El chip no bastó: dos compras por $27,1 millones en otra ciudad y el banco tuvo que responder
Cuida tus finanzas | Balance Legal
Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 15 de agosto de 2025, radicación 2025046242-014-000, expediente 2025-6217.
Una tarjeta física, un chip y una compra aprobada pueden dar la impresión de que el banco ya tiene la respuesta: si el plástico estuvo presente, entonces debió ser el cliente quien compró. Pero una sentencia de la Superintendencia Financiera demuestra que esa conclusión no puede darse por sentada.
Una consumidora desconoció dos compras realizadas el 4 de marzo de 2025 con dos tarjetas de crédito del Banco de Bogotá. Una fue por $11.598.020 y la otra por $15.556.090. En total, $27.154.110 cargados el mismo día en establecimientos de Villavicencio.
La cliente sostuvo que no había efectuado las compras y que se encontraba en Bogotá. También afirmó que, al conocer la primera operación, llamó inmediatamente a la servilínea y allí se enteró de que existía una segunda compra.
El banco respondió que las transacciones habían cursado con los mecanismos de seguridad correspondientes y trató de atribuir el resultado a un incumplimiento de la consumidora en la custodia de sus elementos transaccionales. Sin embargo, la propia documentación de la entidad mostraba que las dos operaciones habían sido realizadas presencialmente con lectura de chip. Para la Superfinanciera, la defensa no coincidía con la realidad probada del caso y tampoco existía evidencia suficiente para demostrar que la titular hubiera facilitado el fraude.
Dos tarjetas, dos compras millonarias, un mismo día
Las operaciones discutidas afectaron dos tarjetas de crédito diferentes. Con la tarjeta terminada en 2793 se registró una compra por $11.598.020 en Ktronix Villavicencio. Con la tarjeta terminada en 4136 se registró otra por $15.556.090 en Alkosto Villavicencio.
La suma de ambas operaciones ascendió a $27.154.110. Según la demanda, la consumidora no las realizó ni las autorizó y presentó reclamación ante el banco, además de formular denuncia ante la Fiscalía.
La discusión no giró solamente alrededor de si las tarjetas físicas fueron utilizadas. La verdadera pregunta era si el Banco de Bogotá podía demostrar que esas operaciones eran atribuibles a la titular y que había cumplido los controles de seguridad exigibles frente a transacciones de esa magnitud.
La propia respuesta del banco confirmó que fueron compras con chip
Las respuestas que el Banco de Bogotá había entregado a la consumidora antes del proceso resultaron especialmente importantes. En ellas, la entidad afirmó que las dos compras habían sido aprobadas mediante el uso de la tarjeta física con lectura del chip.
Ese dato chocaba con una parte relevante de la defensa presentada en el proceso, que hablaba de mecanismos electrónicos, llave de seguridad e información financiera de uso exclusivo del cliente, como si se tratara de operaciones realizadas por canales digitales.
La Superfinanciera advirtió esa inconsistencia. Señaló que las excepciones planteadas buscaban atribuir responsabilidad a la demandante a partir de características que no correspondían con las operaciones realmente discutidas.
En palabras sencillas: para defender una transacción, el banco debe explicar la transacción que efectivamente ocurrió, no una operación distinta.
Usar el chip no demuestra, por sí solo, quién tenía la tarjeta
El Banco de Bogotá sostuvo que las operaciones habían cursado exitosamente y que, si un tercero las había realizado, debió acceder a información o elementos que estaban bajo custodia de la cliente.
Pero la Superfinanciera no encontró prueba de que la consumidora hubiera perdido sus tarjetas, entregado sus elementos transaccionales o incumplido su deber de custodia.
La sola circunstancia de que una compra haya sido procesada correctamente por el sistema no demuestra automáticamente que haya sido autorizada por el titular. Cuando el consumidor niega haber realizado la operación, corresponde a la entidad respaldar con pruebas la responsabilidad que pretende atribuirle.
La providencia recordó, además, que el artículo 12 de la Ley 1328 de 2009 considera abusivo invertir la carga de la prueba en casos de fraude contra el consumidor financiero.
El banco aportó información incompleta sobre el curso de las operaciones
La entidad llevó al proceso extractos de las dos tarjetas, registros de mensajes, respuestas a reclamaciones, una llamada de bloqueo y un archivo transaccional.
Sin embargo, el único log transaccional mencionado por la providencia registraba la operación de $11.598.020. No se aportó un registro equivalente que reconstruyera de manera completa la segunda compra por $15.556.090.
La Superfinanciera también observó que, tratándose de operaciones con chip, el banco no aportó evidencia suficiente sobre el código de seguridad de un solo uso que genera esa tecnología para autenticar cada transacción entre la tarjeta y el terminal de aceptación.
Ese vacío probatorio tuvo peso porque la defensa de la entidad descansaba, precisamente, en que las operaciones habían cumplido todas las condiciones de seguridad.
Las compras no se parecían al comportamiento de la cliente
El Banco de Bogotá aportó un historial transaccional que cubría movimientos desde febrero de 2023 hasta abril de 2025. Para analizar el caso, la Superfinanciera tomó en cuenta únicamente la información anterior al día de los hechos.
La conclusión fue clara: la consumidora no acostumbraba realizar compras de esos montos con ninguna de las dos tarjetas.
En los registros aparecían operaciones anteriores por valores significativamente menores. La providencia menciona, entre otros movimientos, avances por $3.000.000 y $2.500.000, así como operaciones previas cuyos montos máximos se acercaban a $5.000.000.
Frente a ese historial, una compra por $11.598.020 y otra por $15.556.090 el mismo día representaban un salto considerable. Además, la modalidad de compra presencial no coincidía con el comportamiento previo observado en las tarjetas.
No era solo el monto: también importaban la modalidad y la ciudad
La Superfinanciera no analizó el perfil transaccional como una simple tabla de cifras. También valoró la modalidad utilizada y el lugar en que se realizaron las compras.
Las dos operaciones fueron efectuadas en Villavicencio, mientras la demandante manifestó encontrarse en Bogotá. El Despacho consideró que las transacciones se apartaban de la costumbre conocida por la entidad no solo por el valor, sino también por las demás circunstancias que rodeaban la operación.
Para la autoridad, ese conjunto de señales debía llevar al banco a activar controles adicionales, confirmar con la titular o adoptar medidas de bloqueo antes de permitir que el cupo quedara afectado por más de $27 millones.
Un mensaje después de la compra no reemplaza la confirmación previa
La prueba de mensajería tampoco resultó suficiente para demostrar un control preventivo eficaz.
Para la compra de $11.598.020, el expediente mostraba un mensaje enviado a las 12:36 p. m. y posteriormente un bloqueo preventivo de la tarjeta a las 12:55 p. m.
La Superfinanciera entendió esos registros como mensajes informativos de movimientos ya efectuados, no como una confirmación previa del titular antes de aprobar una operación extraordinaria.
Respecto de la compra por $15.556.090 con la otra tarjeta, la providencia señaló que el banco no aportó el mensaje correspondiente.
El chip tampoco elimina el deber de analizar el riesgo
La Circular Básica Jurídica citada en la sentencia exige a las entidades establecer parámetros para determinar cuándo deben exigir mecanismos fuertes de autenticación en operaciones de pago con o sin contacto, de acuerdo con el riesgo asociado a la tecnología utilizada.
Según la providencia, el Banco de Bogotá no aportó evidencia suficiente sobre esos parámetros, los estándares aplicados en este caso ni la información suministrada a la consumidora.
Por eso el hecho de que el chip hubiera sido leído no fue considerado una prueba definitiva de que la operación podía atribuirse a la titular ni de que el banco hubiera agotado todas sus obligaciones de seguridad.
Qué hacer si aparecen compras presenciales que nunca hiciste
Si recibes una alerta por una compra presencial que no reconoces, repórtala inmediatamente por los canales oficiales y solicita el bloqueo del producto. Conserva la hora exacta de la llamada, los mensajes recibidos, el número de radicado y la respuesta escrita del banco.
En la reclamación, identifica cada tarjeta y cada operación por separado. Si son varios productos, no asumas que la explicación técnica de una tarjeta sirve automáticamente para la otra.
Pide que el banco explique la modalidad exacta de la compra: si hubo lectura de chip, pago sin contacto, banda magnética u otro mecanismo. También solicita la evidencia técnica que permita reconstruir cada transacción y los controles aplicados.
Si la compra es extraordinaria por monto, lugar o forma de uso, señala expresamente esa diferencia. El perfil transaccional no se limita al valor: también puede incluir frecuencia, modalidad, ubicación y tipo de operación.
Una defensa bancaria también debe ser coherente con sus propias pruebas
Esta sentencia deja una enseñanza que trasciende el fraude concreto: no basta con presentar una defensa genérica sobre claves, mecanismos electrónicos o información de uso exclusivo del consumidor.
Si las pruebas muestran una compra presencial con chip, la explicación debe responder a ese canal específico y demostrar cómo funcionaron allí los controles de autenticación y seguridad.
Cuando la teoría presentada por la entidad no coincide con sus propios documentos, esa falta de coherencia puede debilitar seriamente su capacidad para atribuir responsabilidad al cliente.
El sustento jurídico utilizado por la Superfinanciera
La providencia sustentó la competencia de la Superintendencia Financiera en los artículos 57 y 58 de la Ley 1480 de 2011 y en el artículo 24 del Código General del Proceso.
Al tratarse de tarjetas de crédito, la relación contractual fue analizada como una apertura de crédito regulada en los artículos 1400 a 1407 del Código de Comercio.
La decisión también citó los artículos 335 y 78 de la Constitución Política, los artículos 3, 5, 6, 7, 11 y 12 de la Ley 1328 de 2009 y las reglas de seguridad de la Parte I, Título II, Capítulo I de la Circular Básica Jurídica.
En materia de prueba, la providencia aplicó el artículo 167 del Código General del Proceso y recordó que la negación del consumidor de haber realizado o autorizado una operación desplaza hacia la entidad la carga de acreditar la responsabilidad que pretenda atribuirle.
También acudió al principio pro consumatore del artículo 4 de la Ley 1480 de 2011, conforme al cual las dudas deben resolverse de la manera más favorable al consumidor.
La decisión: el banco debía asumir los $27.154.110
La Superintendencia Financiera declaró contractualmente responsable al Banco de Bogotá por las dos compras presenciales realizadas el 4 de marzo de 2025.
Ordenó abonar $11.598.020 a la tarjeta terminada en 2793 y $15.556.090 a la tarjeta terminada en 4136, junto con los intereses remuneratorios correspondientes a cada producto y los demás conceptos a que hubiera lugar hasta la fecha de pago.
El cumplimiento debía efectuarse dentro de los quince días hábiles siguientes a la notificación de la sentencia.
Además, si las operaciones hubieran generado reportes negativos ante centrales de riesgo, la entidad debía actualizar los vectores negativos correspondientes dentro del mismo término.
Conclusión: el chip identifica una tarjeta, pero el banco todavía debe entender la operación
Esta historia demuestra por qué la seguridad financiera no puede reducirse a una frase: “la compra pasó con chip”.
Una tarjeta puede estar físicamente presente y, aun así, existir preguntas esenciales sobre quién la usó, cómo se autenticó la operación, por qué el monto resultaba extraordinario y qué hizo el banco cuando una cliente que venía realizando operaciones mucho menores apareció comprando más de $27 millones en otra ciudad.
Para el consumidor, la lección es reclamar con precisión y conservar la evidencia. Para las entidades, el mensaje es igual de claro: la tecnología de una tarjeta no reemplaza el análisis del riesgo ni la obligación de probar que sus controles funcionaron en la operación concreta.
Porque en seguridad bancaria, el chip puede ser una pieza importante de la historia, pero no siempre es la última palabra.
Balance Legal
Balance Legal | Cuida tus finanzas
