El banco no es solo un intermediario: también debe probar la seguridad de la compra
Cuida tus finanzas | Balance Legal
Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 14 de agosto de 2025, radicación 2024096732-019-000.
Comprar por internet se volvió parte de la vida diaria. Pagamos tiquetes, servicios, productos, domicilios, suscripciones y reservas con pocos clics. Pero cuando aparece una compra que el consumidor dice no haber realizado, surge una pregunta inevitable: ¿quién debe responder?, ¿el comercio que recibió el pago?, ¿el banco que cargó la tarjeta?, ¿o el usuario que desconoce la operación?
Una providencia de la Superintendencia Financiera ayuda a explicar este punto con claridad. En el caso analizado, una consumidora demandó a Banco Falabella por varias transacciones virtuales cargadas a su tarjeta de crédito. Ella pidió que no se le cobraran las operaciones, que no fuera reportada ante centrales de riesgo y que se le devolvieran valores que afirmó haber pagado por esas compras.
El banco se defendió diciendo, entre otras cosas, que era un mero intermediario entre sus clientes y los comercios, y que existía hecho de la víctima como causa exclusiva del daño. Sin embargo, la Superfinanciera declaró contractualmente responsable a la entidad. La razón central fue sencilla: no se probó que la consumidora hubiera perdido la custodia de sus datos confidenciales ni que las compras virtuales hubieran contado con un mecanismo fuerte de autenticación.
El problema no era solo con el comercio
En muchas reclamaciones por compras no reconocidas, el consumidor recibe una respuesta parecida: “eso debe resolverlo con el comercio”. La idea parece lógica a primera vista, porque el comercio fue quien recibió el pago o prestó el servicio. Pero cuando el cargo se hizo con una tarjeta de crédito, el análisis no puede quedarse únicamente en la relación con el establecimiento comercial.
La discusión financiera gira alrededor de otro punto: si el banco permitió o procesó una operación con cargo al producto financiero del consumidor, debe estar en capacidad de explicar cómo se validó esa operación, qué mecanismos de seguridad se usaron y por qué puede concluirse que realmente fue autorizada por el titular.
En esta providencia, la Superfinanciera no aceptó que la entidad se limitara a presentarse como un simple intermediario. El expediente mostraba que las compras discutidas se hicieron con cargo a la tarjeta de crédito de la demandante. Por eso, el banco debía demostrar que la operación se ejecutó de forma segura y conforme a las obligaciones propias del contrato financiero.
Compras virtuales: no basta con que se usen los datos de la tarjeta
La Superfinanciera encontró que los días 18 y 31 de mayo de 2023 se realizaron cuatro compras con cargo a la tarjeta de crédito terminada en 8557. Las operaciones fueron por $920.806,47, $920.806,47, $920.806,47 y $893.961, para un valor total de $3.656.380,63.
El punto jurídico y financiero más importante es que esas compras se realizaron en ambiente no presente, es decir, de manera virtual. En este tipo de operaciones, la autoridad recordó que se requiere un mecanismo fuerte de autenticación, adicional a la simple validación del número de la tarjeta, la fecha de vencimiento y un código de verificación estático.
Esto es muy relevante para cualquier consumidor. En una compra presencial, normalmente existe una tarjeta física, un datáfono, una clave, una firma o algún elemento visible de interacción. En cambio, en una compra virtual, el riesgo cambia: la operación puede hacerse sin que el titular esté físicamente presente, por lo que la seguridad debe reforzarse.
Por eso, cuando el consumidor desconoce la compra, la entidad no puede asumir automáticamente que la operación fue válida solo porque se usaron datos asociados a la tarjeta. Debe probar más: debe mostrar que hubo autenticación suficiente o que el consumidor permitió, por culpa o descuido probado, que un tercero accediera a sus elementos transaccionales.
La carga de la prueba importa
Uno de los puntos más importantes de la decisión es la carga de la prueba. Cuando una persona afirma que no realizó ni autorizó una operación, esa afirmación puede operar como una negación indefinida. En palabras sencillas: no siempre se le puede exigir al consumidor que demuestre algo tan difícil como que él no hizo una compra.
En cambio, la entidad financiera está en mejor posición para aportar logs, registros, mecanismos de autenticación, trazabilidad de la operación, validaciones, canales utilizados y demás soportes técnicos. Por eso, si el banco sostiene que la compra fue autorizada o que el consumidor tuvo la culpa, debe probarlo.
En el caso analizado, la Superfinanciera señaló que no se acreditó que la demandante hubiera perdido la custodia de sus datos confidenciales, como número de tarjeta, fecha de expiración o código de verificación. Tampoco se probó que para el curso de las transacciones se hubiera utilizado algún medio de autenticación fuerte.
La sola afirmación de culpa o descuido no fue suficiente. Para que esa defensa prospere, debe existir prueba concreta. No basta decir que, como la compra se hizo con datos de la tarjeta, entonces el consumidor necesariamente los entregó o los descuidó.
¿Qué puede aprender un consumidor de esta decisión?
La primera lección es que todo reclamo por compras virtuales debe hacerse con rapidez y por escrito. Si ves una compra que no reconoces, no basta con llamar y explicar verbalmente. Es recomendable dejar radicado, conservar la respuesta del banco, guardar extractos, capturas y cualquier mensaje relacionado con la operación.
La segunda lección es pedir explicaciones concretas. El consumidor puede solicitar que la entidad informe qué mecanismo de autenticación se utilizó, por qué se consideró válida la compra, qué comercio la procesó, en qué fecha y hora se realizó, y qué soportes tiene el banco para afirmar que fue autorizada.
La tercera lección es revisar centrales de riesgo y extractos posteriores. En este caso, la Superfinanciera no solo ordenó asumir las compras discutidas y devolver valores pagados, sino también eliminar o rectificar reportes negativos asociados a la tarjeta de crédito. Esto muestra que el problema no siempre termina con el cargo inicial: puede extenderse al historial crediticio del consumidor.
La cuarta lección es no aceptar respuestas genéricas. Decir que el banco es intermediario, que la compra fue exitosa o que el comercio la recibió no necesariamente resuelve el fondo del reclamo. Cuando el problema está en la seguridad de la operación financiera, la entidad debe explicar y probar cómo verificó la identidad del titular.
El banco también debe cuidar la confianza
La actividad financiera se basa en confianza. El consumidor entrega sus recursos, acepta medios de pago, usa tarjetas y plataformas digitales porque espera que existan controles razonables. Esa confianza no significa que el banco responda automáticamente por todo, pero sí implica que debe actuar con profesionalismo, diligencia y capacidad probatoria.
La Superfinanciera recordó que las entidades financieras tienen un régimen especial de responsabilidad por la naturaleza de su actividad. Manejan recursos del público, cuentan con sistemas técnicos y tienen mayor control sobre la trazabilidad de las operaciones. Por eso, frente a una compra desconocida, deben demostrar que el proceso fue seguro y que la operación puede imputarse válidamente al consumidor.
Esto no elimina los deberes del usuario. El consumidor también debe cuidar sus datos, claves, códigos, tarjetas y dispositivos. Pero si el banco quiere trasladarle la responsabilidad, debe probar el descuido o la pérdida de custodia. La sospecha no reemplaza la prueba.
Conclusión
Esta providencia deja una advertencia clara para consumidores y entidades financieras: en las compras virtuales con tarjeta, el banco no puede limitarse a decir que solo fue un intermediario. Si la operación se carga al producto financiero del consumidor, debe estar en capacidad de demostrar que la compra fue autenticada de manera suficiente.
Para el usuario, la recomendación es práctica: revisa tus extractos, reclama a tiempo, exige soportes y no te conformes con respuestas generales. Una compra desconocida puede afectar tu bolsillo, tus intereses, tus pagos futuros y hasta tu historial crediticio.
En el mundo digital, cuidar tus finanzas no significa desconfiar de todo. Significa saber que cada transacción debe tener una explicación verificable. Y cuando una compra no fue tuya, la seguridad de la operación no se presume: se prueba.
