Compras virtuales con tarjeta: el banco debe probar algo más que el uso de tus datos
Cuida tus finanzas | Balance Legal
Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 20 de agosto de 2025, radicación 2024096710-031-000.
Comprar por internet se volvió parte de la vida cotidiana. Pagamos tiquetes, servicios, suscripciones, domicilios, reservas y compras personales con unos pocos clics. Pero esa facilidad también abrió una pregunta que preocupa a muchos consumidores: si aparece una compra virtual que no reconoces, ¿basta con que el banco diga que se usaron los datos de tu tarjeta para cobrarte?
Una providencia de la Superintendencia Financiera permite explicar este punto con claridad. El caso surgió porque una consumidora reclamó varias compras realizadas por medios electrónicos con su tarjeta de crédito, por un total de $1.822.249. Las operaciones fueron efectuadas el 23 de marzo de 2024 en los comercios SATENA y ULTRA AIR, por valores de $599.400, $336.299,67, $525.550 y $361.000. La usuaria sostuvo que no había realizado esas compras y solicitó la devolución del dinero, la exoneración de saldos en mora y la terminación del contrato asociado al producto financiero.
Banco Finandina se opuso a las pretensiones. Alegó, entre otros argumentos, que existió consentimiento, firma electrónica, culpa exclusiva de la víctima, cumplimiento de sus deberes legales y contractuales, e incumplimiento del deber de autoprotección por parte de la consumidora. Sin embargo, la Superfinanciera declaró contractualmente responsable al banco, porque no encontró probado que la consumidora hubiera perdido la custodia de sus datos confidenciales ni que las compras virtuales hubieran sido autorizadas mediante un mecanismo fuerte de autenticación.
Una compra virtual no se prueba solo con los datos de la tarjeta
La lección central de esta decisión es sencilla, pero muy importante: en una compra virtual, no basta con afirmar que se usaron el número de la tarjeta, la fecha de vencimiento o el código de verificación. Esos datos pueden ser necesarios para una operación, pero no siempre son suficientes para demostrar que el consumidor fue quien la realizó o autorizó.
La Superfinanciera recordó que las compras hechas en ambiente no presente, es decir, aquellas realizadas sin que la tarjeta física y el titular estén frente al comercio, exigen mayores controles de seguridad. En estos escenarios, la Circular Básica Jurídica exige mecanismos adicionales a la simple validación del número de tarjeta, fecha de vencimiento y código estático. Dentro de esos mecanismos pueden estar la autorización desde la aplicación, el CVV dinámico, la tokenización o esquemas como 3DSecure.
Esto tiene una consecuencia práctica muy relevante: si el consumidor niega haber realizado la compra, la entidad financiera no puede descansar únicamente en la idea de que “la operación pasó” o “los datos eran correctos”. Debe demostrar que hubo autenticación suficiente o que el hecho ocurrió por una conducta atribuible al consumidor.
La carga de la prueba no se puede trasladar automáticamente al usuario
En estos casos, la afirmación del consumidor de no haber realizado ni autorizado una operación funciona como una negación indefinida. En palabras sencillas, no se le puede exigir al usuario que pruebe algo casi imposible: que él no hizo una compra.
Por eso, la carga probatoria se traslada a la entidad financiera. El banco debe probar no solo que cumplió sus obligaciones contractuales y de seguridad, sino también, si quiere exonerarse, que el consumidor actuó con culpa, descuido o incumplió sus deberes de custodia. Esa prueba no puede basarse en una simple sospecha o inferencia.
En la providencia, la Superfinanciera fue clara en que el banco no acreditó que la consumidora hubiera perdido la custodia de sus datos confidenciales, como número de tarjeta, fecha de expiración o CVV. Tampoco demostró que para esas transacciones se hubiera utilizado un medio de autenticación fuerte. Esa falta de prueba fue decisiva para declarar la responsabilidad de la entidad.
Autenticación fuerte: una barrera clave en las compras por internet
La autenticación fuerte es una forma de confirmar que quien está haciendo una operación realmente es el titular o una persona autorizada. No se trata únicamente de llenar campos en una página web. Se trata de agregar capas de seguridad que hagan más difícil que un tercero pueda usar datos robados, filtrados o conocidos por cualquier medio.
En una compra virtual, esas capas pueden adoptar distintas formas: una aprobación desde la app del banco, un código dinámico, una validación adicional del comercio, una tokenización de la tarjeta o un mecanismo que vincule la operación con el dispositivo o canal habitual del cliente. Lo importante no es el nombre técnico, sino la finalidad: verificar de manera más confiable la identidad del consumidor.
La sentencia muestra que, cuando el banco no prueba ese nivel de validación, queda debilitada su defensa. No basta decir que hubo firma electrónica o pleno consentimiento si el expediente no demuestra cómo se verificó efectivamente que la consumidora autorizó las compras discutidas.
Qué debe revisar el consumidor cuando aparece una compra virtual no reconocida
Si detectas una compra por internet que no hiciste, lo primero es actuar rápido. Debes comunicarte con la entidad financiera, bloquear la tarjeta si es necesario y pedir un número de radicado. También conviene dejar la reclamación por escrito, indicando la fecha, el valor, el comercio, el producto afectado y la razón por la cual desconoces la operación.
Después, pide que la entidad explique qué mecanismo de autenticación se utilizó. No te quedes solo con respuestas generales como “la operación fue exitosa” o “se usaron los datos de la tarjeta”. Pregunta si hubo autorización desde la aplicación, validación por 3DSecure, CVV dinámico, tokenización, código OTP, confirmación adicional o cualquier otro mecanismo de seguridad.
También revisa si la compra generó intereses, cuotas, seguros, cargos por mora o reportes negativos. En el caso analizado, la Superfinanciera no solo ordenó que el banco asumiera las compras con sus propios recursos, sino que también dispuso reliquidar la obligación sin tener en cuenta esas compras y eliminar o rectificar cualquier dato negativo relacionado con ellas.
No confundas deber de cuidado con culpa automática
El consumidor financiero sí tiene deberes. Debe cuidar sus tarjetas, claves, códigos, dispositivos y datos personales. También debe revisar sus extractos, activar alertas cuando sea posible y reportar de inmediato cualquier movimiento sospechoso.
Pero esos deberes no autorizan al banco a presumir culpa automáticamente. Una cosa es que el usuario deba cuidar su información; otra muy distinta es que toda compra desconocida se le pueda cargar sin prueba suficiente. La Superfinanciera ha insistido en que la entidad financiera, por ser profesional de la actividad y manejar recursos del público, debe actuar con altos estándares de diligencia y seguridad.
La decisión no significa que el banco responda siempre en todos los fraudes. Si la entidad demuestra que el consumidor entregó claves, perdió la tarjeta con la clave escrita, permitió el acceso a códigos o incumplió gravemente sus deberes de custodia, el resultado puede ser diferente. Pero cuando esa culpa no se prueba y tampoco se acredita autenticación fuerte, el consumidor no puede quedar indefenso.
La importancia de los documentos en una reclamación financiera
En una reclamación por compras virtuales, los documentos son fundamentales. Guarda extractos, pantallazos, correos, mensajes, respuestas del banco, denuncias, radicados y cualquier prueba que muestre cuándo advertiste la operación y qué respuesta recibiste.
También es útil pedir el historial de la reclamación y la explicación técnica de la transacción. Si el banco afirma que autorizaste la compra, debe poder explicar cómo, cuándo, desde qué mecanismo y bajo qué validación. Cuando la respuesta no sea clara o no resuelva el fondo del problema, el consumidor puede acudir a los mecanismos de protección al consumidor financiero.
La enseñanza no es litigar por todo. La enseñanza es reclamar con orden, con pruebas y con preguntas concretas. En asuntos financieros, una reclamación bien documentada puede marcar la diferencia entre una respuesta genérica y una revisión real del caso.
Conclusión
Esta providencia deja una regla práctica para cualquier persona que usa tarjeta de crédito en internet: una compra virtual no debe darse por válida únicamente porque se usaron los datos de la tarjeta. En operaciones no presenciales, la seguridad exige algo más.
El banco debe demostrar que aplicó mecanismos adecuados de autenticación y, si pretende culpar al consumidor, debe probar esa culpa. La simple afirmación de que hubo consentimiento, firma electrónica o uso correcto de datos no basta cuando no hay soporte suficiente.
Cuidar tus finanzas también significa entender tus derechos. Si aparece una compra que no reconoces, reclama rápido, pide explicaciones completas, conserva soportes y pregunta qué mecanismo de autenticación se usó. En el mundo digital, la confianza no puede depender solo de un número de tarjeta: debe estar respaldada por seguridad, trazabilidad y prueba.
Balance Legal
