Cuida tus finanzas