El banco dijo que hubo OTP, pero no apareció el código de esa compra: ordenan devolver $5,8 millones
Cuida tus finanzas | Balance Legal
Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 15 de agosto de 2025, radicación 2025056803-014-000, expediente 2025-7365.
Que una persona use habitualmente PSE no significa que cualquier pago realizado por ese canal pueda atribuírsele automáticamente. Un mismo canal puede servir para operaciones completamente normales y, al mismo tiempo, para una transacción que no se parece a la manera en que el cliente acostumbra mover su dinero.
Eso fue lo que analizó la Superintendencia Financiera de Colombia en un caso relacionado con un pago por PSE de $5.896.680. El consumidor sostuvo que nunca autorizó la operación y que, apenas recibió el mensaje del banco informándole que el pago había sido aprobado, llamó a la servilínea para reclamar.
El Banco de Bogotá respondió que la transacción había sido exitosa porque se utilizaron los elementos requeridos para su procesamiento, incluida una clave segura y un doble factor de autenticación, como token o código OTP. Sin embargo, al revisar la prueba, la Superfinanciera encontró que no aparecía un mensaje con el OTP correspondiente a la operación discutida.
El caso deja una enseñanza especialmente útil para la banca digital: no basta con decir que el sistema exigía un segundo factor. Si el banco quiere apoyarse en ese mecanismo para atribuir una operación al cliente, debe poder demostrar que ese segundo factor realmente fue generado, enviado y utilizado en la transacción concreta.
Un mensaje a las 10:14 de la mañana encendió la alarma
Los hechos ocurrieron el sábado 29 de marzo de 2025. Según la demanda, a las 10:14:31 de la mañana el consumidor recibió un mensaje informándole que se había aprobado una compra por PSE por $5.896.680.
El cliente manifestó que no había autorizado el pago y que inmediatamente se comunicó con la servilínea del Banco de Bogotá. La reclamación quedó radicada ese mismo día.
La operación afectó una cuenta de ahorros y fue identificada en el expediente como un pago por PSE en el establecimiento EBANX Colombia S.A.S.
Esta vez PSE sí era un canal conocido por el cliente
A diferencia de otros casos en los que el fraude resulta llamativo porque el consumidor jamás había utilizado el canal, aquí el historial mostraba que el cliente sí realizaba pagos por PSE con alguna frecuencia.
Incluso existía una operación anterior por $6.571.990, realizada el 8 de agosto de 2024, es decir, por un monto superior a los $5.896.680 discutidos en el proceso.
Por eso la propia providencia reconoció que, si se miraba únicamente el monto, la transacción no resultaba completamente extraña dentro del historial.
Pero el perfil transaccional no se agota en una cifra. La Superfinanciera también revisó a qué establecimientos se dirigían habitualmente los pagos, cuáles eran sus valores más frecuentes y si el comercio involucrado formaba parte de la conducta usual del consumidor.
El comercio también forma parte de la historia financiera
El historial mostraba que la mayoría de los pagos PSE del consumidor se dirigían a establecimientos como Banco Falabella, por valores que no superaban $900.000, y a la Fundación Universidad de Bogotá, usualmente por $1.311.920, con una excepción por $2.308.709.
En cambio, no aparecía como costumbre efectuar pagos al establecimiento EBANX Colombia S.A.S.
Para la Superfinanciera, ese contexto permitía concluir que la operación discutida no se ajustaba al perfil transaccional del cliente, aun cuando el canal PSE sí fuera conocido y existiera un antecedente aislado por un monto superior.
La enseñanza es importante: para detectar una operación extraña, el banco no debería mirar solamente el canal y el valor. También importan el destinatario, el tipo de comercio, la frecuencia y la forma en que esos datos se combinan.
El banco afirmó que hubo doble factor, pero el OTP de esa operación no apareció
El Banco de Bogotá defendió que la operación solo podía procesarse con la identificación del cliente, la clave segura y un doble factor de autenticación, como token o código OTP.
Sin embargo, el log de mensajes aportado al expediente no mostraba un código OTP correspondiente al pago por $5.896.680 del 29 de marzo.
La ausencia resultó especialmente llamativa porque el día anterior, 28 de marzo, sí aparecía registrado un mensaje en el que el banco enviaba un código para realizar un pago PSE y advertía que era de un solo uso y no debía compartirse.
En otras palabras, el expediente demostraba que el sistema podía dejar trazabilidad de un OTP, pero no contenía ese mismo registro para la operación que el consumidor estaba desconociendo.
Una cosa es avisar que el pago fue aprobado y otra demostrar que fue autorizado
El log SMS sí mostraba un mensaje enviado a las 10:14 de la mañana del 29 de marzo informando que el pago por PSE había sido aprobado.
Ese mensaje incluso indicaba que, si el cliente no había realizado la compra, debía comunicarse con la servilínea. El consumidor atendió esa instrucción y radicó la reclamación.
Pero una notificación posterior a la aprobación de la operación cumple una función distinta a un segundo factor de autenticación utilizado antes de ejecutar el pago.
Para demostrar que una operación fue realmente autorizada, no basta con probar que el cliente fue informado después de que el dinero salió.
La defensa del banco no logró probar que el cliente hubiera entregado sus claves
La entidad sostuvo que, si un tercero había realizado la operación, necesariamente había obtenido información personal y financiera del consumidor por falta de cuidado en la custodia de sus elementos transaccionales.
La Superfinanciera no encontró prueba de que el cliente hubiera perdido sus mecanismos de acceso, compartido sus claves o ejecutado una conducta que permitiera atribuirle el fraude.
La sentencia recordó que, cuando una persona niega haber realizado o autorizado una transacción, no puede trasladársele automáticamente la carga de explicar cómo actuó el tercero. La Ley 1328 de 2009 considera abusivo invertir la carga de la prueba en casos de fraude contra el consumidor financiero.
El banco debía confirmar o bloquear ante una operación que no encajaba
La Circular Básica Jurídica citada en la providencia obliga a las entidades financieras a elaborar el perfil de las costumbres transaccionales de sus clientes y a definir procedimientos para confirmar oportunamente las operaciones que no correspondan a sus hábitos.
La Superfinanciera concluyó que el pago a EBANX por $5.896.680 se apartaba del comportamiento del consumidor y que la entidad no acreditó haber desplegado controles suficientes para evitar el detrimento.
La providencia fue clara en que, frente a una operación inusual, la entidad debe comunicarse con el consumidor para verificar la autoría y, si no logra hacerlo, proceder al bloqueo del producto para impedir que el daño se materialice o aumente.
Qué pedir cuando el banco dice: “la operación tuvo OTP”
Si desconoces un pago y la respuesta del banco se limita a señalar que hubo doble factor de autenticación, pide que identifique con precisión la evidencia correspondiente a esa operación.
Solicita la fecha y hora del OTP, el canal al que fue enviado, el registro que demuestre su generación y la trazabilidad que permita relacionarlo con el monto, el comercio y la transacción discutida.
También revisa si los mensajes aportados por la entidad son de autenticación previa o simples avisos posteriores. No cumplen la misma función.
Y si usas normalmente el mismo canal, no descartes el perfil transaccional como argumento. Explica qué comercios frecuentas, cuáles son tus montos usuales y qué hace diferente a la operación que desconoces.
El perfil transaccional no es solo cuánto gastas
Este caso aporta una lección diferente a otros fraudes por PSE: una operación puede no ser extraordinaria por el monto y, sin embargo, resultar inusual por el destino o la forma en que se aparta del patrón habitual.
El consumidor había realizado antes un pago PSE de más de $6,5 millones. Aun así, la operación por $5,8 millones fue considerada ajena a sus costumbres al valorar el establecimiento receptor y el comportamiento general de sus pagos.
Eso demuestra por qué un análisis de seguridad serio debe observar el conjunto y no una sola variable.
El sustento jurídico utilizado por la Superfinanciera
La providencia sustentó la competencia de la Superintendencia Financiera en los artículos 57 y 58 de la Ley 1480 de 2011 y en el artículo 24 del Código General del Proceso.
Al tratarse de una cuenta de ahorros, la relación contractual fue analizada con fundamento en los artículos 1396 a 1398 del Código de Comercio y el artículo 127 del Estatuto Orgánico del Sistema Financiero.
La decisión también citó los artículos 335 y 78 de la Constitución Política, los artículos 3, 5, 6, 7, 11 y 12 de la Ley 1328 de 2009 y las reglas de seguridad de la Parte I, Título II, Capítulo I de la Circular Básica Jurídica.
En materia probatoria, aplicó el artículo 167 del Código General del Proceso y el principio pro consumatore del artículo 4 de la Ley 1480 de 2011.
Una inconsistencia que la propia providencia deja escrita
La sentencia contiene una diferencia interna que conviene advertir con total claridad. En la parte motiva, al analizar la condena, el Despacho señaló que el Banco de Bogotá debía asumir el 70% del valor de la transacción, equivalente a $4.127.676.
Sin embargo, en la parte resolutiva declaró responsable al banco por el fraude de $5.896.680 y ordenó abonar la totalidad de esa suma, junto con los emolumentos correspondientes.
Este artículo no corrige ni elimina esa diferencia. Se limita a reproducir fielmente lo que aparece en la providencia y toma como resultado final la orden contenida en su parte resolutiva.
La decisión: devolver $5.896.680
La Superintendencia Financiera declaró no probadas las excepciones planteadas por el Banco de Bogotá y lo declaró contractualmente responsable por el fraude a través del canal PSE ocurrido el 29 de marzo de 2025.
En la parte resolutiva ordenó abonar $5.896.680 a la cuenta de ahorros del consumidor, junto con los emolumentos correspondientes desde la fecha de la operación hasta el pago.
La orden debía cumplirse dentro de los quince días hábiles siguientes a la notificación de la decisión.
Conclusión: el canal puede ser habitual y la operación seguir siendo extraña
Este caso demuestra que la seguridad financiera no funciona con respuestas automáticas.
El cliente usaba PSE. Incluso había hecho antes una operación de mayor valor. Pero eso no significaba que cualquier pago por millones fuera compatible con su comportamiento ni que bastara afirmar que existió un OTP.
La entidad debía demostrar la autenticación de la operación concreta y mirar el contexto completo: el comercio, los montos habituales, la frecuencia y las señales que hacían diferente ese movimiento.
Para cuidar tus finanzas, no te quedes únicamente con la frase “usted usa PSE” o “se envió un código”. Cuando desconozcas una operación, pide que te muestren la historia completa. Porque en banca digital, una autorización no debería presumirse: debería poder probarse.
Balance Legal
Balance Legal | Cuida tus finanzas
