Fraudes por PSE: cuando el banco debe mirar más que la clave
Cuida tus finanzas | Balance Legal
Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 15 de agosto de 2025, radicación 2024076387-036-000.
Los pagos por PSE se volvieron parte de la vida diaria: servicios públicos, compras, impuestos, matrículas, obligaciones financieras y todo tipo de pagos digitales. Precisamente por eso, también se convirtieron en un escenario sensible para el fraude.
Una providencia reciente de la Superintendencia Financiera permite explicar una regla muy importante para cualquier consumidor: en una transacción digital, no siempre basta con que el banco diga que se usó usuario y clave. La entidad también debe mirar el contexto: desde dónde se hizo la operación, si correspondía a los hábitos del cliente, si había señales extrañas y si actuó oportunamente para confirmar o bloquear.
El caso fue presentado por una consumidora que afirmó estar intentando hacer un pago por PSE de $172.000. Sin embargo, ese mismo día terminó afectada por una operación que desconoció por $2.400.000. La entidad financiera sostuvo que la transacción había cursado exitosamente y que se usaron las credenciales correspondientes. Pero la Superfinanciera concluyó que el banco no probó que la consumidora hubiera perdido sus elementos transaccionales ni que hubiera actuado con culpa.
El resultado fue claro: la Superfinanciera declaró contractualmente responsable a BBVA Colombia y ordenó abonar a la cuenta de ahorros de la consumidora la suma de $2.400.000, junto con los intereses remuneratorios y demás conceptos a que hubiera lugar.
No basta con decir: “se usó la clave”
En los fraudes digitales, una de las respuestas más comunes que recibe el consumidor es que la operación fue válida porque se hizo con usuario, clave, código o algún mecanismo de autenticación. Esa explicación puede ser relevante, pero no siempre es suficiente.
La Superfinanciera recordó que la actividad financiera es de interés público y que las entidades vigiladas tienen deberes especiales de seguridad, calidad, debida diligencia e información. Por eso, cuando una persona desconoce una operación, la carga no puede trasladarse automáticamente al usuario con la idea de que “si se hizo con clave, entonces fue culpa suya”.
En este caso, la consumidora negó haber realizado o autorizado la transacción. Esa manifestación fue tratada como una negación indefinida. Además, la providencia resaltó que constituye una práctica abusiva invertir la carga de la prueba en casos de fraude contra el consumidor financiero. En palabras sencillas: el banco debía demostrar no solo que sus sistemas internos no fallaron, sino también que la operación podía atribuirse válidamente a la cliente o que ella incurrió en una conducta culposa.
El banco aportó información de seguridad, logs de mensajería, registros transaccionales y extractos. Sin embargo, para la Superfinanciera, esos elementos no demostraban que la consumidora hubiera entregado sus claves, perdido sus elementos transaccionales o facilitado la operación a un tercero.
El perfil transaccional: tu huella financiera
Una de las partes más valiosas de esta decisión es la explicación del perfil transaccional. Este concepto puede entenderse como la huella financiera del consumidor: los canales que usa, los horarios en que normalmente transa, los montos habituales, los dispositivos o direcciones tecnológicas desde donde opera y el tipo de pagos que suele realizar.
La Superfinanciera revisó el historial de la cuenta y encontró que la consumidora sí usaba el canal PSE. También observó que el monto de $2.400.000, aunque superior a muchas de sus operaciones, no era totalmente extraño frente a su comportamiento financiero. Pero había un dato decisivo: la transacción cuestionada se realizó desde una dirección IP que no correspondía a los medios tecnológicos habitualmente utilizados por ella.
Ese punto cambió el análisis. La operación podía parecer normal por canal, hora o monto, pero no por el origen tecnológico. Y cuando una operación tiene un elemento que se aparta del comportamiento habitual del consumidor, el banco debe contar con mecanismos de verificación, confirmación oportuna o bloqueo, según el caso.
La lección para el ciudadano es muy práctica: tu historial financiero no solo muestra cuánto pagas, sino también cómo, cuándo y desde dónde lo haces. Esa información debe servir para protegerte, no solo para registrar movimientos después de que el dinero ya salió.
Alertas tardías no siempre protegen
Otro punto importante fue el análisis de los mensajes enviados por el banco. Según la providencia, la operación objetada cursó a las 19:40:17. En el log de mensajería aparecían registros posteriores, con horas como 19:55 y 19:56. Para la Superfinanciera, esos mensajes no demostraban una confirmación oportuna antes de la materialización de la operación.
Esto es clave: una alerta que llega después de que el dinero salió puede informar al cliente, pero no necesariamente evita el fraude. La seguridad financiera no puede reducirse a avisar tarde. Cuando el sistema detecta una señal relevante, como una IP no habitual, la entidad debe actuar antes o durante la operación, no únicamente cuando el daño ya ocurrió.
Además, la providencia observó que no se conocía con precisión el contenido del mensaje enviado ni su relación exacta con la operación discutida en cuanto a monto, destino y canal. Esa falta de claridad debilitó la defensa del banco.
Para el consumidor, esto deja una enseñanza: guarda todos los mensajes, correos, pantallazos y notificaciones que recibas. Pero también exige que el banco explique con claridad qué alerta envió, cuándo la envió, a qué canal, qué decía y si realmente servía para confirmar o detener la operación.
Qué hacer si detectas un fraude por PSE
Si estás realizando un pago por PSE y notas algo extraño, actúa de inmediato. No cierres el caso pensando que “después se arregla”. Reporta al banco, solicita el bloqueo de productos si es necesario, guarda el número de radicado y pide una respuesta escrita.
También conserva evidencia del pago que sí querías realizar: valor, comercio, hora, pantallazos, correos, comprobantes fallidos o rechazados. En este caso, la consumidora afirmó que intentaba pagar $172.000 y desconocía la operación por $2.400.000. Esa diferencia entre el pago pretendido y el movimiento cuestionado ayuda a explicar el contexto del reclamo.
Revisa tus extractos y movimientos del mismo día. Identifica la hora exacta de la operación, el canal utilizado, el valor, el comercio o destino y cualquier mensaje recibido. Si el banco responde que la operación fue válida por uso de credenciales, pide que explique qué validaciones hizo, desde qué IP o dispositivo se ejecutó, qué alertas se generaron y por qué no se confirmó antes.
Si la respuesta no es suficiente, puedes acudir a los mecanismos de protección al consumidor financiero. La clave es no reclamar solo con indignación, sino con trazabilidad: documentos, radicados, fechas, soportes y una explicación clara de lo ocurrido.
La seguridad digital es compartida, pero no automática contra el usuario
Esta decisión no significa que el banco siempre deba responder por cualquier fraude digital. La misma providencia reconoce que el consumidor también tiene deberes: cuidar sus claves, revisar condiciones, observar instrucciones de seguridad y proteger sus productos financieros.
Pero una cosa es exigir cuidado al consumidor y otra muy distinta es convertirlo en responsable automático de todo fraude. La entidad financiera es profesional, administra sistemas técnicos, conoce el comportamiento transaccional de sus clientes y se beneficia de la prestación del servicio. Por eso debe probar, con evidencias sólidas, cuándo el daño se produjo por culpa del usuario.
En el caso analizado, la Superfinanciera consideró que BBVA no logró demostrar esa culpa. Tampoco acreditó una confirmación oportuna frente a una operación con una dirección IP no habitual. Por eso declaró su responsabilidad contractual.
Cuida tus finanzas: revisa más que el saldo
Muchas personas solo revisan el saldo de su cuenta cuando necesitan pagar. Pero cuidar las finanzas digitales exige revisar también los movimientos, activar alertas, actualizar datos de contacto y desconfiar de cualquier operación que no corresponda con lo que se estaba intentando hacer.
También conviene usar dispositivos seguros, evitar redes públicas, ingresar directamente a los portales oficiales y no abrir enlaces sospechosos. Aunque estas recomendaciones no aparecen como hechos del caso, están directamente conectadas con el tipo de riesgo que refleja la providencia: operaciones digitales en las que la trazabilidad tecnológica puede ser decisiva.
Cuando se trata de PSE, la confianza no debe ser ciega. Debe ser informada. El consumidor debe actuar con cuidado, y el banco debe responder con tecnología, alertas útiles y controles efectivos.
Conclusión
Los fraudes por PSE muestran que la seguridad financiera no se agota en una clave. También importan el perfil transaccional, la IP, el dispositivo, las alertas, la oportunidad de la confirmación y la prueba real de lo ocurrido.
La enseñanza de esta providencia es contundente: cuando una operación digital presenta señales que la apartan del comportamiento tecnológico habitual del cliente, el banco no puede limitarse a decir que el sistema no falló. Debe demostrar que cumplió sus deberes de seguridad y que la operación puede atribuirse al consumidor.
En finanzas digitales, la mejor protección combina dos responsabilidades: usuarios cuidadosos y bancos realmente diligentes.
Balance Legal
Balance Legal | Cuida tus finanzas
