El fraude avisó antes de llevarse $4,8 millones: la señal que el banco debió frenar
Cuida tus finanzas | Balance Legal
Fuente: Superintendencia Financiera de Colombia, Delegatura para Funciones Jurisdiccionales, sentencia del 12 de agosto de 2025, radicación 2024126130-014-000, expediente 2024-18756.
Hay fraudes que parecen ocurrir de golpe. Un instante antes, la tarjeta está guardada; unos minutos después, aparecen compras que nadie reconoce. Pero cuando se reconstruye lo ocurrido segundo a segundo, a veces el sistema ya había dado señales de que algo no estaba bien.
Eso fue precisamente lo que encontró la Superintendencia Financiera en un caso en el que una consumidora sufrió el hurto de sus pertenencias y, entre ellas, de una tarjeta de crédito BBVA. Entre el 9 y el 10 de febrero de 2022 se registraron operaciones que terminaron afectando su cupo por $4.800.962.
La sentencia tiene una enseñanza especialmente útil para cualquier persona que usa tarjetas: el hecho de que el plástico haya sido robado no convierte automáticamente al cliente en el único responsable de todo lo que ocurra después. El banco también debe observar lo que está pasando en tiempo real, identificar comportamientos anormales y reaccionar cuando el propio sistema muestra señales de riesgo.
En este expediente hubo una señal particularmente fuerte. A las 20:06:04 apareció un movimiento no monetario por $5.860.000 identificado como “SUPERADO-LIMITE-CREDITO-TJ”. Cuatro minutos después, a las 20:10:11, cursó una compra por $3.489.000. Para la Superfinanciera, el primer evento debió provocar alertas y bloqueos antes de que el daño siguiera creciendo.
La noche en que una tarjeta robada empezó a moverse
Según la demanda, el 9 de febrero de 2022 la consumidora asistió con su esposo a un evento social. Dejaron el vehículo estacionado cerca del lugar y en su interior quedaron varias pertenencias. Ella conservó consigo el teléfono celular y su documento de identificación.
Durante el evento comenzó a recibir notificaciones de transacciones que no reconocía. Al regresar al vehículo descubrió que una de las ventanas había sido violentada y que habían sustraído un bolso en el que se encontraba la tarjeta de crédito.
La consumidora afirmó que se comunicó de manera urgente con BBVA para informar el hurto y solicitar el bloqueo inmediato de la tarjeta. Después presentó una reclamación formal, en la que sostuvo que las compras no habían sido autorizadas y que no correspondían a la forma en que normalmente utilizaba el producto.
BBVA defendió que las operaciones habían cursado normalmente, con el cumplimiento de los requisitos de seguridad y con la debida notificación. También alegó incumplimiento contractual de la consumidora por la pérdida del elemento transaccional.
La tarjeta fue robada, y eso sí importó
La Superfinanciera no ignoró la conducta de la consumidora. La providencia reconoció que, al producirse el hurto, terceros pudieron acceder al elemento transaccional —la tarjeta— y que esa circunstancia facilitó la realización de las operaciones. Por esa razón declaró parcialmente probada la excepción de incumplimiento contractual de la demandante.
Pero ese reconocimiento no cerró el caso. La pregunta verdaderamente importante fue otra: ¿la pérdida de la tarjeta fue la causa única y exclusiva de los $4.800.962 reclamados, o el banco también tuvo oportunidades concretas para evitar o disminuir el perjuicio?
La respuesta de la Superfinanciera fue que el hurto no explicaba por sí solo todo el daño. Aun cuando el cliente tiene deberes de cuidado sobre sus productos, la Ley 1328 de 2009 establece que el incumplimiento de las prácticas de protección propia no libera a la entidad financiera de las obligaciones de seguridad y diligencia que le corresponden.
Ese matiz es fundamental: una cosa es que el consumidor haya quedado expuesto por la pérdida de la tarjeta y otra muy distinta que, desde ese momento, el banco pueda dejar de monitorear, alertar, confirmar o bloquear.
La señal apareció cuatro minutos antes de la compra más grande
Al revisar el log transaccional, la Superfinanciera encontró un dato que cambió el peso de la historia. Antes de la compra por $3.489.000 se registró un movimiento no monetario por $5.860.000 con la descripción “SUPERADO-LIMITE-CREDITO-TJ”.
No se trataba de un cargo exitoso por $5.860.000. Era un registro que indicaba que se había intentado una operación por encima del límite disponible. Para el Despacho, ese evento, ocurrido a las 20:06:04, ya se apartaba por monto y modalidad del comportamiento habitual de la cliente y debía activar medidas de seguridad.
A las 20:10:11, apenas cuatro minutos después, sí cursó la compra por $3.489.000 en el comercio identificado en el expediente como “VARIEDADES ANGELO”. Después aparecieron otros dos movimientos no monetarios por $2.090.000 y $980.000, nuevamente asociados a superación del límite de crédito.
Para la Superfinanciera, el banco debió reaccionar desde la primera señal. No era necesario esperar a que se acumularan más movimientos para entender que la tarjeta estaba siendo utilizada de una manera que exigía atención.
No todas las compras eran iguales: el fraude cambió de forma
La providencia muestra algo que puede pasar desapercibido cuando el consumidor solo mira el valor total: las operaciones no se realizaron todas de la misma manera. Hubo una compra presencial por $3.489.000 identificada con lectura de chip bajo modalidad contactless; también hubo operaciones mediante entrada manual o no presente y movimientos asociados a pagos recurrentes.
Ese cambio entre modalidades fue relevante para el análisis. En las operaciones mediante entrada manual o no presente, el historial mostraba valores previos de hasta $122.800. Sin embargo, después del primer episodio aparecieron compras por $200.000, $400.000 y $400.000. La sentencia consideró que esas operaciones se distanciaban del comportamiento observado y que, al ser posteriores a las primeras señales, debieron ser bloqueadas.
Incluso algunas operaciones de pago recurrente podían resultar compatibles por monto con usos anteriores. Aun así, la providencia señaló que el contexto ya había cambiado: venían después de una secuencia de movimientos sospechosos y, por eso, también debieron ser objeto de control.
La lección es poderosa porque cambia la forma de mirar un fraude. El análisis no consiste únicamente en preguntar si cada compra, aislada, parece posible. También importa la secuencia completa: qué ocurrió antes, cuántos intentos hubo, qué canal se utilizó y si el sistema ya tenía razones para sospechar.
Una operación rechazada también puede ser una advertencia
En la vida cotidiana, un intento rechazado puede parecer un problema menor: la compra no pasó y, en apariencia, nada ocurrió. Esta providencia demuestra que, en seguridad financiera, un rechazo puede contener información muy valiosa.
El movimiento por $5.860.000 no produjo por sí mismo el perjuicio reclamado, pero sirvió como antecedente para valorar lo que ocurrió después. Para la Superfinanciera, ese registro debía llamar la atención del banco y activar mecanismos de alertamiento y bloqueo.
Para el ciudadano, esto deja una recomendación práctica: si recibes una alerta de una compra que no hiciste, incluso si aparece como rechazada o no alcanza a cargarse, no la ignores. Repórtala inmediatamente por los canales oficiales, solicita el bloqueo y conserva la evidencia de la hora, el valor y el mensaje recibido. Una operación que no se consumó puede ser la primera señal de que alguien ya está intentando utilizar tu producto.
El banco dijo que notificó, pero el expediente no mostró todas las alertas
La defensa de BBVA también se apoyó en que había notificado las operaciones. Sin embargo, la revisión del log de mensajería no resultó suficiente para respaldar esa afirmación en la forma planteada.
La sentencia señaló que la imagen aportada solo evidenciaba la notificación de tres de las operaciones debatidas y que no permitía establecer con claridad si las comunicaciones habían llegado al celular o al correo electrónico de la consumidora. Tampoco permitía determinar que una clave hubiera sido remitida a la titular y utilizada en las operaciones desconocidas.
Además, frente a las operaciones contactless, la Circular Básica Jurídica exige que las entidades definan parámetros para requerir mecanismos fuertes de autenticación según el riesgo de esa tecnología e informen esos parámetros a los consumidores. Según la providencia, BBVA no explicó cuáles eran esos estándares en el caso concreto ni acreditó la información entregada a la cliente.
De nuevo, el problema no fue simplemente que faltara un mensaje. La cuestión fue si, frente a una secuencia que ya mostraba signos inusuales, la entidad había desplegado controles capaces de detener la utilización del producto antes de que el perjuicio aumentara.
Qué hacer si te roban una tarjeta y comienzan a aparecer movimientos
La primera actuación que enseña este caso es inmediata: reportar el hurto y solicitar el bloqueo del producto tan pronto se tenga conocimiento. La consumidora dijo haberlo hecho cuando comenzó a recibir notificaciones y descubrió que sus pertenencias habían sido sustraídas.
También es importante conservar la secuencia completa de lo ocurrido. No guardes únicamente el extracto final. Conserva mensajes, horas, valores, intentos rechazados, compras aprobadas, radicados de llamada y la respuesta escrita del banco. La cronología puede mostrar que existieron señales previas que permitían bloquear antes de que se produjeran nuevas operaciones.
Cuando presentes la reclamación, no te limites a decir que la compra no es tuya. Explica qué operaciones no reconoces, cuándo recibiste la primera alerta, cuándo pediste el bloqueo y qué movimientos aparecen antes y después de la compra principal. Si el banco afirma que todo cursó con normalidad, pide que explique qué alertas se generaron, qué controles se activaron, qué tipo de autenticación se utilizó y por qué no se bloqueó el producto ante los intentos o movimientos inusuales.
Este tipo de trazabilidad no garantiza que todos los casos terminen a favor del consumidor. La propia sentencia demuestra que también se examina el cuidado de la persona sobre su tarjeta. Pero sí permite que la discusión se dé sobre hechos y pruebas, y no solamente sobre la afirmación genérica de que el plástico fue utilizado correctamente.
El sustento jurídico utilizado en la decisión
La providencia se apoyó en los artículos 57 y 58 de la Ley 1480 de 2011 y en el artículo 24 del Código General del Proceso para sustentar la competencia jurisdiccional de la Superintendencia Financiera. La relación contractual correspondía a una apertura de crédito instrumentada mediante tarjeta de crédito, regulada en los artículos 1400 a 1407 del Código de Comercio.
La sentencia también recordó el artículo 335 de la Constitución Política sobre el interés público de la actividad financiera y los deberes de debida diligencia, seguridad y calidad previstos en la Ley 1328 de 2009. En particular, retomó el artículo 3 y las reglas de la Circular Básica Jurídica que exigen procedimientos de bloqueo y la elaboración del perfil de las costumbres transaccionales para confirmar oportunamente operaciones que se aparten de los hábitos del cliente.
Para las operaciones contactless, se citó el numeral 2.3.3.1.26 de la Circular Básica Jurídica, relativo a los parámetros para exigir mecanismos fuertes de autenticación según el riesgo. Para operaciones no presenciales, la providencia recordó también la exigencia de medidas de seguridad adicionales a los datos estáticos de la tarjeta.
Finalmente, el Despacho aplicó el criterio pro consumatore del artículo 4 de la Ley 1480 de 2011, según el cual las normas de protección al consumidor deben interpretarse de la forma más favorable a este y, en caso de duda, resolverse en su favor.
La decisión: el hurto no exoneró al banco
La Superintendencia Financiera declaró parcialmente probada la excepción de incumplimiento contractual de la consumidora, reconociendo que la pérdida de la tarjeta incidió en los hechos. Sin embargo, no aceptó que esa circunstancia fuera la causa única y efectiva del perjuicio.
El Despacho concluyó que los registros transaccionales mostraban situaciones inusuales y que la entidad no activó el sistema de monitoreo ni adoptó medidas para bloquear el producto frente al riesgo que se estaba materializando. Por ello declaró contractualmente responsable a BBVA por el fraude presencial y virtual que afectó la tarjeta por $4.800.962.
La orden fue abonar esa suma al producto de la consumidora, junto con los emolumentos a que hubiera lugar desde el 9 de febrero de 2022 hasta la fecha de pago, dentro de los quince días hábiles siguientes a la notificación de la decisión. No hubo condena en costas.
Conclusión: cuando el sistema avisa, reaccionar también es seguridad
La historia no termina con una tarjeta robada. Empieza allí. Lo verdaderamente decisivo fue lo que ocurrió después: un intento por encima del límite, una compra de millones pocos minutos más tarde, nuevas operaciones por distintos canales y una secuencia que, vista completa, se alejaba de la normalidad del producto.
La Superfinanciera no convirtió a la consumidora en una persona sin responsabilidades. Reconoció que el hurto de la tarjeta facilitó el fraude. Pero también dejó claro que la seguridad financiera no puede descansar únicamente en que el cliente nunca pierda un plástico. El banco administra los sistemas, observa las operaciones y tiene herramientas para reaccionar frente a señales de riesgo.
En ocasiones, proteger el dinero no depende de descubrir el fraude después, sino de escuchar la primera advertencia antes de que el daño crezca. Cuando el sistema ya está diciendo que algo no encaja, la verdadera seguridad consiste en actuar a tiempo.
Balance Legal
Balance Legal | Cuida tus finanzas
