Fraude Bancario y Ciberseguridad Empresarial: Las Lecciones de la Sentencia del Tribunal Superior de Bogotá sobre la Culpa Exclusiva de la Víctima
En un fallo trascendental para el sector empresarial y financiero, la Sala Séptima de Decisión Civil del Tribunal Superior del Distrito Judicial de Bogotá (Sentencia del 21 de septiembre de 2026, Radicado 110013199 003 2024 02518 01) confirmó en segunda instancia la sentencia de la Superintendencia Financiera de Colombia que exoneró totalmente al Banco BBVA Colombia S.A. frente a la demanda interpuesta por la sociedad Logistic International Group ZF S.A.S., la cual pretendía una indemnización superior a los $908 millones de pesos tras sufrir la sustracción no autorizada de $780 millones de pesos de su cuenta corriente.
Este caso sienta un precedente crucial sobre los alcance de la responsabilidad objetiva bancaria, la carga probatoria del peritaje técnico y la culpa exclusiva de la víctima por descuidos en la ciberseguridad interna.
1. Los Hechos: Dos Transferencias de $390 Millones y Anomalías en Pantalla
El 18 de septiembre de 2023, entre las 5:00 p.m. y las 7:00 p.m., la funcionaria encargada de las operaciones financieras de la empresa intentó realizar pagos de declaraciones de importación a la DIAN a través del portal BBVA Net Cash Empresas. Durante el procedimiento, la usuaria experimentó severas anomalías tecnológicas: cierres intempestivos de sesión, borrado automático de los dígitos introducidos en el token, solicitudes repetitivas del código de seguridad y movimientos autónomos del cursor en la pantalla.
Creyendo que se trataba de fallas rutinarias en la plataforma de la DIAN o de PSE, la funcionaria persistió en el intento digitando alrededor de seis tokens físicos sin reportar la situación de inmediato al banco. Esa misma tarde, entre las 5:48 p.m. y las 6:21 p.m., se ejecutaron dos transferencias no autorizadas por $390.000.000 cada una (totalizando $780.000.000) hacia la cuenta de un tercero denominado "Tapetes y Colgaduras", además de los débitos por concepto del Gravamen a los Movimientos Financieros (GMF).
Solo al día siguiente (19 de septiembre de 2023), tras acudir a la sucursal bancaria para restablecer las credenciales, la sociedad descubrió la millonaria sustracción y presentó la reclamación formal.
2. El Marco Jurídico: Obligación de Resultado vs. Causa Extraña
El Tribunal reiteró que, conforme a la jurisprudencia de la Sala de Casación Civil de la Corte Suprema de Justicia (Sentencia SC5176-2020), la obligación de las entidades financieras en cuanto a los protocolos de autenticación e identificación del cliente es una obligación de resultado.
- Principio General: Para exonerarse de la obligación de indemnizar, al banco no le basta con probar que actuó de manera diligente o con "buenos oficios". Debe demostrar la ocurrencia de una causa extraña (fuerza mayor, caso fortuito, hecho de un tercero o culpa exclusiva de la víctima) que rompa el nexo de causalidad.
- Carga Probatoria: Cuando el banco atribuye el fraude a la negligencia del cuentahabiente, le corresponde a la entidad bancaria acreditar técnicamente la existencia de dicha culpa y su incidencia directa en la producción del daño.
3. Las Pruebas Técnicas que Exoneraron al Banco: Virus Remcos y Antivirus Tardío
En este proceso, los informes de investigación de fraude y de ciberseguridad presentados por el banco resultaron definitivos para demostrar la culpa exclusiva de la empresa demandante:
- 5 Meses de Malware Silencioso (Remcos RAT): El peritaje informático reveló que el equipo desde el cual se operaba la cuenta corriente estaba infectado con el troyano de acceso remoto Remcos, el cual permite a ciberdelincuentes monitorear la actividad del usuario, capturar pulsaciones de teclado y controlar el dispositivo a distancia. La evidencia técnica demostró que el malware estaba activo en el computador desde el 28 de abril de 2023 (casi cinco meses antes del fraude).
- Antivirus instalado un día DESPUÉS del robo: Aunque las representantes de la empresa afirmaron que contaban con un antivirus Kaspersky recomendado por su soporte de TI, la auditoría del sistema demostró de forma irrefutable que el programa fue instalado y activado el 19 de septiembre de 2023 a las 11:38 a.m., es decir, un día después de que se materializó el robo de los $780 millones.
- Omisión de Alertas y Notificación Tardía: Se evidenció que el virus ingresó probablemente por un enlace malicioso tras un ciberataque sufrido por la aseguradora HDI Seguros. A pesar de que la funcionaria de la empresa fue informada telefónicamente por la aseguradora sobre dicho hackeo y presenció movimientos extraños en el cursor el mismo 18 de septiembre, no dio aviso inmediato al banco para bloquear los canales transaccionales.
- Falta de Parametrización de Seguridad: La empresa no tenía configurados controles adicionales en el portal bancario, tales como restricción de acceso por IP fija, esquemas de firmas mancomunadas para altos montos ni límites operacionales específicos, e incluso había solicitado levantar los topes transaccionales días antes.
Por estas razones, el Tribunal concluyó que el fraude no obedeció a una falla en los protocolos de autenticación del banco —ya que las operaciones se realizaron con credenciales, claves y tokens válidos capturados por el troyano—, sino a la culpa exclusiva de la empresa al operar durante meses un equipo comprometido sin la protección de un antivirus activo.
4. Recomendaciones de CONSULTORÍA Y REVISORÍA S.A.S. para la Prevención del Riesgo Tecnológico
Este fallo judicial deja en evidencia que la responsabilidad de proteger los recursos financieros corporativos exige una postura activa en ciberseguridad. Desde CONSULTORÍA Y REVISORÍA S.A.S., recomendamos a los órganos de administración, gerencias y áreas de tecnología:
- Auditoría Permanente de Antivirus y Parches: Verificar de manera continua que todos los dispositivos que acceden a plataformas bancarias o de la DIAN cuenten con soluciones de ciberseguridad corporativas pagas, actualizadas y con monitoreo activo en tiempo real.
- Parametrización Estricta de Portales Bancarios: Configurar restricciones de seguridad en las plataformas financieras empresariales, incluyendo el control por direcciones IP fijas autorizadas, esquemas de firmas mancomunadas (mínimo dos aprobadores para giros de cuantía) y topes transaccionales diarios ajustados a la operación real.
- Protocolo Inmediato ante Anomalías: Instruir al personal administrativo para que, ante cualquier comportamiento inusual del equipo (movimientos autónomos del ratón, cierres inesperados o solicitud repetitiva de tokens), se suspenda inmediatamente la operación y se reporte a la entidad bancaria en cuestión de minutos, evitando asumir que se trata de fallas de plataformas externas.
- Capacitación en Phishing y Gestión de TI: Implementar programas periódicos de concientización para evitar la apertura de correos sospechosos o la descarga de adjuntos, asegurando que los servicios de soporte de TI otorguen certificaciones de auditoría periódica de los equipos.
En CONSULTORÍA Y REVISORÍA S.A.S., acompañamos a las organizaciones en la evaluación de sus protocolos de control interno, gestión del riesgo operativo y auditoría de ciberseguridad para mitigar contingencias legales y financieras.