CONSEJO DE ESTADO SECCIÓN TERCERA SALA DE LO CONTENCIOSO ADMINISTRATIVO SUBSECCIÓN A Consejero ponente: JOSÉ ROBERTO SÁCHICA MÉNDEZ Bogotá, D.C., dieciséis (16) de junio de dos mil veinticinco (2025) Expediente: 76001233100020090103001 (57.457) Demandante: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Acción: Acción contractual (CCA) Asunto: Sentencia de segunda instancia TEMAS: DICTAMEN PERICIAL – Es un medio de prueba destinado a verificar hechos relevantes que requieren conocimientos científicos, técnicos o artísticos especializados - la valoración individual de la prueba exige verificar: (i) idoneidad del perito, es decir, que cuente con conocimientos especializados pertinentes;
(ii) fundamentación, que las premisas estén sólidamente sustentadas; (iii) conclusión clara y firme, derivada lógicamente de la argumentación y metodología del dictamen; (iv) ausencia de objeción o fracaso de la misma; y (v) contradicción efectiva en el curso del proceso judicial // OBJETIVO DE LA VALORACIÓN PROBATORIA - los medios de prueba no deben permitir la confirmación, más allá de toda duda razonable, de la hipótesis fáctica planteada por el Banco, pues tal estándar es propio del proceso penal - Tratándose de un razonamiento abductivo, el objetivo de la valoración conjunta de las pruebas no es alcanzar certeza lógica, sino un grado razonable de confirmación // RESPONSABILIDAD EN CONTRATOS DE DEPÓSITO DE CUENTA CORRIENTE O DE AHORROS - La regla general es que el depositario responda incluso por culpa leve en la custodia y conservación de la cosa, y se presume que la pérdida o deterioro se debe a su culpa (Código de Comercio, art. 1171) - Tratándose de depósitos en cuenta corriente o de ahorros (Código de Comercio, arts. 1382 y 1396), los deberes de seguridad —instrumentales de la obligación de custodia— adquieren una especial trascendencia, en razón del carácter profesional y habitual de las actividades de intermediación financiera y del compromiso de los recursos captados del público Surtido el trámite de ley, sin que se advierta causal de nulidad que invalide lo actuado, la Sala procede a resolver los recursos de apelación presentados contra la sentencia proferida por el Tribunal Administrativo del Valle del Cauca.
La controversia se refiere a una serie de transacciones electrónicas fraudulentas mediante las cuales se sustrajeron recursos de una cuenta corriente de la Beneficencia del Valle del Cauca. La entidad demandante sostuvo que la institución financiera debía reintegrar los fondos, dado que el fraude obedeció a deficiencias de seguridad del sistema transaccional.
El banco alegó que las operaciones fueron posibles por la instalación física de un software malicioso en los equipos del cliente, lo que permitió la extracción de sus credenciales de acceso, lo que evidenciaría el incumplimiento del deber de custodia de dicha información. I. LA SENTENCIA IMPUGNADA 1. El 25 de febrero de 2016, el Tribunal Administrativo del Valle del Cauca profirió la siguiente decisión: “PRIMERO. DECLARAR no probadas las excepciones ‘culpa exclusiva del usuario del servicio electrónico’, ‘clave y nombre están bajo el cuidado del cuentacorrentista – contrato no cumplido’ y ‘contrato cumplido’, formuladas por el Banco de Occidente S.A.
SEGUNDO. DECLARAR contractualmente responsable al Banco de Occidente S.A. por el incumplimiento del contrato de cuenta corriente No. 001-13373-5, del contrato de cuenta Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 2 de ahorro No. 001-89000-3 y del contrato adicional de servicio Occired No. 0012677, suscritos entre la Beneficencia del Valle del Cauca y dicha entidad financiera.
TERCERO. Como consecuencia de la anterior declaración, condenar al Banco de Occidente S.A. al pago de una suma de dinero equivalente a mil cuatrocientos veintisiete millones trescientos ochenta y dos mil setecientos noventa y ocho pesos ($1.427’382.798) a favor de la Beneficencia del Valle del Cauca.
CUARTO. SIN COSTAS en esta instancia.
QUINTO. ORDENAR para que la Secretaría proceda a inscribir el presente proceso en el sistema de justicia Siglo XXI.
SEXTO. LIQUIDAR los gastos del proceso conforme se ordenó en el auto admisorio de la demanda y previa solicitud, DEVOLVER si existieren, los remanentes a la parte demandante.
SÉPTIMO. En el evento que la presente providencia no sea objeto de recurso de apelación DESE trámite al grado jurisdiccional de consulta, conforme a lo estipulado por el artículo 184 del C.C.A.”1. 2. La anterior providencia resolvió la demanda presentada por la Beneficencia del Valle del Cauca2 (en adelante, la “Beneficencia”) contra el Banco de Occidente S.A. (en adelante, el “Banco”), cuyas pretensiones, hechos principales y fundamentos de derecho son los siguientes: Pretensiones 3.
La Beneficencia formuló las siguientes pretensiones: “1. Se declare la existencia y celebración del contrato de cuenta corriente No. 001- 13373- 5 y accesorio o adicional de servicio Occired No. 0012677, y del contrato de cuenta de ahorro No. 001-89000-3 firmados entre la Beneficencia del Valle del Cauca EICE y el Banco de Occidente S.A. 2.
Como consecuencia de la existencia del vínculo contractual anterior, se declare el incumplimiento de los contratos antes citados por parte del Banco de Occidente S.A., en detrimento de la Beneficencia del Valle del Cauca EICE. 3. Que como consecuencia del incumplimiento se declare al Banco de Occidente S.A., contractualmente responsable por los daños y perjuicios causados a la Beneficencia del Valle del Cauca EICE, por el traslado electrónico fraudulento que terceros llevaron a cabo de la cuenta corriente de la Beneficencia del Valle del Cauca EICE, a las cuentas corrientes de terceros — delincuentes. 4.
Como consecuencia de la responsabilidad por incumplimiento se condene al Banco de Occidente S.A. a pagar a la Beneficencia del Valle del Cauca EICE, el valor de los perjuicios de orden material (daño emergente y lucro cesante), que le fueron ocasionados, los (sic) ascienden aproximadamente a la suma de MIL CIENTO CUARENTA Y DOS MILLONES SEISCIENTOS NOVENTA Y NUEVE MIL VEINTICINCO PESOS CON CINCUENTA Y TRES CENTAVOS ($1.142’699.025.53) de conformidad con lo que resulte probado en el proceso, suma que deberá ser indexada, y cancelada con intereses comerciales moratorios causados a partir de la fecha de la defraudación. 1 C2, fl. 698. 2 La Beneficencia del Valle del Cauca es una empresa industrial y comercial del Estado del orden departamental, con patrimonio propio, autonomía financiera y administrativa, transformada mediante Ordenanza No. 117 de 2001 de la Asamblea Departamental del Valle del Cauca.
C1, fl. 1-2. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 3 5. Se condene al Banco de Occidente S.A. al pago de costas procesales”3. Hechos 4. En apoyo de sus pretensiones, expuso los siguientes hechos4: 5. La Beneficencia celebró con el Banco tres contratos: (i) cuenta de ahorros No. 00189000-3, (ii) cuenta corriente No. 001-13373-5 y (iii) servicio OCCIRED No. 0012677.
El objeto del contrato OCCIRED era brindar al cliente acceso al servicio así denominado, “el cual permite la comunicación telefónica con el sistema de computación del banco, con el fin de brindarle al cliente información o consultas, y [permite] la realización de operaciones bancarias”, incluida la transferencia electrónica de fondos. 6.
El 19 y 20 de noviembre de 2007, el sistema OCCIRED registró varios intentos de acceso con usuario o contraseña inválidos y transacciones fallidas y sin autorización desde las cuentas bancarias de la Beneficencia. El mismo 20 de noviembre de 2007, entre las 17:00 y las 18:00, un funcionario del Banco contactó al coordinador financiero de la Beneficencia para verificar si la entidad había autorizado una transferencia a través del sistema OCCIRED hacia la cuenta de un tercero en Cartagena.
La respuesta fue negativa. En consecuencia, personal autorizado de la Beneficencia intentó ingresar a la plataforma para consultar el movimiento y el saldo, pero el sistema negó el acceso. 7. El 21 de noviembre de 2007, el Banco informó a la Beneficencia que se habían ejecutado transferencias electrónicas fraudulentas desde sus cuentas.
De acuerdo con la comunicación, a la 01:18:44 A.M del 19 de noviembre de 2007 se autorizó una transferencia de $1.400’000.000 desde la cuenta de ahorros hacia la cuenta corriente de la Beneficencia. Posteriormente, entre la 1:00 y las 6:00 de la mañana del mismo día, se intentaron ocho operaciones bancarias para trasladar fondos a cuentas de terceros creadas en Barranquilla, Bogotá, Cartagena y Cúcuta.
Como resultado, se retiraron fraudulentamente $996’129.289. La Beneficencia precisó que las operaciones no se realizaron desde su dirección IP ni desde computadores de la entidad. 8. Según el demandante, el Banco no desplegó una conducta diligente en la protección de sus recursos. Indicó que cuatro meses antes de los hechos se presentó un intento de hurto físico a los dineros de la Beneficencia, situación que debió alertar a todas sus sucursales.
Añadió que la Beneficencia no mantenía relaciones comerciales en Barranquilla, Cartagena y Cúcuta, por lo que las transferencias dirigidas a esas ciudades debieron generar una alerta adicional. Señaló, además, que de acuerdo con las obligaciones contractuales del servicio OCCIRED, el Banco debió suspender el sistema al detectar intentos de acceso por parte de usuarios no autorizados.
No obstante, afirmó que, pese a todas las operaciones —fallidas y exitosas—, el sistema solo fue bloqueado el 21 de noviembre de ese año. 9. La Fiscalía General de la Nación (en adelante, “FGN”) inició procesos penales en contra de Femir Espitia Hoyos, Edgar Bustamante y Edna Margarita Velilla, presuntos 3 C1, fl. 212. 4 C1, fls. 212-217.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 4 responsables de las transacciones fraudulentas. Esta última suscribió un preacuerdo con la Fiscalía en virtud del cual restituyó a la Beneficencia $19’600.000. Fundamentos de derecho5 10.
El demandante sostuvo que el Banco incumplió las obligaciones derivadas de los contratos bancarios. Señaló que, al tratarse de depósitos de cosas de género, el Banco asumía una obligación de resultado consistente en custodiar y devolver una suma de dinero equivalente a la entregada, asumiendo el riesgo de su pérdida. 11. La Beneficencia argumentó que la actividad bancaria es, por naturaleza, riesgosa, en especial cuando se apoya en el uso de nuevas tecnologías.
Por consiguiente, consideró que los daños derivados de fraudes debían examinarse desde la perspectiva de la responsabilidad objetiva, como sucede en los casos de cheques falsificados. 12. Por otra parte, la demandante señaló que las relaciones entre los bancos y sus clientes se fundan en los principios de confianza, seguridad material y responsabilidad.
Agregó que el artículo 78 de la Carta Política impone a todo proveedor de bienes y servicios una obligación de seguridad, consistente en garantizar que los consumidores no sufran daños en su persona o bienes. Concluyó señalando que esta obligación es compatible con el régimen de responsabilidad objetiva de protección al consumidor. 13.
La Beneficencia sostuvo que de ese artículo constitucional también se deriva un deber de información. A su juicio, este deber, desarrollado en el Estatuto Orgánico del Sistema Financiero y en el Estatuto del Consumidor, fue desatendido por el Banco dado que no le explicó los riesgos que implicaba la contratación del servicio OCCIRED. En consecuencia, afirmó que corresponde a la institución financiera demostrar que cumplió con el mandato, que la plataforma ofrecía condiciones de seguridad frente a ataques cibernéticos y que el personal de las sucursales actuó con la diligencia debida.
Contestación de la demanda 14. El Banco se opuso a las pretensiones y formuló excepciones6. En primer lugar, propuso la excepción de culpa exclusiva del usuario del servicio electrónico. Señaló que las operaciones efectuadas a través del sistema OCCIRED, en especial los pagos a terceros, se ejecutan únicamente mediante el usuario y la contraseña que son de exclusivo conocimiento, manejo y responsabilidad del cliente.
Agregó que, conforme a la denuncia penal aportada con la demanda, las transacciones fraudulentas reprodujeron operaciones análogas a las habituales de la Beneficencia, lo que indica que quienes ejecutaron la maniobra tenían acceso a los tiempos, cuentas y datos de seguridad, motivo por el cual no resultaron inusuales ni sospechosas. 15.
En relación con las ocho transacciones efectuadas entre la 1:00 y las 6:00 de la mañana del 19 de noviembre, el Banco sostuvo que todas fueron aprobadas por usuarios de la Beneficencia con un sistema de doble autorización. Indicó que, al rastrear la actividad de los usuarios a través de los cuales se autorizaron los giros, no 5 C1, fls. 217-237. 6 C1, fls. 388-399.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 5 se encontraron registros de cambios de contraseña. Esa circunstancia demostraría que las claves utilizadas eran las correctas y conocidas por el cuentacorrentista. 16.
Sostuvo que el uso de diferentes direcciones IP por parte de la Beneficencia en el giro ordinario de sus operaciones, así como la existencia de varios usuarios con acceso al canal transaccional, desactivó el filtro de seguridad que debía mantener el propio cliente, lo que impidió detectar actividades sospechosas mediante el rastreo de IP.
Agregó que la Beneficencia debió habilitar una única dirección IP registrada ante la institución financiera, además de cambiar mensualmente la clave de acceso y crear un usuario exclusivo para pagos a terceros. 17. El Banco formuló también la excepción “clave y cuenta de usuario están bajo el cuidado del cuentacorrentista – contrato no cumplido”.
Sostuvo que la Beneficencia incumplió su obligación de custodiar debidamente la clave de acceso al sistema OCCIRED y de no compartirla con terceros. Indicó que, al suscribir el contrato, el demandante autorizó la realización de consultas, transferencias y pagos a través de dicho canal, por lo que las operaciones efectuadas en noviembre de 2007 contaban con su aprobación y debía demostrar que se ejecutaron sin su usuario y contraseña o que no las autorizó. 18.
El establecimiento bancario señaló que es responsabilidad exclusiva del administrador de la cuenta garantizar que ningún tercero conozca esa clave, por lo que el cliente debe responder ante el Banco por el uso indebido del servicio OCCIRED y lo exonera de cualquier responsabilidad derivada del mal uso de la contraseña, indistintamente de la persona que la emplee.
También afirmó que la Beneficencia no cuenta con una infraestructura tecnológica adecuada para garantizar la seguridad de la información y que los señores Leonor Abadía y Rogelio Díaz, funcionarios de la entidad, manifestaron haber recibido capacitación para el manejo del sistema. 19. Por último, el Banco interpuso la excepción de “contrato cumplido”.
Sostuvo que su obligación consistía en atender las instrucciones del cliente y permitir que el cuentacorrentista dispusiera de sus recursos, lo cual se garantizó en el caso concreto. Indicó que habría existido incumplimiento únicamente si, pese a haberse impartido una instrucción electrónica válida con usuario y clave correctos, la entidad se hubiera abstenido de realizar el giro.
Alegatos en primera instancia Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 6 20. Surtida la etapa probatoria7, la demandante presentó alegatos de conclusión en los que reiteró argumentos de la demanda8.
Además, citó una providencia de la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá9 en la que se declaró la responsabilidad contractual del Banco por transacciones electrónicas fraudulentas realizadas a través del sistema OCCIRED, con fundamento en que la entidad financiera había creado el riesgo inherente a la operación como profesional del sector y había desconocido el perfil transaccional del cliente.
También cuestionó la validez del informe técnico de la FGN, que indicó la presencia de un keylogger10 en los discos duros de la Beneficencia y sugirió que era la posible causa del fraude. Alegó que dicho informe no podía valorarse como prueba, ya que no fue objeto de contradicción, toda vez que la FGN no permitió la práctica de la inspección judicial que buscaba verificar la ruptura de la cadena de custodia. 21.
La demandante sostuvo que, conforme a la carga dinámica de la prueba, correspondía al Banco demostrar que la Beneficencia incumplió el deber de no compartir la clave de acceso al sistema OCCIRED, carga que no cumplió. Afirmó que se probó que ningún funcionario de la entidad participó en el hurto electrónico y que existió una falla en el control del Banco al desembolsar los recursos, lo que reflejó deficiencias tanto en el sistema electrónico como en la actividad del personal. 22.
El Banco presentó alegatos en los que reiteró argumentos de la contestación de la demanda11. Sostuvo que el servicio OCCIRED opera de forma permanente y que corresponde a cada usuario implementar restricciones como horarios de activación o direcciones IP fijas de acceso, medidas que la Beneficencia no adoptó. Indicó que la 7 En auto interlocutorio No. 550 del 11 de noviembre 2011 (C1, fls. 404-407) el Tribunal abrió a pruebas el proceso (art. 209 CCA) y decretó como pruebas la documental allegada con la demanda y la contestación. Adicionalmente, decretó los testimonios (y en los casos pertinentes el reconocimiento de documentos) de Héctor Banguero (practicado el 28 de noviembre de 2013 [C1A, fls. 481-487]), Alex Bernal (practicado el 14 de febrero de 2012 [C. Pruebas, fls. 3-7]), Jorge Enrique Chamorro (practicado el 11 de diciembre de 2013 [C1A, fls. 488-491] y el 30 de enero de 2014 [C1A, fls.492-493]), Néstor Toro (practicado el 14 de febrero de 2012 [C. Pruebas, fls. 8-12, 14-22]), Rogelio Díaz (practicado el 21 de febrero de 2012 [C. pruebas, fls. 34- 42]) y Leonor Abadía (practicado el 14 y 21 de febrero de 2012 [C. Pruebas, fls. 23-33]), así como el reconocimiento de documentos de Juan Alfonso Borrero.
Asimismo, decretó la prueba pericial y la inspección judicial con intervención del perito ingeniero de sistemas a la plataforma OCCIRED y a los discos duros y servidor de los computadores de los funcionarios de la Beneficencia, ambas pruebas solicitadas en la demanda y su adición. Por otra parte, solicitó al representante de la Beneficencia rendir informe escrito y bajo juramento sobre los hechos de la demanda.
Finalmente, no decretó la prueba pericial solicitada en la contestación de la demanda por no haberse indicado los puntos sobre los que versaría la diligencia. El Banco interpuso recurso de reposición y en subsidio apelación contra la providencia (C1, fls. 408-409), el cual fue resuelto desfavorablemente por improcedente (C1, fls. 426-429). 8 C1A, fls. 575-587. 9 T.S.D.J. de Bogotá, Sala Civil, rad. 2012-00123-01, Fajobe S.A. vs Banco de Occidente, oct. 15/2013, M.P. Jorge Hernán Vargas Rincón. 10 Un keylogger es un software o hardware malicioso que registra las pulsaciones de teclas en una computadora o dispositivo móvil y las almacena como texto o pantallazos.
La Corte Suprema de Justicia lo ha definido como un “registrador de las pulsaciones realizadas en el teclado del computador, las cuales archiva en un fichero y envía a través de internet, permitiendo el acceso de terceros a contraseñas e información privada”. C.S.J., Cas. Civil. Sent. SC18614-2016, dic. 19/2016. M.P. Ariel Salazar Ramírez.
El dictamen pericial practicado en segunda instancia definió el keylogger, refiriéndose específicamente al software encontrado en los computadores de la Beneficencia, en los siguientes términos: “PERFECT KEYLOGGER es un capturador de teclado el cual funciona en modo invisible en el equipo donde es instalado. El objetivo de este programa es registrar todas las teclas presionadas por un usuario en el teclado para luego ser analizado por quien instalo la aplicación y así obtener información del primero. Sitios visitados, conversaciones escritas y contraseñas son algunos de los elementos sensibles obtenidos por el mismo. | Los Keyloggers o capturadores de teclado son uno de los sistemas espías mas peligrosos debido a que registran información de uso sensible y de alta privacidad de los usuarios que no saben que están siendo monitoreados, y suministrando información sin su consentimiento a terceros” (Exp. digital, doc. 185, pp. 9-10). 11 C1A, fls. 643-661.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 7 dirección IP utilizada para el primer ingreso del 19 de noviembre pertenecía a la Beneficencia y ya había sido empleada en transacciones anteriores. Asimismo, destacó que en el fraude no hubo participación de empleados del Banco. 23.
Por otra parte, la institución financiera adujo que el demandante no demostró contar con mecanismos de seguridad informática adecuados y que los equipos desde los cuales se accedía al servicio OCCIRED no tenían antivirus. En ese sentido, citó el informe de la FGN, según el cual en los equipos de la Beneficencia se encontraron virus que habrían sustraído la información del usuario y la clave utilizadas en las transacciones.
Agregó que la ausencia de protocolos de seguridad también se reflejaba en el hecho de que el administrador y los usuarios compartían los mismos equipos para acceder a la plataforma, que los empleados desconocían las condiciones para el cambio de contraseña y que se permitió el acceso de terceros a usuarios y claves del sistema. Todo lo anterior, afirmó, “rompe la responsabilidad objetiva que pretende endilgarle a mi representado”.
Finalmente, sostuvo que brindó capacitaciones sobre el manejo operativo y las recomendaciones de seguridad del sistema OCCIRED. 24. El Ministerio Público guardó silencio. Los fundamentos de la sentencia impugnada 25. El Tribunal Administrativo declaró la responsabilidad contractual del Banco y lo condenó al pago de perjuicios. Señaló que las entidades financieras están sujetas a un deber de diligencia especial, en razón de la confianza pública que recae sobre ellas y del beneficio inherente a su actividad profesional, deber que cobra mayor relevancia en la gestión de transacciones electrónicas, por los riesgos que implican estas operaciones.
Indicó que, en ese contexto, los bancos actúan como garantes del dinero entregado en depósito, mientras que al cliente le corresponde únicamente conservar la clave de acceso. Por tanto, en casos de transacciones fraudulentas, corresponde a la institución financiera acreditar la conducta culposa del usuario para exonerarse de responsabilidad. 26.
Sostuvo que el Banco no cumplió con la carga de demostrar que el fraude se originó por culpa de la Beneficencia. Precisó que, aunque los informes de la FGN identificaron un software malicioso en los computadores de la entidad, las conclusiones contenidas en ellos no eran fiables desde el punto de vista probatorio, ya que no se garantizó la cadena de custodia sobre los discos duros de la Beneficencia. En respaldo de esta conclusión, tomó como fundamento los informes técnicos elaborados por Sistemas TGR S.A.12 (en adelante, “TGR”), aportados por el demandante, los cuales, además de referirse a los problemas de la cadena de custodia, evidenciaron fallas de seguridad en el sistema OCCIRED y ausencia de mecanismos de prevención de fraudes electrónicos, aspectos que fueron confirmados en el testimonio de Néstor Toro Caicedo, representante de TGR, considerado por el Tribunal como testigo técnico. 27.
El Tribunal analizó la cláusula novena del contrato OCCIRED, que atribuía al cliente la responsabilidad por todas las operaciones realizadas desde la plataforma, 12 La sociedad Sistemas TGR S.A. fue contratada por la Beneficencia para “brindar el soporte técnico contractual al abogado contratado por la Entidad, con ocasión de las transacciones fraudulentas de dineros de las cuentas de ahorro y corrientes pertenecientes a la Beneficencia” (C1, fl. 5).
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 8 hubieran sido autorizadas o no, y exoneraba al Banco en caso de uso indebido del sistema. Consideró que dicha estipulación resultaba lesiva y desproporcionada, por cuanto trasladaba al usuario el riesgo de fraude electrónico, que debía asumir la entidad financiera como profesional encargado de la custodia de los fondos.
Por tal razón, concluyó que la cláusula no eximía al Banco de responsabilidad. 28. El Tribunal ordenó el pago del monto retirado de la cuenta corriente de la Beneficencia, debidamente indexado. Negó el reconocimiento de intereses moratorios al considerar que los recursos tenían destinación específica para la prestación de servicios de salud y, en consecuencia, no estaban llamados a generar rendimientos.
Conciliación en primera instancia 29. De conformidad con el artículo 70 de la Ley 1395 de 2010, el Tribunal citó a audiencia de conciliación en primera instancia13. La audiencia se declaró fallida14. II. LOS RECURSOS DE APELACIÓN 30. El demandante solicitó que se modifique parcialmente la sentencia y se condene al Banco a pagar intereses moratorios15.
Argumentó que los negocios jurídicos que suscribió con el Banco son contratos estatales, por lo que debía aplicarse la regla del numeral 8º del artículo 4 de la Ley 80 de 1993, que permite tanto la indexación como la liquidación de intereses de mora. Rechazó el argumento relativo a la destinación específica de los recursos, al considerar que justamente por esa razón el dinero no pudo emplearse para financiar la prestación de servicios de salud.
Agregó que el Acuerdo No. 109 de 2014, expedido por el Consejo Nacional de Juegos de Suerte y Azar, exige garantizar la rentabilidad de las reservas técnicas. Así, concluyó que tiene derecho a la reparación integral del daño, que incluye los intereses de mora. 31. El Banco también apeló y solicitó que se revoque la decisión16. Sostuvo que los experticios elaborados por TGR, en los que el Tribunal fundó su decisión de desestimar el informe de la FGN, carecen de valor probatorio, dado que no se acreditó la existencia y representación legal de la sociedad ni su idoneidad técnica para pronunciarse sobre aspectos de seguridad informática.
En consecuencia, alegó que la incorporación y valoración de dichos documentos vulneró el debido proceso. 32. Alegó que el Tribunal no podía otorgar valor probatorio al testimonio de Néstor Toro Caicedo, representante de TGR. Cuestionó su imparcialidad, al haber sido contratado por la Beneficencia, así como su idoneidad técnica, en razón de la ausencia de formación profesional en la materia y del reconocimiento expreso de que no es ingeniero de sistemas.
Asimismo, indicó que su análisis se limitó a la revisión de los registros electrónicos de las transacciones y del informe rendido por la FGN, sin haber tenido acceso al sistema OCCIRED ni a los discos duros de los equipos de la entidad. 13 C2, fl. 766, 14 C2, fl. 778. 15 C2, fls. 701-706. 16 C2, fls. 729-756. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 9 33.
El Banco agregó que el análisis del señor Toro se centró en confrontar el registro de las transacciones en el sistema OCCIRED con la Circular 052 de 2007 de la Superintendencia Financiera, norma que no estaba vigente para la época de los hechos, por lo que sus conclusiones carecen de validez. Indicó que el testigo planteó interrogantes sobre el manejo de los discos duros por parte de la FGN, pero no formuló afirmaciones concluyentes con sustento técnico ni respaldo en fuentes doctrinales o normas aplicables sobre la cadena de custodia.
Así, concluyó que el Tribunal no podía desestimar el informe de la FGN con base en ese testimonio. 34. La institución financiera afirmó que las transacciones fraudulentas fueron consecuencia de la conducta negligente de la Beneficencia, ya que el informe de la FGN evidenció que los equipos de la entidad no contaban con antivirus y que los programas maliciosos instalados directamente en los discos duros sustrajeron la información de acceso al sistema OCCIRED. Adujo que el informe cuenta con solidez técnica, por cuanto dejó constancia del material examinado, de la metodología aplicada y de las herramientas utilizadas para su análisis.
También indicó que la cadena de custodia sobre los discos duros de los computadores de la Beneficencia fue preservada conforme a las disposiciones legales. 35. Adicionalmente, señaló que el Tribunal omitió considerar seis hechos probados que respaldaban sus excepciones: (i) el funcionamiento y las características del sistema OCCIRED, que asigna claves seguras cuya conservación corresponde al cliente, quien debe implementar restricciones de seguridad, medidas que la Beneficencia no adoptó;
(ii) la ejecución de las operaciones fraudulentas con el usuario y la clave del cliente; (iii) el incumplimiento del deber de conservar adecuadamente los datos de acceso y la ausencia de protocolos de seguridad, pues los equipos no contaban con antivirus; (iv) que dicha plataforma cumplía con estándares de seguridad propios de su naturaleza y que la Circular 052 de 2007 de la Superintendencia Financiera no resultaba aplicable para la fecha de los hechos, incluidas sus exigencias sobre el perfil transaccional del cliente y la certificación de mensajes de datos;
(v) la capacitación impartida sobre el uso del sistema y las medidas de seguridad asociadas; y, (vi) la falta de participación de empleados del Banco en el fraude. 36. Finalmente, señaló que, al establecer el valor de la condena, el Tribunal no consideró dos acuerdos de pago que la Beneficencia celebró con personas que participaron en el ilícito, uno por $19’000.000 y otro por $400’000.000.
Trámite en segunda instancia 37. En segunda instancia se decretó la práctica la inspección judicial con intervención de perito ingeniero de sistemas a la plataforma OCCIRED y a los discos duros de los computadores de la Beneficencia17. 17 En el término de ejecutoria del auto que admitió la apelación (CCA, art. 212), el demandante solicitó la práctica de la de la prueba bajo el argumento que se decretó en primera instancia, pero no fue practicada por culpa de la FGN (C2, fls. 791-812).
El Consejo de Estado, mediante auto del 24 de julio de 2017, negó la solicitud con fundamento en que la Beneficencia había desistido de la prueba (C2, fls. 814-815). No obstante, el demandante interpuso recurso de súplica con fundamento en que las razones por las cuales no se practicó la prueba no le eran atribuibles (C2, fls. 816-820), del cual se corrió traslado al demandado (C2, fls. 833-834).
La Corporación, en auto del 19 de abril de 2018, revocó la providencia y, en su lugar, accedió a la solicitud probatoria y comisionó su práctica al Tribunal Administrativo del Valle (C2, fls. 864-867). Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 10 38.
El 20 de mayo de 2019, Eduardo Guevara Cano, perito en informática forense de la Policía Nacional, rindió dictamen pericial sobre los discos duros de los equipos de la Beneficencia18. Ambas partes solicitaron su complementación19. En su escrito, el demandante presentó observaciones técnicas elaboradas por TGR20 (CPC, art. 238.7). El perito complementó el dictamen el 5 de abril de 202121.
Posteriormente, ambas partes solicitaron una nueva complementación22, y el demandante adjuntó una segunda opinión técnica para sustentar su solicitud23. El 15 de julio de 2021 se presentó la segunda complementación del peritaje24. 39. El 20 de agosto de 2021, el demandante reiteró la práctica de la inspección judicial y peritaje sobre la plataforma OCCIRED, pruebas que no pudo adelantar el despacho comisionado25.
La Corporación accedió a la solicitud en auto del 22 de abril de 2022. El 27 de febrero de 2024, César Contreras Calderón, perito forense de la Policía Nacional, presentó el dictamen correspondiente26. Se corrió traslado a las partes y el demandante se pronunció27. 40. En los alegatos de conclusión, el demandante reiteró los argumentos expuestos en la apelación sobre los intereses moratorios y se pronunció sobre las pruebas practicadas en segunda instancia28.
En primer lugar, indicó que el dictamen rendido por César Contreras, perito de la Policía Nacional, evidenció que el Banco no tenía control ni dominio sobre el código fuente del sistema OCCIRED, el cual se encontraba tercerizado, circunstancia que no fue informada al cliente y que incrementaba el riesgo operativo. En segundo lugar, señaló que, según ese dictamen, el keylogger fue instalado en los equipos el 21 de noviembre de 2007, mientras que las transacciones fraudulentas se efectuaron el 19 de noviembre.
Agregó que el perito advirtió la ausencia de certeza sobre si dicho programa capturó las contraseñas del cliente. Finalmente, sostuvo que la FGN incurrió en errores procedimentales al recolectar los discos duros, pues no contaba con autorización judicial previa, no presentó los equipos al control de legalidad y utilizó un software que podría alterar los metadatos de los archivos.
Resaltó que el dictamen indicó que los equipos sí tenían antivirus. 41. El demandado reiteró los argumentos expuestos en la contestación y se refirió a las pruebas practicadas en segunda instancia29. Sostuvo que estas acreditaban la presencia de un virus en los equipos de la Beneficencia, instalado físicamente un año antes de las transacciones, y que no cuestionaban la cadena de custodia ni los 18 C. Comisorio, fls. 272-283. 19 C. Comisorio, fls. 284-294; 295-300. 20 C. Comisorio, fls. 284-294. 21 C. Comisorio, fls. 383-401. 22 Exp. digital, docs. 59, 103 y 109. 23 Exp. digital, doc. 59. 24 C. Comisorio, fls. 402-406. 25 Exp. digital, doc. 134. 26 Exp. digital, doc. 233. 27 En su escrito, el demandante indicó que, dado que el experto de la Policía Nacional no tuvo acceso al código fuente del sistema OCCIRED, su trabajo no podía catalogarse como un dictamen pericial, sino como un informe que “carece de fundamentos técnicos, científicos, y de conceptos propios del perito, que lo llevaran a sacar sus propias conclusiones técnicas, y no las conclusiones o conceptos de los funcionarios del Banco de Occidente”, razón por la cual “se debe negar valor probatorio al informe” (Exp. digital, doc. 232). 28 Exp. digital, doc. 282. 29 Exp. digital, doc. 300.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 11 procedimientos seguidos por la FGN, en contraposición a lo dicho por la Beneficencia. Indicó que no existía, para la época de los hechos, una norma que regulara el protocolo de custodia aplicable a computadores y discos duros. 42.
Añadió que la coincidencia entre los informes rendidos por la Fiscalía (2013) y las conclusiones del dictamen elaborado por la Policía Nacional (2021), con herramientas más avanzadas, demostraba que no hubo fallas en la cadena de custodia. Señaló, además, que si bien el dictamen indicó que los equipos contaban con antivirus, también precisó que no estaban actualizados.
En cuanto a los intereses, afirmó que no eran procedentes, ya que los recursos se encontraban en una cuenta corriente sin causación de rendimientos y no se acreditó un daño financiero. Finalmente, aportó la opinión técnica de un experto sobre los informes de la FGN y el dictamen de la Policía. 43. El Ministerio Público rindió concepto en el que solicitó que se confirme la sentencia30.
Indicó que, aunque la Circular 052 de 2007 de la Superintendencia Financiera no estaba vigente para la época de los hechos, al Banco le eran exigibles los estándares de seguridad de la norma técnica NTC ISO/IEC 27001, así como el deber de prevención y control previsto en el Estatuto Orgánico del Sistema Financiero. Añadió que, por la época en la que se practicó el dictamen, no fue posible establecer las condiciones de seguridad del sistema OCCIRED al momento de los hechos. 44.
Por otra parte, expresó que el descuido en la preservación de la clave de acceso y la omisión de imponer restricciones al uso de la plataforma no eximen de responsabilidad al Banco, que tenía el deber de advertir al usuario sobre la necesidad de fijar patrones de seguridad y exigir la instalación de software apropiado para prevenir fraudes.
Añadió que la sola presencia de virus en los equipos no demuestra la culpa de la Beneficencia. Finalmente, indicó que se debía reducir la condena en $19’600.000, por estar acreditado su reintegro, pero no en los $400’000.000 restantes, ante la falta de prueba de su devolución. III. CONSIDERACIONES El objeto de la apelación 45. Corresponde a la Sala determinar si se valoraron indebidamente las pruebas aportadas en la primera instancia o si las practicadas en la segunda acreditan que la pérdida de los fondos es atribuible a la culpa de la Beneficencia. Si se confirma la decisión sobre la declaratoria de responsabilidad contractual del Banco, se establecerá si procede ordenar el pago de intereses moratorios. 46.
La decisión adoptada por el Tribunal partió de la premisa de que el Banco solo podía exonerarse de responsabilidad contractual si acreditaba que se configuró la culpa del cuentahabiente, por lo que no le bastaba demostrar que actuó con diligencia o que el daño no era imputable a su negligencia. Esta interpretación coincide con la jurisprudencia consolidada de la Corte Suprema de Justicia, que ha considerado aplicable un régimen de responsabilidad objetiva a los establecimientos bancarios en controversias sobre la inobservancia de sus obligaciones como depositarios por 30 Exp. digital, doc. 305.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 12 fraudes electrónicos31. Además, no fue objeto de reparo en el recurso de apelación del Banco, lo que impide que la Sala reabra la cuestión. 47. Los reparos formulados en la apelación de la institución financiera se circunscriben a la forma como el a quo valoró las pruebas para sustentar dos conclusiones: (i) la ausencia de elementos que corroboraran la hipótesis fáctica según la cual la conducta del cuentahabiente fue la causa determinante del daño y (ii) la existencia de fallas de seguridad en el sistema OCCIRED y la carencia de mecanismos de prevención del fraude electrónico.
En consecuencia, la Sala se ocupará de verificar si la valoración probatoria efectuada en primera instancia resulta jurídicamente sostenible frente a los cuestionamientos del Banco. Posteriormente, estudiará —directamente y no mediada por la valoración del Tribunal— si las pruebas practicadas en segunda instancia justifican modificar la decisión adoptada. 31 En el año 2016, la Corte Suprema de Justicia abordó el régimen de responsabilidad aplicable a los establecimientos bancarios en controversias sobre fraude electrónico, planteando las siguientes conclusiones: “De ahí que atendiendo la naturaleza de la actividad y de los riesgos que involucra o genera su ejercicio y el funcionamiento de los servicios que ofrece; el interés público que en ella existe; el profesionalismo exigido a la entidad y el provecho que de sus operaciones obtiene, los riesgos de pérdida por transacciones electrónicas corren por su cuenta, y por lo tanto, deben asumir las consecuencias derivadas de la materialización de esos riesgos a través de reparar los perjuicios causados, y no los usuarios que han confiado en la seguridad que les ofrecen los establecimientos bancarios en la custodia de sus dineros, cuya obligación es apenas la de mantener en reserva sus claves de acceso al portal transaccional. | Desde luego que consumada la defraudación, el Banco para exonerarse de responsabilidad, debe probar que esta ocurrió por culpa del cuentahabiente o de sus dependientes, que con su actuar dieron lugar al retiro de dinero de la cuenta, transferencias u otras operaciones que comprometieron sus recursos, pues amén de que es este quien tiene el control de mecanismo que le permiten hacer seguimiento informático a las operaciones a través de controles implantados en los software especializados con los que cuentan, la culpa incumbe demostrarla a quien la alegue (art. 835 C.Co.), pues se presume la buena fe «aún la exenta de culpa»”.
C.S.J., Cas. Civil. Sent. SC18614-2016, dic. 19/2016. M.P. Ariel Salazar Ramírez. La postura se consolidó, en el año 2020, en sentencia del 18 de diciembre, que indicó lo siguiente: “2.5.No obstante, en tratándose de la inobservancia de sus obligaciones como depositario (o como administrador sucedáneo de esos depósitos, que es lo que sucede en este caso), se justifica plenamente la aplicación de un régimen de responsabilidad objetivo en contra del ente bancario, aun cuando la infracción negocial no se materialice a través del pago de un cheque falsificado o adulterado | Estas imposiciones legales y reglamentarias, proporcionales a los enormes riesgos morales, operativos, de crédito, de seguridad, entre otros, que son connaturales al giro de los negocios bancarios, muestran que las entidades financieras asumen con la sociedad un compromiso de evitación de esas amenazas, de modo que serán aquellas quienes deban responder si estas se materializan, sin ninguna consideración adicional | Y es que, en casos como este, la atribución de responsabilidad no puede depender de un juicio subjetivo de reproche.
Si aun a pesar de la extrema probidad, diligencia y profesionalismo que es de esperar de un banco, los dineros depositados por sus clientes sufren mengua, no deben ser estos quienes soporten la pérdida, pues más allá de su esfera individual de influencia, carecen de las herramientas para enfrentar esa eventualidad. | El cuentahabiente no custodia el dinero depositado, ni participa de las decisiones operativas del banco.
Además, no tiene acceso a la información necesaria para afrontar peligros como los anotados, ni le resulta económicamente razonable hacerlo, pues los costos de esa faena serán, casi invariablemente, superiores a la pérdida que pretende prevenir; en cambio, para el banco la situación es exactamente la opuesta, lo que justifica que sea él quien asuma el riesgo de su operación, de manera objetiva | 2.7.
Cabe formular una reflexión adicional. Si se miran bien las cosas, el cheque incluye mecanismos de autenticación, como las características del papel en el que está preimpreso, el número de serie y, por supuesto, la firma del librador. En consecuencia y dejando a salvo las hipótesis excepcionales que engloban los artículos 733 y 1391 del Código de Comercio, cuando se cobra un cheque falsificado o adulterado ha de admitirse que esas herramientas no cumplieron su propósito, lo cual constituye una infracción contractual del banco, que permite imputarle el menoscabo patrimonial sufrido por el cuentacorrentista.
Esa misma estructura puede replicarse en los demás supuestos de fraude bancario, pues realmente solo difieren en el canal transaccional utilizado para perpetrar la apropiación ilícita (y de los mecanismos de autenticación vulnerados). Por ende, también se justifica aplicar analógicamente el régimen de responsabilidad consagrado, de manera general, en el citado canon 1391, que es de naturaleza objetiva, y que, como ya se anotó, únicamente se desvirtúa acreditando que la pérdida no puede atribuirse jurídicamente al incumplimiento de la institución financiera”.
C.S.J., Cas. Civil, Sent. SC5176-2020, dic. 18/2020, M.P. Luis A. Rico Puerta. Rad. 11001-31-03- 028-2006-00466-01. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 13 Los informes de la FGN, los experticios elaborados por TGR y el testimonio de Néstor Toro 48.
La conclusión de la sentencia de primera instancia sobre la ausencia de culpa de la Beneficencia se fundamentó en tres medios de prueba que, según la apelación del Banco, fueron indebidamente valorados: (i) los informes de la FGN, (ii) los informes de TGR y (iii) el testimonio de Néstor Toro. Por ende, la Sala procederá a examinar la naturaleza de estos medios de prueba y su fuerza demostrativa. 49.
En relación con los informes de la FGN, la Sala nota que su incorporación al expediente se produjo por una solicitud probatoria de la Beneficencia32. El Tribunal ofició a la Fiscalía 49 Seccional de Cali y al Cuerpo Técnico de Investigación (en adelante, “CTI”) para que remitieran los documentos que conformaban el expediente penal No. 76001600019320078509333, abierto a raíz de la denuncia interpuesta por el gerente de la Beneficencia, el 21 de noviembre de 2011, una vez tuvo conocimiento de las transacciones fraudulentas34. 50.
La FGN remitió los documentos, los cuales fueron incorporados al expediente en abril de 201335. Según un informe rendido por el fiscal encargado del caso36, para octubre de 2018 el proceso penal identificado con ese radicado se cerró, dado que se profirió sentencia condenatoria ejecutoriada como resultado de un preacuerdo celebrado con Edna Margarita Velilla, quien reconoció su responsabilidad penal por haber recibido parte de los dineros sustraídos de las cuentas de la Beneficencia37.
De conformidad con estos mismos documentos, se presentaron dos rupturas de unidad procesal, las cuales dieron lugar a procesos penales con radicados distintos. Por una parte, el identificado con No. 760016000000200800197, que se encontraba pendiente de audiencia preparatoria; y por la otra, el proceso No. 760016000000201600429, que permanecía en etapa de indagación preliminar38. 51.
Durante la etapa de investigación penal, antes de que se produjera la ruptura de unidad procesal, la FGN sometió a cadena de custodia cuatro computadores de la Beneficencia39 y los investigadores de campo del CTI elaboraron varios informes 32 C1, fl. 379. 33 C1A, 442-443, 446-447. 34 C1, fl. 61. 35 C1A, fl. 468; C. Pruebas, fls. 132-622. 36 C. Comisorio, fls. 131-132. 37 Según la información obrante en el plenario, la señora Velilla “facilitó la cuenta de su hijo” para que le consignaran $19’600.000, motivo por el cual fue imputada como cómplice del delito de hurto.
No obstante, no se precisaron otras circunstancias relevantes sobre la forma de ejecución del ilícito. Dado que restituyó la suma recibida y atendiendo a su condición de madre cabeza de familia —cuyo único sustento proviene de su trabajo como empleada del servicio—, entre otras razones, se aceptó la suscripción de un preacuerdo que puso fin a la acción penal (C. Pruebas, fl. 158A, CD 1, audios 1 a 3). 38 C. Comisorio, fl. 131. 39 Según los informes de la FGN, inicialmente se incautaron los computadores de los funcionarios Leonor Abadía, Rogelio Díaz, y Héctor Banguero.
Según el informe de la FGN del 21 de enero de 2018: “los equipos de cómputo de la Beneficencia del Valle fueron entregados voluntariamente por parte del gerente para esa época Dr. Héctor Guillermo Banguera. Una vez recibido el computador (…) a cargo del señor Rogelio Díaz (…) el equipo se sometió al análisis forense. (…) Una vez recibido el computador (…) a cargo de la señora Leonor Abadía (…) el equipo se sometió al análisis forense.
(…) Una vez recibido el computador (…) a cargo del señor Héctor Guillermo Banguero (…) el equipo se sometió al análisis forense. (…) Los equipos se encuentra en el almacén tránsito del Laboratorio Forense debidamente embalados y rotulados con su debida cadena de custodia. (…)” (C1, fls. 349-351). Posteriormente, se incautó un cuarto equipo que era necesario para la investigación, según indica el mismo informe: “Era necesario solicitar el servidor central de la Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 14 técnicos sobre dichos equipos.
Entre estos se encuentran los dos documentos a los que hizo referencia la sentencia de primera instancia: el primero, del 21 de enero de 200840, y el segundo, del 14 de abril de 200941. Tales informes —en los que el Banco fundó su defensa para atribuir la culpa al cuentahabiente— fueron elaborados en la fase de investigación que se inició con la denuncia presentada ante la FGN y en ejercicio de la función de policía judicial que ejerce el CTI. 52.
La Ley 906 de 2004 —Código de Procedimiento Penal (en adelante, “CPP”)— regula, en sus artículos 209 y 210, los informes que pueden elaborar los investigadores de campo42 o de laboratorio43 en ejercicio de funciones de policía judicial. En cuanto a su naturaleza jurídica, la Sala de Casación Penal de la Corte Suprema de Justicia ha señalado que dichos informes constituyen medios cognoscitivos propios de la fase de indagación e investigación penal, pero no tienen la connotación de prueba —en sentido técnico dentro del proceso penal— mientras no hayan sido sometidos a contradicción en audiencia pública de juicio oral44.
No obstante, pueden servir de fundamento para decisiones procesales preliminares, como la formulación de imputación. 53. Los documentos del expediente relacionados con los procesos penales identificados con los radicados Nos. 760016000000200800197 y 760016000000201600429 no evidencian que se hubiera avanzado hasta la fase de juicio oral, ni permiten establecer si se atribuyó o no responsabilidad penal a los sujetos investigados por los hechos relacionados con el fraude bancario del que fue víctima la Beneficencia. Por otra parte, respecto de la señora Edna Margarita Velilla, los documentos incorporados al expediente por orden del Tribunal —que incluyen los audios de las diligencias judiciales de aprobación del preacuerdo y de lectura de Beneficencia para revisar los logs del registro de usuarios que han tenido acceso al sistema y hubieran navegado.
Así las cosas, el ingeniero José Manuel Moreno Sierra, previa acta de consentimiento, hizo entrega del equipo (…) el cual se embala, rotura (sic) con su respectiva cadena de custodia” (C1, fls. 349-351, 360). 40 C. Pruebas, fls. 149-158 41 C. Pruebas, fls. 513-554. 42 Ley 906 de 2004, art. 209: “Informe de investigador de campo. El informe del investigador de campo tendrá las siguientes características: a) Descripción clara y precisa de la forma, técnica e instrumentos utilizados en la actividad investigativa a que se refiere el informe; | b) Descripción clara y precisa de los resultados de la actividad investigativa antes mencionada; | c) Relación clara y precisa de los elementos materiales probatorios y evidencia física descubiertos, así como de su recolección, embalaje y sometimiento a cadena de custodia; | d) Acompañará el informe con el registro de las entrevistas e interrogatorios que hubiese realizado”. 43 Ley 906 de 2004, art. 210: “Informe de investigador de laboratorio.
El informe del investigador de laboratorio tendrá las siguientes características: a) La descripción clara y precisa del elemento material probatorio y evidencia física examinados; | b) La descripción clara y precisa de los procedimientos técnicos empleados en la realización del examen y, además, informe sobre el grado de aceptación de dichos procedimientos por la comunidad técnico-científica; | c) Relación de los instrumentos empleados e información sobre su estado de mantenimiento al momento del examen; | d) Explicación del principio o principios técnicos y científicos aplicados e informe sobre el grado de aceptación por la comunidad científica; | e) Descripción clara y precisa de los procedimientos de su actividad técnico-científica; | f) Interpretación de esos resultados. 44 “El modelo de enjuiciamiento penal implementado por la Ley 906 de 2004 entiende por prueba únicamente la que ha sido producida y sometida a debate ante el juez de conocimiento en el juicio oral, y la incorporada anticipadamente en audiencia preliminar ante un juez de garantías, en los casos y en las condiciones excepcionales previstas en el código (…) | [E]s posible utilizar cualquiera de los medios cognoscitivos permitidos por el código en las fases de la indagación e investigación, y también, los que hayan adquirido la entidad de prueba en los términos exigidos por la nueva normatividad, es decir, los que hayan sido aportados y debatidos en el desarrollo de un juicio oral.
En el grupo de los medios cognoscitivos propios de las fases de indagación e investigación el código incluye cinco categorías: (i) los elementos materiales probatorios y evidencia física, (ii) la información, (…) | La información comprende los denominados informes de investigador de campo y de investigador de laboratorios, conocidos también como informes policiales e informes periciales, de que tratan los artículos 209 y 210 del código (…)”.
C.S.J., Cas. Penal, auto rad. 29.626, oct. 15/2008- Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 15 sentencia45— acreditan que dicha procesada reconoció su responsabilidad en los delitos imputados por el fraude electrónico a la Beneficencia46.
Asimismo, demuestran que el preacuerdo fue celebrado antes de la presentación de la imputación de cargos. En el expediente no hay evidencias de la participación de funcionarios de la Beneficencia o el Banco en la comisión del delito. 54. Dado que no hay constancia de que los informes de la FGN, elaborados en la etapa de investigación que dio origen a los procesos penales citados, hubieran sido sometidos a contradicción, no reúnen las condiciones para ser tratados como prueba trasladada, en los términos previstos en el artículo 185 del CPC47.
Su eficacia para fundamentar inferencias probatorias depende de su valoración en conjunto con los otros medios de prueba de este proceso. En este orden de ideas, y en la medida que se aportaron copias auténticas, la Sala los valorará como documentos, sin que esto implique desconocer que por sus particulares características, constituyen medios cognoscitivos propios de la fase de indagación e investigación penal, producidos por un titular de la función de policía judicial. 55.
Ahora bien, en relación con los informes de TGR —con fundamento en los cuales el Tribunal concluyó que los informes de la FGN no eran suficientemente fiables—, se advierte que en el trámite de primera instancia, la Beneficencia aportó dos documentos suscritos por Néstor Toro Caicedo, en su calidad de gerente de TGR, presentándolos como informes técnicos de expertos “por permitirlo el artículo 18 de la Ley 794 de 2003 [que modificó el artículo 183 del CPC] y la sentencia de constitucionalidad C-798 de 2003”48.
El primero se allegó con la demanda49 y el segundo con la adición a la misma50, por lo que su incorporación fue oportuna. 56. El artículo 183 del CPC contemplaba la posibilidad de que las partes allegaran a los procesos judiciales experticios emitidos por instituciones o profesionales especializados51. Estos informes, que se incorporan bajo las mismas reglas de las pruebas documentales, son elaborados fuera del proceso por profesionales contratados por las partes —y no designados por el juez—, motivo por el cual su contradicción no se rige por las reglas del dictamen pericial, ni se ejerce dentro del término de traslado de tres días previsto en el numeral 1º del artículo 238 del CPC52. 45 El preacuerdo es un mecanismo de justicia consensuada mediante el cual un procesado acepta su responsabilidad penal a cambio de un tratamiento jurídico y punitivo menos severo.
Todo preacuerdo debe estar respaldado en elementos materiales probatorios que acrediten los hechos jurídicamente relevantes en los que se fundamenta (CPP, art. 348). Tan es así que el acuerdo debe presentarse ante el juez de conocimiento para su aprobación, en la misma forma de un escrito de acusación (CPP, art. 350), lo que implica que la Fiscalía solo puede celebrar preacuerdos cuando cuente con evidencias suficientes para formular acusación. 46 C. Pruebas, fol. 158, CD 1, audios 1 a 3. 47 CPC, art. 185: “Prueba Trasladada.
Las pruebas practicadas válidamente en un proceso podrán trasladarse a otro en copia auténtica, y serán apreciables sin más formalidades, siempre que en el proceso primitivo se hubieren practicado a petición de la parte contra quien se aduce o con audiencia de ella”. 48 C1, fl. 242. 49 C1, fl. 242. 50 C1, fl. 383. 51 CPC, art. 183: “Oportunidades probatorias.
Para que sean apreciadas por el juez las pruebas deberán solicitarse, practicarse e incorporarse al proceso dentro de tos términos y oportunidades señalados para ello en este código. // Cualquiera de las partes, en las oportunidades procesales para solicitar pruebas, podrá presentar experticios emitidos por instituciones o profesionales especializados.
De existir contradicción entre varios de ellos, el juez procederá a decretar el peritazgo correspondiente. (…)”. 52 “[L]as experticias técnicas que hacen referencia éstas no son los mismos dictámenes periciales regulados en los artículos 233 a 242 del Código de Procedimiento Civil, ni los informes técnicos de entidades y Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 16 Aunque no pueden equipararse a la prueba pericial, constituyen opiniones técnicas que siempre que hayan sido aportadas oportunamente, deben ser valoradas conforme a las reglas de la sana crítica para fundamentar las inferencias probatorias sobre las hipótesis fácticas en conflicto, sin ser reducidas a simples alegaciones de parte53. 57.
Precisada la naturaleza jurídica de los experticios aportados por la Beneficencia y elaborados por TGR54, la Sala advierte que fueron suscritos por el señor Néstor Toro Caicedo, quien firmó los documentos en condición de gerente de esa sociedad55. Sin embargo, tal condición no fue acreditada con los documentos exigidos dentro de las oportunidades probatorias legalmente previstas, en particular, con el certificado de existencia y representación legal expedido por la Cámara de Comercio del domicilio principal de la sociedad, conforme con el artículo 117 del Código de Comercio.
Tampoco se aportaron documentos que permitieran establecer el objeto social de TGR ni las actividades que esta había desarrollado en materia de seguridad informática antes de la proyección de los experticios. 58. Si bien el artículo 183 del CPC no exigía expresamente la acreditación de la idoneidad del autor del experticio como condición para su admisibilidad, la omisión de ese requisito sí incide negativamente en la credibilidad de este tipo de elementos de juicio.
Para que el juez pueda conferir valor probatorio a la opinión técnica de un tercero sobre los hechos jurídicamente relevantes, resulta indispensable que cuente con bases objetivas que permitan verificar su idoneidad, máxime cuando, a diferencia de la regulación del dictamen pericial (CPC, art. 236.3), sus autores no declaran bajo la gravedad de juramento poseer los conocimientos necesarios para rendir su opinión. En ausencia de esa información, no es posible establecer cuáles son las credenciales del sujeto que lo habilitan para emitir un concepto especializado sobre la materia debatida; tampoco es factible examinar sus antecedentes profesionales que acrediten el conocimiento teórico en la ciencia, técnica o arte pertinente al caso, ni evaluar su experiencia en el manejo de los instrumentos o metodologías aplicables al área específica del experticio56. dependencias oficiales que reglamenta el artículo 243 del mismo estatuto procesal, por cuanto no se practican por mandato judicial, ni en el curso de una actuación judicial que impliquen intervención del juez, ni están sometidos a las ritualidades de posesión, recusaciones e impedimentos que sí se exigen para los peritos.
Por el contrario, este tipo de pruebas se origina en un encargo de la parte que lo escoge y sin la intervención judicial que delimite su práctica y su contenido, pues ello corresponde a una solicitud previa al proceso. | La incorporación de los conceptos técnicos se efectúa válidamente de la misma manera que se aportan al proceso las demás pruebas documentales, puesto que el Código de Procedimiento Civil expresamente señala que podrán ser aportados en las oportunidades procesales correspondientes para solicitar pruebas (demanda, complementación de la demanda, solicitud de excepciones, contestación de la demanda y escrito que contesta las excepciones). | En cuanto a la contradicción de los conceptos técnicos se tiene que no se ejerce mediante el traslado de 3 días, como ocurre en la prueba pericial, sino en las oportunidades previstas en el procedimiento para que la contraparte manifieste su oposición y sus razones para restar credibilidad al mismo” Corte Const., sent.
T-417 de 2008, abr. 30/218, M.P. Marco G. Monroy [fundamento jurídico 15]. 53 Al respecto, ver: C.E., Secc. Tercera, exp. 34.086, sep. 28/2015, C.P. Danilo Rojas [fundamento jurídico 10]. 54 Ver pie de página No. 12. 55 C1, fls. 151-155; C1, fls. 368-370. 56 La doctrina señala al respecto: “Se observa que aun cuando la norma no lo exige, resulta conveniente que en él se adicionen los datos y cualificaciones profesionales, experiencia, etc., de su autor en orden a dar mayor soporte al mismo.
Estimamos que cuando la norma indica que puede provenir de “profesionales especializados” hace referencia a personas dedicadas profesionalmente a la actividad respectiva pero no puede colegirse que necesariamente tiene que ser una persona graduada en la universidad, como una precipitada interpretación de la norma pudiera sugerir” López Blanco, Hernán F., Instituciones de Derecho Procesal Civil Colombiano, Tomo III: Pruebas, Dupre Editores Ltda., Bogotá – 2001, p. 242.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 17 59. Además de la omisión señalada, que compromete la fiabilidad de los informes suscritos por TGR, la Sala considera que su contenido carece de solidez y no ofrece una conclusión suficientemente fundamentada sobre la presunta ruptura de la cadena de custodia que se habría producido respecto de los discos duros de la Beneficencia, aspecto que constituyó el fundamento central para que el Tribunal desestimara los informes elaborados por la FGN. 60.
La cadena de custodia ha sido definida como “el conjunto de medidas que tienen como fin preservar la identidad o integridad de los elementos materiales probatorios o evidencia física y asegurar el poder demostrativo de la prueba”57. En línea con esa definición, el artículo 254 del CPP establece que su finalidad consiste en demostrar la autenticidad de dichos elementos, atendiendo a los factores de identidad, estado original, condiciones de recolección, preservación, embalaje y envío58.
A la luz de este marco normativo, se examinarán las manifestaciones contenidas en los informes rendidos por TGR sobre la situación de los discos duros incautados por la FGN. 61. El experticio de TGR del 21 de enero de 2008, aportado con la demanda, no contiene ninguna consideración sobre la cadena de custodia respecto de los discos duros de la Beneficencia. En contraste, el del 9 de agosto de 2010, allegado con la adición de la demanda, señala que “existen indicios que la Cadena de Custodia de los discos duros de los equipos incautados (Equipos de los señores Rogelio, Leonor y banquero y posteriormente un servidor) no fue respetada invalidándola como evidencia”.
En este documento, de apenas tres páginas, se formularon cuatro señalamientos relacionados con presuntas irregularidades en la cadena de custodia de los discos duros. 62. El primer señalamiento es el siguiente: “[A]parece un informe del día 21 de enero del 2008 donde reconocen haber trabajado sobre los discos mencionados, pero el informe forense de creación de los Hashes es del 14 de febrero del 2008.
Haber intervenido los discos sin respetar los pasos señalados ES UNA CLARA VIOLACIÓN DE LA Cadena de Custodia”59. Ahora bien, al revisar el informe del 21 de enero de 2008 de la FGN, se advierte que en él se reflejó el análisis de la dirección IP60 utilizada por cada computador, mas no los resultados de la manipulación de los discos duros.
El informe de la FGN dice lo siguiente: "2.- UNA VEZ RECIBIDO EL COMPUTADOR MARCA HP COMPAQ DX 2200, SERIAL MXD61101J8, CON PLACA DE INVENTARIO DE LA BENEFICENCIA DEL VALLE 002001, EL CUAL ESTABA PARA ESA FECHA A CARGO DE LA SEÑORA LEONOR ABADIA. 57 C.S.J., Cas. Penal, exp. 30.598, feb. 19/2009, M.P. María del Rosario González de Lemos y C.S.J., Cas.
Penal, exp. 45.469, abr. 29/2015, M.P. Eyder Patiño Cabrera. 58 Cfr. Ley 906 de 2004, art. 254. 59 El "hash" es una secuencia alfanumérica que se genera al aplicar una función matemática (llamada función hash o función de resumen) a un conjunto de datos, de modo que los datos se transforman en una cadena de caracteres que constituye una especie de 'huella digital” de los datos originales.
El dictamen pericial que obra en el plenario define este elemento así: “Hash o funciones de resumen son algoritmos que crean a partir de una entrada (ya sea texto, una contraseña o un archivo) una salida alfanumérica de longitud normalmente fija que representa un resumen de toda la información que se ha dado (es decir a partir de los datos de la entrada crea una cadena que solo puede volverse a crear con esos mismos datos)” Exp.
Digital, doc.184, p. 14. 60 La dirección IP (Dirección de Protocolo de Internet) es número de identificación único que identifica un dispositivo conectado a una red de internet. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 18 EL EQUIPO SE SOMETIÓ AL ANÁLISIS FORENSE, ENCONTRÁNDOSE QUE LA DIRECCIÓN IP QUE SE CONECTABA A LA RED INTERNA A LA BENEFICENCIA ES 190.200.100.33 CON UNA MÁSCARA DE ENTRADA DE 255.255.0.0 Y UN DNS PREFERIDO 190.200.100.136.
CON ESTA INFORMACIÓN LOS FUNCIONARIOS DE LA BENEFICENCIA SE CONECTABAN A LA RED Y A INTERNET. NO SE HALLÓ INFORMACIÓN ELIMINADA, BORRADA U OCULTADA. (…) LOS EQUIPOS SE ENCUENTRAN EN EL ALMACÉN TRÁNSITO DEL LABORATORIO FORENSE DEBIDAMENTE EMBALADOS Y ROTULADOS CON SU DEBIDA CADENA DE CUSTODIA”61 (Énfasis añadido). 63. La anterior observación fue confirmada en el dictamen pericial practicado en segunda instancia —cuyo contenido será valorado detalladamente en un apartado posterior—, en los siguientes términos: “De igual manera informo al despacho que el informe de Investigador de campo del 21 de Enero de 2008, tiene como objeto de diligencia ‘Realizar inspección a los equipos de cómputo de la Beneficencia del valle, específicamente al servidor central de la institución’ por lo cual no se realiza análisis forense a los discos duros de los equipos de cómputo de Leonor y Rogelio dicho informe de campo se refiere a realizar análisis al origen de cómo se ingresó a la página OCCIRED, para realizar transacciones bancarias.
(www.bancodeoccidente.com.co OCCIRED)”62 (Énfasis añadido). 64. Según el informe elaborado por la FGN el 14 de abril de 2009, el análisis técnico y la manipulación de los discos duros incautados se realizó por primera vez en febrero de 2008, momento en el cual se generaron los respectivos valores hash a los que hizo referencia el documento de TGR63.
En consecuencia, la Sala no considera que este primer señalamiento constituya una prueba concluyente de la ruptura de la cadena de custodia. 65. El segundo señalamiento formulado por TGR fue el siguiente: “En informe [de la FGN] de 21/ENE/2008 se detalla literalmente una Descripción Clara y Precisa de la Forma, Técnica e Instrumentos utilizados para la realización de un análisis forense sobre los equipos de cómputo involucrados.
Sin embargo, no existe un informe técnico detallado anexo a este informe de campo para garantizar la integridad de la evidencia hasta la fecha del primer informe, ni existe un documento técnico oficial detallando la toma de información de los equipos incautados, tal como la fecha y hora de la BIOS, los hashes MD5 y SHA1 de los discos en el momento de la incautación. Además, se carece de cualquier información de la adquisición de imágenes de disco para propósitos forenses en los equipos relacionados para este fin.
Pasos fundamentales en la Cadena de Custodia de las evidencias informáticas”64. 66. La Sala no considera que las bases de este señalamiento sean sólidas ni que los fundamentos de la crítica sean suficientemente exhaustivos. En primer lugar, no se indicó qué disposición jurídicamente obligatoria se habría desconocido al no haberse anexado un documento con esa información, la cual no era exigida expresamente en 61 C1, fls. 349-351.
Esta misma información se replicó al analizar los otros dos equipos incautados inicialmente, a cargo de Rogelio Díaz y Héctor Banguero. 62 C. Comisorio, fl. 404A. 63 C. pruebas, fls. 518-533. 64 C1, fl. 368. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 19 el CPP respecto de evidencias digitales.
En segundo lugar, como se precisó anteriormente, los informes de la FGN señalaron que la intervención técnica sobre los discos duros —incluida la generación de valores hash— no tuvo lugar el 21 de enero de 2008, fecha en la que únicamente se identificaron las direcciones IP, sino en una fecha posterior. En tercer lugar, si bien el experticio afirma que no se habrían seguido los “pasos” fundamentales de la cadena de custodia de las evidencias informáticas, no precisa, con fundamento en normas jurídicas o protocolos técnicos reconocidos —y no en apreciaciones personales—, cuáles eran esos pasos ni cuáles se omitieron.
Finalmente, el documento de TGR no analizó expresamente los apartados del informe del 21 de enero de 2008 de la FGN que hacían referencia a la cadena de custodia: “EL EQUIPO FORENSE POSEE HERRAMIENTAS LICENCIADAS PARA LOGRAR EXTRAER O RECUPERAR INFORMACIÓN ELIMINADA, PERDIDA, BORRADA, OCULTADA EN LOS MEDIOS DE ALMACENAMIENTO COMO DISCOS DUROS, MEMORIAS USB, UNIDAD DE CD ROOM, DISCOS FLEXIBLES.
(…) LOS EQUIPOS SE ENCUENTRAN EN EL ALMACÉN TRÁNSITO DEL LABORATORIO FORENSE DEBIDAMENTE EMBALADOS Y ROTULADOS CON SU DEBIDA CADENA DE CUSTODIA”65. 67. La Sala no pasa por alto que la mención a la cadena de custodia en el informe del 21 de enero de 2008 es sucinta, pero ello no permite inferir, por sí solo, que se haya producido una ruptura en su preservación. Este atributo del documento puede ser valorado al ponderar individualmente la fuerza demostrativa del informe de la FGN, pero no aporta ninguna corroboración empírica que respalde la hipótesis de una alteración en la cadena de custodia. 68.
En lo que respecta al informe de laboratorio del 14 de abril de 2009 —documento que efectivamente presentó los resultados del análisis practicado sobre los discos duros de la Beneficencia—, la crítica formulada en el dictamen de TGR carece de fundamento. En ese informe, la FGN explicó de manera detallada el conjunto de actividades y procedimientos implementados para preservar la identidad e integridad de los discos duros.
En primer lugar, se consignó lo siguiente: “SE UTILIZÓ HERRAMIENTAS FORENSES LICENCIADAS PARA ESTE ANÁLISIS. (…) DICHOS EQUIPOS FUERON EMBALADOS Y ROTULADOS TODO BAJO LA DEBIDA CADENA CUSTODIA DE ACUERDO A LOS PROCEDIMIENTOS DE RECOLECCIÓN DE EVIDENCIAS. ALOJADOS LOS EQUIPOS EN EL LABORATORIO FORENSE SE PROCEDIÓ A SER ANALIZADOS CON LAS HERRAMIENTAS LICENCIADAS PARA ESTE TIPO DE ANÁLISIS, ESTAS HERRAMIENTAS SON AVALADAS POR LA FISCALÍA GENERAL DE LA NACIÓN Y CERTIFICADAS A NIVEL INTERNACIONAL PARA ESTE TIPO DE PERITAJE, COMO SON FTK Y ENCASE”66. 69.
Adicionalmente, el informe fue acompañado por un documento titulado “Laboratorio Forense del Cuerpo Técnico de Investigación – Seccional Cali”, en el cual se consignó de manera detallada el procedimiento realizado sobre cada uno de los discos duros67. 65 C1, fl. 349. 66 C1, fls. 363-364. 67 C. pruebas, fls. 518-533. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 20 “Se tomó una imagen del disco duro de Leonor, la imagen tiene el nombre LEONOR1 de un disco que constituía la evidencia de un caso.
La información de adquisición del disco es la siguiente: (…) El día 30 de julio de 2008, la imagen de este disco fue agregada al software Encase 6.8.0.51 donde se observó que solo había una partición activa con la letra de unidad C y tamaño 74.5 GB, la información del reporte de esta es la siguiente: (…) Una vez que se determinó la partición activa del sistema, se usó la herramienta PDE (Phisical Disk Emulator) de Encase a través de la cual se montó la parición C de la imagen del disco LEONOR1, como se muestra en la siguiente gráfica: (…).
Esto se hizo con el fin de usar diferentes herramientas para la detección de alguna clase de software malicioso. Una de las herramientas usadas fue el Anti-spyware Ad-Aware 2007 Pro con patrón de definiciones actualizado el 30 de julio, pero no se encontró ninguna clase de virus, troyanos o software espía; el screenshot tomado de los resultados de análisis con este software fue: (…).
Luego de esto se usó la herramienta de Software Trend Micro Office Scan Client for Windows 8.0 actualizado el día 30 de julio para encontrar virus/malware dentro de la partición que mediante Encase fue montada en la máquina forense; este análisis arrojó los siguientes resultados: (…) Como se puede observar se encontraron dos herramientas de software espía una es el TROJ_PERFLOGER.E y TORJ_Generic, que corresponden a un keylogger y a un troyano de amenaza baja.
Luego se realizó el análisis Spyware/Grayware con Trend Micro Office Scan 8.0 pero en esta ocasión no se encontró ninguna clase de spyware/grayware además de lo que ya se había detectado con la búsqueda anterior de Virus/Malware”68. 70. En los experticios aportados por la Beneficencia, TGR sencillamente llamó la atención sobre “los tiempos de adquisición del log original de adquisición de Encase y el log de adquisición al agregar la imagen al caso”.
No obstante, no formuló un reproche técnico concreto respecto del procedimiento empleado por el investigador de campo, ni identificó un error en el orden de las actuaciones o en las herramientas utilizadas. En consecuencia, la Sala considera que los fundamentos de este segundo señalamiento no ofrecen un análisis suficientemente preciso ni detallado para sustentar que se produjo una vulneración de la cadena de custodia que invalide los informes de la FGN. 71.
El tercer señalamiento formulado por TGR en relación con la cadena de custodia se refiere al registro de una actividad, con fecha del 15 de diciembre de 2007, en uno de los elementos analizados. Esta entrada evidenciaría la ruptura de dicha cadena, ya que los equipos fueron incautados a finales de noviembre de ese mismo año: “En aparte del informe [de la FGN] del 21 de Enero de 2008 se especifica claramente que ‘SE REVISÓ EL SISTEMA OPERATIVO LINUX Y ENCONTRÓ QUE HA SIDO BORRADO EL LOG DE REGISTROS, SOLO APARECE EL LOG DE REGISTRO DESDE EL 15 DE DICIEMBRE DE 2007’.
Habida cuenta que la incautación de los equipos se realizó en los últimos días de noviembre del 2007, no existe un motivo para que existiesen registros de fechas en el futuro (tal y como lo serían del 15 de diciembre). Es decir, un sistema que ha sido debidamente puesto en cadena de custodia nunca deberá ser encendido ni generar nuevos logs con posterioridad a la fecha de incautación, de modo que la existencia de LOGS posteriores a la misma es una clara evidencia de violación de la cadena de custodia”69. 72.
A diferencia de lo afirmado por TGR, la Sala advierte que sí existía una justificación para el registro con fecha del 15 de diciembre de 2007. Dicho registro no corresponde a los computadores incautados inicialmente a los funcionarios Leonor Abadía 68 C. Pruebas, fls. 518-525. Se encuentra un análisis similar frente a los discos duros a nombre de Rogelio Díaz y Héctor Banguero (C. Pruebas, fls. 526-533) 69 C1, fl. 368 Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 21 (tesorera), Rogelio Díaz (director financiero) y Héctor Banguero (gerente) —sobre los cuales se practicó el análisis forense que sustentó la defensa del Banco—, sino a un equipo adicional incautado posteriormente.
El informe de la Fiscalía del 21 de enero de 2008 señaló que, previa solicitud escrita, el 6 de diciembre de 2007, el CTI recibió la información sobre la dirección IP pública asignada a la Beneficencia, lo que llevó a requerir el servidor central de la entidad, con el fin de identificar los usuarios que habrían accedido a la red desde dicha IP.
En este equipo —distinto de los tres discos duros embalados en noviembre de 2007— se registró actividad con fecha del 15 de diciembre, como consta en el citado informe: “SE SOLICITA MEDIANTE OFICIO DE DICIEMBRE 04 DE 2007 A INTERCONEXIÓN ELÉCTRICA ISA LOS DATOS BIOGRÁFICOS DEL SUSCRITOR DE LA IP 200.24.5.179. MEDELLÍN SE INFORME OBTENIENDO RESPUESTA EL 06 DE DICIEMBRE DE 2007 QUE EL PROPIETARIO DE LA IP ES LA BENEFICENCIA DEL VALLE DEL CAUCA NIT 890399027-0, NÚMERO TELEFÓNICO 8805653, DIRECCIÓN CALLE 9 NO 4-50 PISO
6. TENIENDO EN CUENTA QUE LA IP PÚBLICA ASIGNADA POR FLYCOM 200.24.5.179, LE PERTENECE A LA 'BENEFICENCIA DEL VALLE PARA ACCEDER A INTERNET, DE ACUERDO AL OFICIO ENVIADO POR ISA. POR LO ANTERIOR ERA NECESARIO SOLICITAR EL SERVIDOR CENTRAL DE LA BENEFICENCIA PARA REVISAR LOS LOG DEL REGISTRO DE USUARIOS QUE HAN TENIDO ACCESO AL SISTEMA Y QUE HUBIEREN NAVEGADO.
ASÍ LAS COSAS EL INGENIERO JOSÉ MANUEL MORENO SIERRA, PREVIA ACTA DE CONSENTIMIENTO HIZO ENTREGA DEL EQUIPO HP PROLIATA ML 110 COLOR NEGRO S/N: 2UX703023W, AL CUAL SE EMBALA, ROTURA CON SU RESPECTIVA CADENA DE CUSTODIA SE LLEVA AL LABORATORIO FORENSES DE LA FISCALÍA GENERAL DE LA NACIÓN CUERPO TÉCNICO DE INVESTIGACIÓN PARA A HACER ANALIZADO Y SE OBTUVO LOS SIGUIENTES RESULTADOS: SE REVISÓ EL SISTEMA OPERATIVO LINUX Y ENCONTRÓ QUE HA SIDO BORRADO EL LOG DE REGISTROS, SOLO APARECE EL LOG DE REGISTRO DESDE EL 15 DE DICIEMBRE DE 2007 HACIA DELANTE.
POR LO SIGUIENTE SE EMPIEZA A TRABAJAR CON EL REGISTRO DE LINUX DE ARCHIVOS BORRADOS, DIRECTORIOS, COMO RESULTADO NO SE ENCONTRÓ NADA” (Énfasis añadido)70. 73. En síntesis, a partir del examen cuidadoso de los señalamientos de TGR y de la idoneidad del autor de los experticios, la Sala considera que no acreditan la ruptura en la cadena de custodia de los discos duros analizados por el laboratorio forense de la FGN, conclusión que también fue respaldada en los dictámenes periciales practicados en segunda instancia71.
En consecuencia, no estaba justificado que el Tribunal les restara todo valor demostrativo a los informes de la FGN ni que prescindiera de su análisis para determinar si constituían prueba suficiente de la culpa del cuentahabiente en la pérdida de los fondos. 74. Por otra parte, la Sala considera que los documentos elaborados por TGR tampoco ofrecen razones sólidas para concluir que el sistema OCCIRED presentaba fallas 70 C1, fls. 358-361. 71 “Teniendo en cuenta [el] informe del 21 enero del 2008 donde el objeto de diligencia [fue] ‘Realizar inspección a los equipos de cómputo de la Beneficencia, específicamente al servidor central de la institución’ y no realizar incautación de los elementos materiales probatorios no procede la respectiva cadena de custodia y para determinar si hay fallos en la integridad de la evidencia se debe observar el informe de laboratorio del perito (informe que no se encuentra en los expedientes aportado por la fiscalía y del Tribunal Contencioso Administrativo) para saber el procedimiento realizado para la preservación de la misma” C. Comisorio, fl. 405.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 22 estructurales de seguridad. El experticio del 21 de enero de 200872 tomó como insumos los registros de las transacciones de la Beneficencia suministrados por el Banco, los contratos celebrados por las partes y otros documentos asociados al servicio, así como una reunión sostenida con funcionarios de la institución financiera73.
A partir de esa información, realizó un estudio orientado exclusivamente a verificar el cumplimiento, por parte del Banco, de los lineamientos contenidos en la Circular 052 de 2007 expedida por la Superintendencia Financiera74. “1. Un elemento importante a tener en cuenta es el documento expedido por la Superintendencia Financiera de Colombia CIRCULAR EXTERNA 052 DE 2007 de Octubre 25 enviado a los miembros de junta directiva, Representantes legales y revisores fiscales de las entidades vigiladas para instruir a las entidades sometidas a inspección y vigilancia sobre los requerimientos mínimos de seguridad y calidad que deben atender para el manejo de la información a través de los diferentes medios y canales utilizados para la distribución de los productos y servicios que ofrecen a sus clientes y usuarios.
En ella se adiciona el Capítulo Décimo Segundo al Título Primero de la Circular Básica Jurídica (Circular Externa 007 de 1996) el cual contiene LOS REQUERIMIENTOS MÍNIMOS DE SEGURIDAD Y CALIDAD EN EL MANEJO DE INFORMACIÓN A TRAVÉS DE MEDIOS Y CANALES DE DISTRIBUCIÓN DE PRODUCTOS Y SERVICIOS. Esta Circular establece fechas a las entidades vigiladas que no han cumplido aún con dichos REQUERIMIENTOS MÍNIMOS. 2.
Es importante resaltar lo siguiente: Si el documento establece cuáles son los requerimientos mínimos de seguridad y calidad da por sentado que quien no los tenga está necesariamente por debajo de dichos requerimientos mínimos o sea posee sistemas realmente NO SEGUROS. Veamos de acuerdo a la información si el Banco de Occidente con el sistema (OCCIRED) implementado cumple con todos los REQUERIMIENTOS MÍNIMOS contenidos en dicha Circular. 3.
Señalemos los numerales sobre los cuales consideramos que el banco no los cumple: (…)”75 75. La metodología utilizada por TGR no era idónea para demostrar las fallas alegadas, por cuanto la reglamentación contenida en la Circular 052 de 2007 de la Superintendencia Financiera no se encontraba vigente al momento de ocurrencia de las transacciones fraudulentas —noviembre de 2007—, pues su entrada en vigor fue escalonada en tres etapas: la primera inició el 1 de julio de 2008, la segunda el 1 de enero de 2009 y la tercera el 1 de enero de 201076. 76.
Finalmente, el testimonio rendido por Néstor Toro Caicedo no aporta un grado adicional de corroboración a las conclusiones plasmadas en los experticios de TGR, pues se limitó a ratificar su contenido, el cual —por las razones ya expuestas— no permitía establecer la ruptura de la cadena de custodia sobre los discos duros de la Beneficencia. Al declarante se le formularon preguntas generales sobre los protocolos que deben observarse en el ejercicio de la investigación forense.
No obstante, en relación con la cuestión de la cadena de custodia, solo se le dirigió una pregunta específica y su respuesta no añadió información adicional a la reflejada en los documentos: 72 El informe del 9 de agosto de 2010 no hizo ninguna referencia a este asunto. 73 C1, fl. 151. 74 C1, fl. 151. 75 C1, fls. 151-152. 76 Capítulo décimo segundo de la Circular Externa 052 de 2007 de la Superintendencia Financiera de Colombia, aportado al expediente y ubicado en: C1, fls. 158-152.
La información sobre la entrada en vigencia de la Circular es visible en los folios 158 y 159. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 23 “PREGUNTADO: De acuerdo con los informes técnicos realizados por la firma TGR, de ellos se desprende que presuntamente se violó o no se respetó la cadena de custodia digital sobre los discos duros de la beneficencia, podría manifestar al despacho por qué su estudio llega a esa conclusión. CONTESTADO: porque antes de indagar sobre un disco duro, es necesario sacar una imagen con herramientas especializadas e indagar sobre las copias y no sobre el original, de acuerdo al informe de la Fiscalía la imagen fue realizada en febrero, pero indagaron sobre los discos en enero”77. 77.
En relación con la eventual existencia de fallas de seguridad en el sistema OCCIRED ante fraudes electrónicos, el testigo Néstor Toro Caicedo manifestó lo siguiente: “PREGUNTADO: Dentro de la investigación especializada que usted realizó respecto de los hechos ocurridos con las cuentas de la Beneficencia del Valle, tuvo contacto directo con los equipos autorizados para ingresar a las cuentas de ahorro y corriente del Banco de Occidente a través del sistema OCCIRED. CONTESTADO: a pesar de nuestras reiteradas solicitudes la Fiscalía confiscó los equipos utilizado por los usuarios y no pudimos tener acceso por esa razón, pero nuestro trabajo era estudiar los documentos generados por OCCIRED que son públicos, el estudio de los LOG, los cuales fueron confrontados por la aplicabilidad con la circular 052 y para analizar el historial del uso del sistema por parte de la beneficencia78.
(…) PREGUNTADO: informe al despacho si en la investigación adelantada, es posible determinar si con una clave diferente asignada a cada uno de los usuarios hubiere sido posible ingresar al sistema de OCCIRED y realizar las transacciones que hoy se discuten. CONTESTADO: esta pregunta debe ser contestada por el Banco de Occidente, porque ellos tienen el control del sistema que es el que acepta o no la contraseña, nosotros valga decir no tenemos ni tuvimos acceso al sistema del Banco”79. 78.
El hecho de que el testigo no haya tenido acceso directo a la plataforma OCCIRED y que su análisis se haya sustentado exclusivamente en documentos de referencia reduce el valor probatorio de sus declaraciones, dado que, tratándose de un juicio técnico sobre el funcionamiento de un sistema transaccional, se esperaría una interacción directa del experto con la plataforma tecnológica evaluada.
Adicionalmente, el señor Toro afirmó que el sistema no era seguro por no cumplir “con los requisitos mínimos de la Circular 052 [de 2007 de la Superintendencia Financiera]” 80. Sin embargo, como se explicó en precedencia, dicha reglamentación no se encontraba vigente al momento de los hechos, por lo que su incumplimiento no permite, por sí solo, deducir la existencia de fallas en el sistema. 79.
Por lo demás, la Sala no considera que el señor Toro reúna las condiciones para valorar su declaración como la de un testigo técnico81, ya que no tuvo conocimiento directo de todos los hechos a los que hizo referencia —como, por ejemplo, los aspectos 77 C. Pruebas, fl. 18. 78 C. Pruebas, fl. 20. 79 C. Pruebas, fl. 21. 80 C. Pruebas, fl. 10. 81 A la luz de la regulación del CPC, la jurisprudencia definió los testigos técnicos como “personas calificadas, que tienen conocimiento sobre los hechos materia de la prueba junto con conocimientos técnicos por razón de su profesión”, de modo que sus declaraciones “tienen una importancia mayor en el sentido de que además de presenciar los hechos, tienen conocimientos técnicos que les permite ofrecer una mejor información sobre lo que vieron y además dar explicaciones más allá de lo que percibieron con sus sentidos” C.E., Secc.
Tercera, Sub. A, exp. 34090, oct. 07/2015, C.P. Hernán Andrade Rincón [fundamento jurídico 5]. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 24 relacionados con la seguridad del sistema OCCIRED—. Adicionalmente, su trayectoria profesional no fue acreditada documentalmente durante la primera instancia y las manifestaciones hechas en audiencia sobre su experiencia en asuntos de seguridad informática no se respaldaron con documentos. 80.
Con fundamento en lo anterior, la Sala recapitula el primer grupo de conclusiones generales respecto de la valoración de las pruebas aportadas y practicadas en primera instancia. Primera: no se probó la ruptura de la cadena custodia de los discos duros analizados por la FGN. Segunda: como resultado de lo anterior, no estaba justificado que se dejaran de valorar los informes de la FGN para establecer si la conducta de la Beneficencia tuvo incidencia causal en la pérdida de los fondos.
Tercera: no se probaron las fallas de seguridad de la plataforma transaccional OCCIRED. En coherencia con este primer grupo de conclusiones, la Sala pasa a valorar individualmente los informes de la FGN que, según el Banco, sirven como fundamento probatorio a una causal que le exoneraría de responsabilidad contractual: la culpa del cliente o cuentahabiente. 81.
El primer informe de la FGN, del 21 de enero de 2008, da cuenta de que se compararon las direcciones IP asociadas a la red de internet de la Beneficencia con aquellas desde las cuales se efectuaron las transacciones fraudulentas. El análisis permitió concluir que estas no se realizaron desde la red institucional, sino desde direcciones IP que fueron disimuladas mediante el uso de herramientas especializadas y cuya georreferenciación técnica indicaba ubicación en territorio de los Estados Unidos de América: “POR LO ANTERIOR, FUE NECESARIO TRABAJAR EL LOG TRANSACCIONES DEL MES DE OCTUBRE Y NOVIEMBRE DE 2007, ENTREGADOS POR EL BANCO DE OCCIDENTE, SISTEMA OCCIRED, POR LO QUE FUE NECESARIO ESCANEAR LOS PUERTOS DE LAS DIRECCIONES IP QUE NO CORRESPONDÍA, SE TRABAJÓ CON UNA HERRAMIENTA LLAMADA MNAP INDICANDO QUE NO CORRESPONDEN A LAS DIRECCIONES IP DE LA BENEFICENCIA DEL VALLE, TALES COMO: 70.85.195.230 207.44.237.130 66.98.131.13 66.98.131.109 67.15.76.111 67.15.76.116 SE OBTUVO QUE CORRESPONDÍA A UN SERVICIO LLAMADO PROXIFY QUE ES UN SERVICIO QUE PERMITE A CUALQUIER USUARIO NAVEGAR POR LA WEB PRIVADA Y ES SEGURA YA QUE OCULTA LAS DIRECCIONES IP Y MUESTRAN UNA CONEXIÓN CIFRADA QUE IMPIDE EL SEGUIMIENTO DEL TRÁFICO DE LA RED, UNA VEZ UTILIZADO ESTE SERVICIO SE PUEDE NAVEGAR NORMALMENTE Y OLVIDAR QUE ESTÁ AHÍ, PROTEGIENDO AL USUARIO.
ESTAS DIRECCIONES IP YA CITADAS EN EL CUADRO, CORRESPONDEN A ESTADOS UNIDOS DE NORTEAMÉRICA, ESE SERVICIO SE OFRECE POR INTERNET 82. 82. Por otra parte, el informe de la FGN del 14 de abril de 2009 registró los resultados del análisis forense practicado sobre los discos duros de la Beneficencia. De acuerdo con ese documento, en los equipos utilizados por dos funcionarios de la entidad se 82 C. Pruebas, fl. 361.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 25 detectó la presencia de un software malicioso que habría permitido la captura de credenciales de acceso al sistema OCCIRED. El informe indica lo siguiente: “DESPUÉS DE REALIZARSE UN PRIMER ANÁLISIS CON ESTAS HERRAMIENTAS, SE ENCONTRÓ QUE EN LOS ORDENADORES DE LOS FUNCIONARIOS LEONOR Y ROGELIO HABÍA SOFTWARE MALICIOSO, EN EL ORDENADOR DEL FUNCIONARIO BANGUERO NO SE TUVIERON HALLAZGOS.
(…) EL SOFTWARE QUE INSTALARON EN ESTAS DOS MÁQUINAS ES TAN POTENTE QUE CAPTURA LOS PANTALLAZOS MIENTRAS VAN TRABAJANDO CON EL SISTEMA OCCIRED Y ADEMÁS TODO LO QUE HACÍAN CON LOS DEMÁS BANCOS COMO PODEMOS OBSERVAR LOS PANTALLAZOS QUE SE IMPRIMEN Y SE ENCUENTRA EN LAS MÁQUINAS (SE ANEXAN DOS DOCUMENTOS ENCONTRADOS EN LAS MÁQUINAS) ES DIFÍCIL ESTABLECER QUIÉN FUE QUE INSTALÓ EL SOFTWARE MALICIOSO EN ESTAS MÁQUINAS YA QUE LA INSTALADA DE ESTE SOFTWARE SERÍA FÍSICAMENTE EN LOS ORDENADORES, NO PODEMOS DECIR QUIÉN FUE POR LA HORA Y LA FECHA YA QUE ESTOS DELINCUENTES CAMBIAN LAS HORA O MODIFICAN LA FECHA NO ES UN DATO REAL PARA UN ANÁLISIS O TOMAR DETERMINACIONES”83. 83.
Los documentos anunciados como anexos del informe corresponden a capturas de pantalla de portales transaccionales de distintas entidades bancarias. Sin embargo, en ninguno de ellos se revelan las contraseñas de acceso. Por el contrario, en las imágenes se observa que los campos destinados al ingreso de la clave estaban ocultos con asteriscos u otros caracteres de seguridad, lo que impide verificar visualmente que dichas credenciales hubiesen sido efectivamente capturadas por el programa malicioso, como indicó la FGN84. 83 C. Pruebas, fls.514-516. 84 C. Pruebas, fls. 542-552.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 26 84. El informe del 14 de abril de 2009 se acompañó del documento titulado “Laboratorio Forense del Cuerpo Técnico de Investigación – Seccional Cali” 85, en el que se describieron de forma detallada las actividades ejecutadas sobre cada disco duro examinado.
Este anexo no contiene conclusiones sustantivas adicionales a las formuladas en el informe principal, pero consigna los protocolos y procedimientos técnicos seguidos para identificar la presencia de software malicioso en los equipos asignados a los funcionarios Leonor Abadía y Rogelio Díaz86. 85. La Sala considera que, si bien los informes de la FNG acreditan la presencia de software malicioso en los equipos de la Beneficencia, no permiten establecer, con un alto grado de probabilidad, que dicho programa haya sido efectivamente el medio que capturó las credenciales de acceso y facilitó la comisión del fraude desde direcciones IP externas.
Esta conclusión se fundamenta en que las imágenes anexas al informe —principalmente capturas de pantalla de portales bancarios— no evidencian la revelación de contraseñas, dado que los campos destinados a su ingreso aparecen cubiertos por asteriscos u otros caracteres de seguridad. Adicionalmente, como lo señalaron los dictámenes practicados en segunda instancia, no se realizó un análisis del código de programación del software identificado87. 86.
Finalmente, la Sala advierte que los informes de la FGN no aportan información sobre un vínculo entre la conducta de los funcionarios de la Beneficencia y la instalación del software malicioso detectado en sus discos duros. El ente investigador no efectuó un análisis dirigido a determinar si existieron omisiones en el uso institucional de los computadores —como la ausencia de medidas básicas de seguridad o de programas antispyware— que hubiesen facilitado la infección. Tampoco se evaluó si el comportamiento de los usuarios institucionales fue relevante en términos causales para la introducción del programa malicioso.
Lo único que se indicó en el informe es que no fue posible determinar “QUIÉN FUE QUE INSTALÓ EL SOFTWARE MALICIOSO EN ESTAS MÁQUINAS YA QUE LA INSTALADA DE ESTE SOFTWARE SERÍA FÍSICAMENTE EN LOS ORDENADORES”, sin que se ofrecieran elementos técnicos adicionales sobre la forma en que habría ingresado el virus ni sobre su relación con el entorno de uso de los discos duros objeto del análisis forense. 87.
A partir del análisis efectuado hasta este punto, la Sala recapitula un segundo grupo de conclusiones respecto de la valoración de las pruebas practicadas en primera instancia. Primera: los informes elaborados por la FGN —que tienen la naturaleza de prueba documental— acreditan que las transacciones fraudulentas no se realizaron desde las direcciones IP asociadas a la red institucional de la Beneficencia. Segunda: también acreditan que en los discos duros de los funcionarios Leonor Abadía y Rogelio Díaz se detectó la presencia de un software malicioso con potencial para capturar credenciales de acceso.
Tercera: no permiten afirmar, con alto grado de certidumbre, que dicho programa haya sido el medio efectivamente utilizado para la extracción de esas credenciales. 85 C. pruebas, fls. 518-533. 86 C. pruebas, fl. 530. 87 En la complementación de uno de los dictámenes periciales practicados en segunda instancia se indicó: “Teniendo en cuenta los informes forenses del CTI de la Fiscalía que reposan dentro del expediente (…) no se observa un análisis detallado del código de programación del software malicioso (Keylogger)” Exp. digital, Apelación Sentencia, doc. 184, p. 14.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 27 88. Precisadas las conclusiones de la Sala sobre la valoración de las pruebas practicadas en primera instancia, corresponde ahora examinar los dictámenes periciales presentados en segunda instancia. Su apreciación individual tiene por objeto verificar su fiabilidad y establecer el nivel de confirmación que ofrecen respecto de la hipótesis fáctica en la que el Banco sustentó su defensa.
Posteriormente, se efectuará una valoración conjunta de estos dictámenes con los informes de la FGN, con el fin de determinar si se configuró la causal de exoneración de responsabilidad invocada por la parte demandada. Los dictámenes periciales practicados en segunda instancia 89. El dictamen pericial constituye un medio de prueba destinado a verificar hechos relevantes que requieren conocimientos científicos, técnicos o artísticos especializados (CPC, art. 233).
Se trata de la opinión emitida por un experto con formación en la materia, cuya finalidad es esclarecer aspectos que exigen una interpretación cualificada. Conforme al artículo 241 del CPC, su valoración debe atender a “la firmeza, precisión y calidad de sus fundamentos, la competencia de los peritos y los demás elementos probatorios que obren en el proceso”88.
Por lo tanto, la valoración individual de la prueba exige verificar los siguientes elementos: (i) idoneidad del perito, es decir, que cuente con conocimientos especializados pertinentes; (ii) fundamentación, que las premisas estén sólidamente sustentadas; (iii) conclusión clara y firme, derivada lógicamente de la argumentación y metodología del dictamen;
(iv) ausencia de objeción o fracaso de la misma; y (v) contradicción efectiva en el curso del proceso judicial. 90. El 20 de mayo de 2019, el intendente Eduardo Guevara Cano, adscrito a la Policía Nacional como perito en informática forense, presentó el dictamen sobre los dos discos duros de la Beneficencia en los que se había detectado la presencia del software malicioso, asignados a los funcionarios Leonor Abadía y Rogelio Díaz.
Su designación provino directamente de la institución policial, a la que se solicitó un funcionario con conocimientos técnicos especializados en la materia. Al asumir el encargo, el perito se posesionó bajo juramento y exhibió su credencial institucional89. Conforme al régimen probatorio del CPC, no era exigible la presentación de documentos adicionales para acreditar su idoneidad, bastando la declaración juramentada rendida al momento de la posesión y la constancia de su adscripción a la entidad.
En consecuencia, y ante la ausencia de cuestionamientos por parte de los sujetos procesales, la Sala considera que se encuentra acreditada su competencia técnica para rendir el dictamen. 91. El perito hizo una descripción detallada de los elementos materiales examinados —los discos duros— y de los procedimientos técnicos empleados, indicando que estos 88 En vigencia del CPC, explicaba la jurisprudencia de esta Sección: “El dictamen pericial es un medio probatorio al que se acude para verificar los hechos que interesan al proceso y que requieren especiales conocimientos científicos, técnicos o artísticos de auxiliares de la justicia, quienes realizan un examen de las cosas o personas a través de experimentos e investigaciones.
En este sentido, la doctrina, con base en la ley, enseña que el dictamen pericial es un medio de prueba que consiste en la aportación de ciertos elementos técnicos, científicos o artísticos, que la persona versada en la materia realiza para dilucidar la controversia, aporte que requiere de especiales conocimientos, por lo cual se dice que la pericia es una declaración de ciencia, ya sea técnica, científica o artística, es decir, que la prueba no recae sobre puntos de derecho” C.E., Secc, Tercera, exp. 17644, feb. 3/2010, C.P. Myriam Guerrero de Escobar 89 C. Comisorio, fl. 212.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 28 cuentan con reconocimiento en la comunidad técnico-científica especializada90. Además, explicó los instrumentos utilizados —equipos y programas informáticos forenses—, su estado operativo y los principios técnico-científicos aplicados91.
El dictamen expuso de forma secuencial cada una de las actividades realizadas sobre los discos duros92, lo que permitió al experto arribar a la siguiente conclusión sobre la presencia de software malicioso: “PERFECT KEYLOGGER En el análisis realizado en los binarios suministrados para esta tarea, se pudo identificar el software PERFECT KEYLOGGER como uno de ellos.
PERFECT KEYLOGGER es un capturador de teclado el cual funciona en modo invisible en el equipo donde es instalado. El objetivo de este programa es registrar todas las teclas presionadas por un usuario en el teclado para luego ser analizado por quien instaló la aplicación y así obtener información del primero. Sitios visitados, conversaciones escritas y contraseñas son algunos de los elementos sensibles obtenidos por el mismo.
Los Keyloggers o capturadores de teclado son uno de los sistemas espías más peligrosos debido a que registran información de uso sensible y de alta privacidad de los usuarios que no saben que están siendo monitoreados, y suministrando información sin su consentimiento a terceros”93. 92. La contradicción del dictamen se surtió conforme a las prescripciones legales.
Al presentarse la versión inicial, se corrió traslado a las partes, quienes solicitaron su complementación94. Tras la primera ampliación, rendida el 5 de abril de 2021, la Beneficencia formuló una nueva solicitud de complementación, sustentada en un documento elaborado por TGR, en el que también se indicó que el perito no había evaluado el informe de la FGN del 21 de enero de 200895.
Este documento de TGR tiene el alcance de una alegación de parte, conforme al numeral 7º del artículo 238 del CPC96. 93. La segunda complementación del dictamen fue presentada el 15 de julio de 2021. La Beneficencia se pronunció sobre su contenido y aportó un nuevo escrito elaborado por TGR con sus conclusiones97. Por su parte, el Banco guardó silencio.
No obstante, en los alegatos de conclusión de segunda instancia, la institución financiera anexó un dictamen pericial adicional que no será valorado por la Sala, toda vez que no fue 90 Exp. digital, Apelación Sentencia, doc. 185, pp. 1-2. En el informe anexo a la adición del dictamen del 5 de abril de 2021 se amplía esta información: “IOCE (International Organization of Computer Evidence) una de las organizaciones internacionales más antiguas que se ocupa de regular los parámetros para el tratamiento de evidencia digital.
Formado en 1995, ha servido como foro para el intercambio de información y líder en el desarrollo de estándares (Pollitt, 2001) establece lo siguiente: (…) El presente informe muestra con claridad los principios, métodos, técnicas y procedimientos empleados, tal que cualquier persona pueda interpretar fácilmente los resultados obtenidos” y, adicionalmente, cita todas las normas técnicas internacionales que se siguieron (Exp. digital, doc. 184, pp. 21-22). 91 Exp. digital, Apelación Sentencia, doc. 185, pp. 2-3. 92 Exp. digital, Apelación Sentencia, doc. 185, pp. 3-6. 93 Exp. digital, Apelación Sentencia, doc. 185, pp. 9-10; 15-17. 94 SAMAI CE, índices 50, 52, 53 y 54. 95 SAMAI CE, índice 87. 96 CPC, art. 238: “Contradicción del dictamen.
Para la contradicción de la pericia se procederá así: (…) 7. Las partes podrán asesorarse de expertos, cuyos informes serán tenidos en cuenta por el juez, como alegaciones de ellas”. 97 SAMAI CE, índice 92. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 29 solicitado dentro de las oportunidades probatorias previstas en la ley y, por esa misma razón, no fue decretado ni estuvo sujeto a contradicción98. 94.
En cuanto al contenido de las complementaciones al dictamen, la Sala advierte que, en la rendida el 5 de abril de 2021, el perito indicó que ambos discos duros estaban protegidos con antivirus, aunque estos últimos no estaban actualizados. Textualmente indica el peritaje: “Sí contaba con antivirus, aunque no se encontraba actualizado y sí estaba activo”99. 95.
Por otra parte, en el escrito del 5 de abril de 2021, el perito registró las fechas de creación del software malicioso hallado en los discos duros. En relación con el primer disco examinado, incorporó la siguiente evidencia tomada del informe de investigador de laboratorio de la Policía Nacional anexo al dictamen100: 96. En relación con el segundo disco duro, el perito incorporó la siguiente imagen como evidencia del hallazgo101: 98 CCA, art. 214: “Pruebas en segunda instancia. Cuando se trate de apelación de sentencia, las partes podrán pedir pruebas, que se decretarán únicamente en los siguientes casos: 1.
Cuando decretadas en la primera instancia, se dejaron de practicar sin culpa de la parte que las pidió, pero sólo con el fin de practicarlas o de cumplir requisitos que les falten para su perfeccionamiento. 2. Cuando versen sobre hechos acaecidos después de transcurrida la oportunidad para pedir pruebas en primera instancia, pero solamente para demostrar o desvirtuar estos hechos. 3.
Cuando se trate de documentos que no pudieron aducirse en la primera instancia por fuerza mayor o caso fortuito o por obra de la parte contraria. 4. Cuando con ellas se trate de desvirtuar los documentos de que trata el numeral anterior”. 99 C. Comisorio, fl. 405. 100 Exp. digital, Apelación sentencia, doc. 184.1, p. 31. 101 Exp. digital, Apelación sentencia, doc. 184.1, p. 28.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 30 97. En cuanto a este segundo disco duro, incluyó la siguiente nota en respuesta a una de las solicitudes de complementación: “De igual manera manifiesta el Perito que se encuentra la instalación del software malicioso Keylogger (A0016160.EXE) mediante memoria USB 2.0 Flash Device serial: 621733129244b6 con fecha de conexión 21-11-2007 y entre sus características esta la captura de contraseñas.
VER ANEXO 1-Pag 9. (Informe de Investigador de Laboratorio- FPJ-13, con numero único de Noticia Criminal 760012332000200901030 de fecha 2021-03-24)”102. 98. Una lectura literal de esta última afirmación contenida en la primera complementación del dictamen conduciría a sostener que, en uno de los dos discos duros, el software malicioso identificado como Perfect Keylogger habría sido instalado mediante una memoria USB conectada el 21 de noviembre de 2007.
Si se asumiera sin matices dicha afirmación, ello implicaría concluir que el programa fue incorporado con posterioridad a la comisión del fraude electrónico (19 de noviembre de 2007) y, por tanto, no por los partícipes del hecho ilícito sino por la FGN. Sin embargo, la Sala no considera razonable esta interpretación del “Informe de Investigador de Laboratorio – FPJ-13”, anexo al dictamen, con base en el cual se emitió esa afirmación. 99.
En primer lugar, esta interpretación no resulta razonable porque no se corresponde con el contenido gráfico del “Informe de Investigador de Laboratorio – FPJ-13”. Ciertamente, en dicho informe se consignó que una memoria USB fue conectada al equipo el 21 de noviembre de 2007; sin embargo, no se indicó que esa memoria contuviera el software malicioso ni que, por su conducto, se hubiera instalado Perfect Keylogger.
Por el contrario, el gráfico incluido en el informe registra que la fecha de creación del programa malicioso es noviembre de 2006, lo cual resulta plenamente coincidente con los hallazgos obtenidos respecto del primer disco duro analizado, reduciendo con ello la plausibilidad de la hipótesis que sugiere una instalación posterior a la incautación103. 102 Exp. digital, Apelación Sentencia, doc. 184, pp. 8-9. 103 Exp. digital, Apelación sentencia, doc. 184.1, p. 31.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 31 100. Adicionalmente, los informes de la FGN obrantes en el plenario no indican que el análisis forense practicado sobre los discos duros de la Beneficencia hubiera incluido la conexión de una memoria USB —supuestamente portadora de un software malicioso—, lo que resulta contraevidente si se considera que el objeto de dicho análisis era precisamente determinar si tal programa había sido instalado con anterioridad al fraude.
En consecuencia, cualquier afirmación orientada a sostener que dicho software fue introducido no por los autores del delito, sino por el órgano investigador, requeriría un alto grado de corroboración empírica. No obstante, aparte de la interpretación literal de una frase aislada contenida en la primera complementación del dictamen —la cual, como se explicó, partiría de una lectura errónea del gráfico incluido en el “Informe de Investigador de Laboratorio – FPJ-13”— no existe ningún elemento que respalde mínimamente esa hipótesis.
Por lo tanto, la Sala concluye que la fecha de creación del software malicioso en ambos discos duros antecede a la comisión del fraude electrónico, tal como resulta de los gráficos incluidos en el informe de policía judicial de la Policía Nacional, y no de una glosa incorporada en el texto de la primera complementación del peritaje. 101.
Respecto de la segunda complementación del dictamen elaborado por el intendente Eduardo Guevara, presentada el 15 de julio de 2021, la Sala observa que el perito profundizó en su análisis y manifestó que, con la información disponible, no era posible afirmar con certeza que el programa Perfect Keylogger encontrado en los discos duros de la Beneficencia hubiera capturado las claves de acceso al sistema OCCIRED: “Es de anotar que no es posible contestar a ciencia cierta si el keylogger capturó las claves de usuario teniendo en cuenta que solo fue analizada una parte de la evidencia, en este caso los discos duros en mención y no se tiene acceso a todo el sistema de la fecha de los hechos (plataforma occired, conexiones internet)”104. 102.
En la segunda instancia de este proceso se practicó, además del dictamen ya valorado, otra prueba pericial destinada a analizar el funcionamiento de la plataforma OCCIRED. Esta prueba estuvo a cargo del subintendente César Arturo Contreras, 104 C. Comisorio, fl. 404A. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 32 funcionario de la Policía Nacional adscrito al Grupo de Disciplinas Forenses.
En su informe, el experto indicó que, para la fecha del peritaje, el sistema OCCIRED había migrado de plataforma (en 2018) y que la empresa encargada de su soporte técnico ya no mantenía vínculo contractual con el Banco105. Por tal motivo, aclaró que no fue posible acceder al código fuente del aplicativo, lo cual imposibilitó la realización del análisis solicitado.
En consecuencia, el perito limitó su labor a transcribir las respuestas ofrecidas por funcionarios del Banco durante las mesas de trabajo realizadas para la elaboración del dictamen. Por lo anterior, la Sala considera que dicho informe carece de eficacia probatoria en relación con los hechos relevantes para la resolución de los recursos de apelación. 103.
Con fundamento en lo anterior, la Sala recapitula un tercer grupo de conclusiones generales, correspondientes a la valoración individual de las pruebas practicadas en segunda instancia. Primera: el dictamen pericial de la Policía Nacional sobre los discos duros de la Beneficencia acredita la presencia de un software malicioso —Perfect Keylogger— con capacidad técnica potencial para capturar credenciales de acceso a la plataforma OCCIRED. Segunda: la fecha de creación del software en los discos duros es anterior a la comisión del fraude bancario.
Tercera: los equipos analizados contaban con programas antivirus, aunque estos no se encontraban actualizados al momento de los hechos. Conclusiones sobre la valoración conjunta de los informes de la FGN y del dictamen pericial de la Policía Nacional 104. Partiendo del análisis conjunto de los medios de prueba valorados individualmente, la Sala encuentra coincidencia en torno a dos enunciados fácticos: (i) los discos duros de los funcionarios Leonor Abadía y Rogelio Díaz estaban contaminados por un software malicioso del tipo keylogger antes del 19 de noviembre de 2007 —fecha en la que se perpetró el fraude electrónico— y (ii) este tipo de software poseía la capacidad técnica para capturar las credenciales de acceso a la plataforma OCCIRED. Tales hechos se tienen por probados con base en tres criterios concurrentes: en primer lugar, el de la cantidad, dado que los dos medios probatorios que abordaron esta cuestión —el informe de la FGN y el dictamen de la Policía Nacional— coinciden plenamente, sin que exista otro elemento técnico que los contradiga; en segundo lugar, el de la variedad, ya que ambos tipos de prueba —una documental y otra pericial—, pese a su distinta naturaleza, convergen en una misma conclusión; y finalmente, el de la fiabilidad, pues ambos elementos, incluso considerados de forma aislada, resultan confiables por las calidades de sus autores y las condiciones en que fueron producidos. 105.
Por otra parte, quedó probado que las transacciones fraudulentas se ejecutaron desde direcciones IP distintas a las asignadas a los equipos conectados a la red de internet de la Beneficencia, conforme lo estableció el informe elaborado por la FGN. En relación con este aspecto, el dictamen de la Policía Nacional no controvirtió dichos hallazgos ni formuló una conclusión divergente.
Además, el informe de la FGN es consistente con otros medios de prueba documental, pues las direcciones IP que allí 105 Exp. digital, doc. 250, p. 2. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 33 se consignan coinciden con las enunciadas en una comunicación remitida por el establecimiento bancario demandado tras la comisión del fraude106. 106.
Una hipótesis que articula los hechos probados sería la siguiente: el fraude bancario se produjo por la captura de las claves de acceso a la plataforma OCCIRED mediante la ejecución de un software malicioso instalado en los computadores de la tesorera y el director financiero de la Beneficencia. Sin embargo, esta inferencia probatoria descansa exclusivamente en la potencialidad del software para capturar dichas claves, porque no hay evidencia visual de que efectivamente lo haya hecho en los análisis forenses practicados sobre dichos dispositivos. 107.
Adicionalmente, no incorpora al estudio el otro componente funcional involucrado en la comisión del fraude: la plataforma OCCIRED. Como se indicó al valorar individualmente los medios de prueba, los peritos designados en segunda instancia no accedieron al código fuente de dicha plataforma porque el sistema OCCIRED había migrado de plataforma en 2018107, ni la FGN efectuó un examen técnico sobre su arquitectura o funcionamiento.
A ello se agrega que ni el ente investigador ni los peritos designados judicialmente realizaron un análisis que —aunque fuera de manera sumaria— descartara la existencia de otras hipótesis con igual capacidad explicativa. 108. Con lo anterior, la Sala no sugiere que los medios de prueba debieran confirmar, más allá de toda duda razonable, la hipótesis fáctica planteada por el Banco, pues tal estándar corresponde al ámbito penal.
Además, tratándose de un razonamiento abductivo, el objetivo de la valoración conjunta de las pruebas no puede ser alcanzar certeza lógica, sino un grado razonable de confirmación. 109. Lo que resalta la Sala es que no existe evidencia visual de que, en ambientes controlados por los expertos forenses, el software hubiera capturado efectivamente las claves de acceso.
Además, la actividad probatoria se centró únicamente en uno de los dos componentes que presuntamente fueron determinantes en el fraude —los discos duros de la Beneficencia—, omitiendo el análisis directo del otro componente igualmente indispensable —la plataforma OCCIRED—. Esta escisión metodológica no es intrascendente, dado que ambos elementos son interdependientes en la ejecución de las transacciones fraudulentas. 110.
Ahora, al margen de que este conjunto de elementos impida acoger la inferencia probatoria en que descansa la defensa del Banco sobre la culpa del cuentahabiente, la Sala considera que aun si se aceptara que la captura de las claves de acceso a la plataforma OCCIRED se produjo mediante la ejecución de un software tipo keylogger en los discos duros de la Beneficencia, el daño —consistente en la pérdida de los fondos—jurídicamente es atribuible al Banco. 111.
Esto se debe a que, desde el punto de vista de la aportación causal, el hecho determinante de la pérdida de los fondos, es decir, la causa adecuada del daño, es imputable al Banco, tal como se explicará a continuación al analizar la cronología de los eventos previos a la consumación del fraude. 106 C1, fl. 72. 107 Exp. digital, doc. 250, p. 2.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 34 La atribución causal del daño al establecimiento bancario 112. La indagación causal en el derecho de daños, ya sea en el ámbito contractual o extracontractual, se caracteriza por una bifurcación del análisis.
En un primer paso, tiene por objeto una cuestión fáctica: determinar si un evento ha sido causa de otro. En este contexto, el test de la conditio sine qua non, o equivalencia de las condiciones, cumple un rol central. Un evento es causa de un daño si, y solo si, no se hubiese producido el daño de no haber acaecido dicho evento. No obstante, no solo es relevante explicar empíricamente cómo se produjo el daño, sino también atribuirlo jurídicamente a una persona o centro de imputación. Por ello, en un segundo nivel, es necesario aplicar criterios normativos que determinan si un factor que ha contribuido causalmente a un resultado es jurídicamente relevante. 113.
La atribución causal en la sustracción de fondos depositados en una cuenta corriente o de ahorros mediante fraudes electrónicos exige realizar esta doble indagación. Esto se debe a que el régimen de responsabilidad objetiva, con el que se decidió el litigio en primera instancia y que no fue objeto de apelación, no implica responsabilidad automática del Banco por la pérdida de los fondos.
En este mismo sentido, la Corte Suprema de Justicia ha indicado lo siguiente: “Como colofón, resalta la Corte que prescindir de la calificación de la conducta de la entidad financiera no significa asumir una especie de responsabilidad automática suya, pues aun en los regímenes objetivos es necesario demostrar que el hecho dañoso es atribuible a la conducta del agente.
Por ende, en casos como este el banco podrá exonerarse de la carga indemnizatoria que se le endilga, probando que las circunstancias que originaron el desmedro patrimonial (como la alteración de una orden de giro, en este caso) obedecieron a causas que no le son imputables // Así ocurriría, por ejemplo, cuando el cuentahabiente pierde su tarjeta débito, y en ella tiene escrita su clave transaccional, facilitando que quien la encuentre realice un retiro a través de la red de cajeros automáticos.
En esa hipótesis, los controles de autenticación dispuestos por el banco para el referido canal, consistentes en «algo que se tiene» (la tarjeta débito) y «algo que se sabe» (la clave numérica), habrían sido vulnerados por factores atribuibles al cuentahabiente, desde el punto de vista fáctico – pues fue él quien perdió la tarjeta y la clave– y jurídico –en tanto la custodia de esos elementos le correspondía–, lo que impide que surja para el banco cualquier carga de resarcimiento.
Ahora, si quien encontró el aludido plástico acude a una de las sucursales de la entidad financiera y realiza un retiro millonario, sucede que la materialización del ilícito contractual tendría como antecedente material conductas imputables a ambos extremos del contrato de depósito en cuenta corriente o de ahorros, porque a la pérdida de la tarjeta y la clave terminó sumándose la ausencia de protocolos de verificación de identidad, propios de los canales presenciales del banco. // Ante ese panorama, el fallador tendrá que sopesar la relevancia jurídica de esas causas, pudiendo concluir que: (i) ambos estipulantes contribuyeron al resultado dañino –de modo que sus efectos tendrían que ser distribuidos entre ellos, de manera proporcional a su cuota de participación en el evento–; o (ii) que solo uno de esos antecedentes fue determinante en la producción del daño, caso en el cual quien lo produjo habrá de asumir la pérdida íntegramente // Vale la pena añadir que supuestos como los antes mencionados suelen catalogarse como “culpa exclusiva de la víctima” o “compensación de culpas”, según el caso, pero realmente no están vinculados con el fenómeno de la culpabilidad, sino con la atribución causal”108 (Énfasis añadido). 108 C.S.J., Cas.
Civil, Sent. SC5176-2020, dic. 18/2020, M.P. Luis A. Rico Puerta. Rad. 11001-31-03-028- 2006-00466-01. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 35 114. Como se indicó previamente, incluso si se aceptara la hipótesis de que, en la cadena de eventos que causaron el fraude, intervino la captura de las claves de acceso a la plataforma OCCIRED mediante la ejecución de un software tipo keylogger en los discos duros bajo la guarda de la Beneficencia, la Sala considera que el daño es atribuible al Banco.
Las pruebas del expediente acreditan que, antes de la instalación del programa malicioso, la entidad financiera incurrió en omisiones relacionadas con informar adecuadamente al cliente sobre la necesidad de adoptar medidas de seguridad en sus equipos de acceso a la plataforma. Además, una vez instalado el programa y antes de consumarse la sustracción de los recursos, el Banco se abstuvo de adoptar medidas frente a un conjunto de eventos que revelaban un riesgo cierto y elevado de comisión del fraude. 115.
En relación con los eventos que antecedieron la instalación del software tipo keylogger, la tesorera de la Beneficencia, Leonor Abadía, afirmó lo siguiente en la audiencia en la que rindió su declaración: “PREGUNTADO: ya que usted dice ser una de las personas autorizadas para acceder al sistema OCCIRED, informe al despacho si el Banco de Occidente informó adecuadamente los riesgos y consecuencias que la utilización del sistema OCCIRED podría generar a los intereses económicos a la beneficencia del valle del cauca: CONTESTADO.
No, nunca nos hablaron ni de riesgos ni de las consecuencias de los riesgos. (…) PREGUNTADO: informe al despacho del magistrado, si el Banco de Occidente suministró a la Beneficencia del Valle un manual de instrucciones referentes a seguridades que debía implementar la Beneficencia en cuanto al uso del sistema de OCCIRED: CONTESTADO: Manual de riesgos nunca.
PREGUNTADO: el Banco de occidente INFORMÓ EN FORMA ADECUADA A LA BENEFICENCIA SOBRE EL SERVICIO DE OCCIRED, sobre utilización, sobre los perfiles o costumbres transaccionales, y riesgos como los HACKER LOS PICHINT O LOS GUSANOS DE TROYA: CONTESTADO: tengo entendido que quien daba la capacitación para el manejo de los equipos era un contratista externo del banco y nos dieron capacitación sobre cómo se hacia la transacción como se entraba al sistema, como se cambiaba la clave que nos acababan de dar, pero reitero jamás nos hicieron observación sobre los riegos y mucho menos sobre los HACKER LOS PICHINT O LOS GUSANOS DE TROYA”109. 116.
En su testimonio, la señora Leonor Abadía también afirmó que desconocía la posibilidad de imponer restricciones al sistema o la necesidad de instalar programas de protección como antivirus o antikeyloggers: “PREGUNTADO: manifieste al despacho, si el Banco de Occidente advirtió o informó a usted, el hecho de restringir el acceso al sistema solo en días y horas laborales: CONTESTADO: el Banco nunca nos advirtió, nosotros le informamos al Banco que solo lo hacíamos en horarios ordinarios como lo demuestran los LOGS.
(…) PREGUNTADO: Manifieste al despacho si el Banco de Occidente le dijo a la Beneficencia del Valle [que] debían instalar antivirus o antikeylogger. CONTESTADO: no, nunca” 110. 109 C. Pruebas, fls. 25-26. 110 C. Pruebas, fl. 30. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 36 117.
La declaración de Leonor Abadía es concordante con el testimonio del director financiero de la entidad, Rogelio Díaz, quien también interactuaba con la plataforma OCCIRED: “PREGUNTADO informe al despacho si el Banco de Occidente informó, advirtió o capacitó adecuadamente a los funcionarios de la Beneficencia del Valle, encargados del sistema OCCIRED acerca de los riesgos y consecuencias que implicaría la utilización del sistema, entre ellos un posible fraude electrónico.
CONTESTADO: nunca fuimos informados, ni advertidos de los riesgos y mucho menos de la forma como podíamos haberlo controlado, las ventajas que tenía el aplicativo solamente se conocieron una vez realizado el fraude. (…) PREGUNTADO: el Banco advirtió a la Beneficencia el hecho de que las calves, nombre del usuario y contraseñas podrían ser capturadas a través de Internet por delincuentes cibernéticos para su uso posterior con fines delictivos: CONTESTADO: no, nunca nos advirtieron.
(…) PREGUNTADO: Si tal como usted lo ha manifestado el Banco de Occidente no lo capacitó ni le entregó ningún manual de OCCIRED cómo aprendió usted a manejarlo. CONTESTADO: cuando el proveedor externo del Banco instaló el aplicativo de OCCIRED explicó la forma de cómo operaba, las transacciones y qué acciones teníamos que desarrollar para que estas transacciones fueran exitosas, es decir cuál era la mecánica para pagar a través de este medio electrónico, pero repito lo que no advirtió el proveedor del Banco fue los riesgos de agentes externos ni cuáles eran los mecanismos por los cuales podíamos contrarrestar esos riesgos: direccionar las IP, que solamente se hicieran las transacciones en horarios laborales y días hábiles y que pudiéramos inscribir el proveedor previamente al pago.
PREGUNTADO: por qué le consta a usted que el Banco de Occidente nunca recomendó ni informó al administrador del sistema OCCIRED designado por la Beneficencia del Valle es decir el señor Banguero, que determinara las direcciones IP de las cuales se podría hacer las transacciones. CONTESTADO: las reuniones que hacía el Banco con el doctor Banguero, generalmente se hacían con la presencia de la tesorera y el coordinador financiero y nunca escuché que se hicieran esas advertencias y mucho menos existe un documento que pruebe la manifestación de los riesgos inherentes al aplicativo OCCIRED”111. 118.
La Sala advierte que ningún otro testigo contradijo las afirmaciones anteriormente reseñadas. En su defensa, el Banco sostuvo que había capacitado a los funcionarios de la Beneficencia en relación con las medidas de seguridad y alegó que fue la entidad la que no impuso las restricciones pertinentes en sus sistemas. No obstante, tales afirmaciones no encuentran respaldo probatorio ni en los testimonios ni en los documentos que obran en el expediente.
Por el contrario, en el plenario se encuentra un solo registro de asistencia con membrete del Banco, correspondiente a una capacitación realizada el 7 de mayo de 2007 —esto es, antes de la comisión del fraude—, cuyo contenido no alude a la adopción de medidas de seguridad en el uso de la plataforma. Según dicho documento, el asunto abordado fue el siguiente: “Se 111 C. Pruebas, fls. 37-40.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 37 migró el sistema OCCIRED a OCCIRED plataforma 2007. El sistema se probó y funcionó correctamente”112. 119. En este contexto, la Sala concluye que, antes de la fecha en que se habría instalado el software malicioso en los discos duros de la Beneficencia, el Banco omitió capacitar a los funcionarios de la entidad sobre las medidas y protocolos de seguridad que debían observar en la manipulación de los equipos y en el uso de la plataforma OCCIRED, ya fuera mediante reuniones formales o mediante la entrega de documentos que recogieran tales lineamientos. 120.
Esta omisión revela una conducta contraria al deber jurídico de información con los usuarios previsto en el numeral 1º del artículo 97 del EOSF, modificado por la Ley 795 de 2003113. Se trata de un deber especial, inherente a la responsabilidad profesional que asiste a un establecimiento bancario, cuya actividad principal —la intermediación financiera— es de interés general114: “Una obligación de primer nivel, derivada de la de lealtad o subsumible en ella, pero que por su importancia merece un tratamiento especial, es la de información que se predica de manera general frente a cualquier contratante, aun si no es consumidor, y que, incluso, se asume en la etapa precontractual.
En virtud de su reconocimiento el profesional debe hacer conocer al potencial contratante de manera clara y comprensible no sólo las condiciones y calidades del bien o servicio que ofrece o se le demanda sino los riesgos o precauciones que han de tenerse en cuenta en relación con ellos. Este es un aspecto cardinal en que han de conciliarse técnicas comerciales y de mercadeo que tienden a presentar una visión "rosa" o perfecta de los productos que se ofrecen con una realidad en la cual existen riesgos, algunos empíricamente reconocidos.
Por lo tanto y para limitarnos a los productos financieros, es apenas natural que el vendedor destaque las ventajas y procure inducir al interlocutor a comprarlos, pero, al mismo tiempo, que imponga al cliente de las cautelas que supone el manejo de una chequera o una tarjeta de crédito, para poner dos ejemplos, o los diversos riesgos que pueden avizorarse en un portafolio financiero constituido por papeles de ciertas características.
Y si ello es así en la etapa de formación del contrato, lo será con mayor razón durante su vida, en cuanto se presenten situaciones relevantes para el cliente”115. 112 C1., fl. 308. 113 Decreto 663 de 1993, art. 97: “Información a los usuarios. Las entidades vigiladas deben suministrar a los usuarios de los servicios que prestan la información necesaria para lograr la mayor transparencia en las operaciones que realicen, de suerte que les permita, a través de elementos de juicio claros y objetivos, escoger las mejores opciones del mercado y poder tomar decisiones informadas.
(…)”. 114 Al respecto, ha explicado la Corte Constitucional "[L]a actividad financiera es de interés general, pues en ella está comprometida la ecuación ahorro - inversión que juega papel fundamental en el desarrollo económico de los pueblos. Es por ello que cualquier actividad que implique esta forma de intermediación de recursos, o la simple captación del ahorro de manos del público, debe quedar sometida a la vigilancia estatal.
En efecto, en el modelo "social de derecho", en donde corresponde al Estado conducir la dinámica colectiva hacia el desarrollo económico, a fin de hacer efectivos los derechos y principios fundamentales de la organización política, no resulta indiferente la manera en que el ahorro público es captado, administrado e invertido. La democratización del crédito es objetivo constitucionalmente definido (C.P art. 335) y la orientación del ahorro público hacia determinado propósito común se halla justificada como mecanismo de intervención del Estado en la economía (C.P. art. 334), para lograr la distribución equitativa de las oportunidades y los beneficios del desarrollo.
Además, la actividad propiamente financiera tiene repercusión en la soberanía monetaria del Estado, pues es sabido que el papel que el sistema financiero cumple dentro de la economía implica la emisión secundaria de moneda, mediante la creación de medios de pago distintos de los creados por la vía de la emisión, por lo cual su adecuada regulación, vigilancia y control compromete importantes intereses generales.
Pero más allá de este interés público, corresponde también al Estado velar por los derechos de los ahorradores o usuarios, razón que también milita para justificar la especial tutela estatal sobre las actividades financiera, bursátil y aseguradora y sobre cualquier otra que implique captación de ahorro de manos del público”. Corte Const., sent.
C-940 de 2003, oct. 15/2003, M.P. Marco G. Monroy. 115 Rodríguez Azuero, S., Contratos Bancarios. Su significación en América Latina, Legis Editores, 5° ed, Bogotá – 2005, p. 181. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 38 121.
Dada su relevancia jurídica y anterioridad temporal, la omisión culposa inicial del Banco relativiza, desde el punto de vista de la aportación causal, la relevancia que se le puede dar al hecho de que la Beneficencia tuviera instalado un antivirus desactualizado al momento del fraude. En todo caso, las pruebas del plenario no acreditan que, de haberse encontrado actualizado dicho software, este habría impedido efectivamente la instalación del programa malicioso o la extracción de las claves con las que luego se habrían sustraído los fondos. 122.
Ahora bien, como se indicó anteriormente, en la cadena de eventos que desembocó en la sustracción de fondos de propiedad de la entidad estatal, la Sala identifica una segunda conducta culposa atribuible al Banco, posterior a la presunta instalación del software malicioso. Este nuevo hecho, debidamente acreditado con el material probatorio, refuerza la conclusión de que el daño es jurídicamente atribuible a la institución financiera, porque este antecedente fue determinante desde el punto de vista causal en la producción del daño. 123.
Según el cronograma de operaciones de la cuenta corriente No. 001-13373-5, documento de autoría del Banco que obra en el plenario, el 19 de noviembre de 2007 —fecha en la que se sustrajeron los fondos— se efectuaron 303 acciones distintas por medio de la plataforma OCCIRED sobre la anotada cuenta116. La Sala se abstiene de transcribir el contenido de todas esas operaciones para evitar la revelación de datos privados o semiprivados117.
No obstante, destaca varios aspectos relevantes. 124. En primer lugar, más de 170 interacciones se registraron antes de las 08:00 A. M., a pesar de que la Beneficencia no realizaba transacciones en horas de la madrugada. Así lo corroboró el testimonio del gerente de la época: “los recursos no se movían en otro horario que no fueran laborales, o sea entre las ocho de la mañana y las cinco o seis de la tarde que salíamos del trabajo, eso era una regla de oro para nosotros”118.
Esta declaración no aparece controvertida o desvirtuada por ningún otro medio de prueba. En segundo lugar, el mensaje del sistema “no está autorizado para realizar esta transacción” se generó en 38 ocasiones, mientras el mensaje “Transacción Fallida, sesión no válida” apareció en 23 oportunidades119. En tercer lugar, las direcciones IP desde las cuales se realizaron las operaciones no coincidían con la red de internet de la Beneficencia, como lo indicó el informe del 18 de enero de 2021 elaborado por la FGN.
Además, los recursos fueron transferidos a cuentas ubicadas en Barranquilla, Bogotá, Cartagena y Cúcuta, a pesar de que el historial transaccional de la entidad no reflejaba operaciones previas con destino en Barranquilla, Cartagena o Cúcuta120. 125. A pesar de todo lo anterior, no fue sino hasta las seis de la tarde (18:00) del 20 de noviembre de 2007 —cuando ya se había consumado la sustracción de los fondos— que el Banco alertó a la Beneficencia sobre intentos inusuales de transacción desde sus cuentas.
Y solo hasta el día siguiente, 21 de noviembre, procedió a bloquearlas. Estos hechos se encuentran respaldados en diferentes pruebas del plenario, como la 116 C1, fls. 322-325. 117 Cfr. Ley 1266 de 2008, art. 3. 118 C1A, fl. 486. 119 C1, fls. 322-325. 120 C1, fls. 92-97. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 39 denuncia radicada ante la FGN121, la comunicación enviada por el Banco a la Beneficencia el 26 de noviembre de 2007122 y los testimonios de Héctor Banguera123 y Leonor Abadía124. 126.
Si bien —como se estableció anteriormente— cuando se perpetró el fraude aún no había entrado en vigor la Circular 052 de 2007 de la Superintendencia Financiera, que impuso a los sujetos vigilados el deber de elaborar perfiles de costumbre transaccional de sus clientes, ello no autorizaba al Banco a mantener una actitud de indiferencia frente a un conjunto de eventos cuyo carácter claramente anómalo podía comprometer la seguridad de los fondos depositados en las cuentas de ahorro y corriente de la Beneficencia. La regla general del contrato de depósito es que el depositario responda incluso por culpa leve en la custodia y conservación de la cosa, y se presume que la pérdida o deterioro se debe a su culpa (Código de Comercio, art. 1171).
Ahora bien, tratándose de depósitos en cuenta corriente o de ahorros (Código de Comercio, arts. 1382 y 1396), los deberes de seguridad —instrumentales de la obligación de custodia— adquieren una especial trascendencia, en razón del carácter profesional y habitual de las actividades de intermediación financiera y del compromiso de los recursos captados del público125. 127.
En el caso concreto, el conjunto de circunstancias anómalas exigía que el Banco no se mantuviera impasible frente a su ocurrencia, sino que actuara con la diligencia exigible en virtud de su deber de seguridad. Entre esas circunstancias se encontraban: (i) el alto volumen de actividades; (ii) el monto de las operaciones; (iii) el elevado número de intentos de ingreso y transacciones fallidas;
(iv) la ejecución de estas en horas de la madrugada; (v) el uso de direcciones IP distintas a las habituales; y, (vi) la localización atípica de las cuentas de destino de los recursos. Frente a este escenario, no solo era esperable, sino jurídicamente exigible que el Banco —en su condición de profesional de la intermediación financiera— adoptara una conducta orientada a evitar la realización de las transacciones, esto es, que reaccionara activamente ante una situación extraordinaria, cuyo carácter anómalo, por lo demás, no fue desconocido por la propia entidad en sus alegatos. 128.
Así, desde el punto de vista de la determinación causal, la pérdida de los fondos es imputable al Banco. Las pruebas sobre la sucesión de eventos que antecedieron la producción del daño conducen a dos conclusiones. Primero, la omisión culposa inicial del Banco relativiza la relevancia jurídica del hecho de que la Beneficencia tuviera instalado un antivirus desactualizado en los discos duros donde se alojaba el software 121 C1, fls. 61-65. 122 C1, fls 71-74. 123 C1A, fls 481-487. 124 C. Pruebas, fls. 23-33. 125 “la institución bancaria no solo tiene la obligación de custodia de los dineros recibidos del depositante, sino de garantizar la seguridad de los servicios que ofrece y de las operaciones que permite realizar en relación con tales depósitos, labores en las que, como las demás inherentes a su actividad, debe obrar con la diligencia propia de un profesional, de tal forma que el sector no pierda la confianza del público.
En ese sentido, se ha indicado que la seguridad es uno de los deberes significativos en la relación banco – cliente. «La obligación de seguridad puede considerarse como aquella en virtud de la cual una de las partes del contrato se compromete a devolver al otro contratante, ya sea en su persona o en sus bienes, sanos y salvos a la expiración del contrato, pudiendo ser asumida tal obligación en forma expresa por las partes, ser impuesta por la ley, o bien surgir tácitamente del contenido del contrato a través de su integración sobre la base del principio de buena fe»” Barbier, E., Contratación Bancaria, Tomo I, Consumidores y usuarios, Buenos Aires: Editorial Astrea, 2° ed., 2002, pág. 42, citado en C.S.J., Cas.
Civil. Sent. SC18614-2016, dic. 19/2016. M.P. Ariel Salazar Ramírez. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 40 malicioso, que habría capturado las contraseñas. Además, no hay prueba de que, de haberse encontrado actualizado dicho software, este habría impedido efectivamente la instalación del programa malicioso o la extracción de las claves.
Por lo tanto, no puede afirmarse que se configure una concurrencia de culpas. 129. Segundo —y más importante—, el factor determinante del daño fue la omisión del Banco en adoptar medidas ante un conjunto de eventos ocurridos en la madrugada del 19 de noviembre de 2007. Estos hechos no solo son los más cercanos al daño desde el punto de vista temporal, sino que su naturaleza anómala —como el alto volumen de operaciones, las transacciones fuera del horario laboral, las direcciones IP no habituales y el uso atípico de las cuentas— indicaban un riesgo evidente.
De no haber mediado la omisión del Banco, la consecuencia previsible, según un juicio retrospectivo de probabilidad (prognosis póstuma), es que la sustracción de fondos no se habría producido. El bloqueo de las cuentas, o una comunicación pronta con el cuentahabiente, habría prevenido el daño. 130. En conclusión, la pérdida de los fondos es jurídicamente atribuible al Banco.
Más allá de no haberse superado el umbral probatorio necesario para afirmar que las claves fueron sustraídas mediante un software malicioso, lo que habría posibilitado la comisión del fraude, en la cadena causal intervinieron dos conductas culposas del Banco. La última de ellas, en particular, fue la que resultó determinante en la producción del daño. En este sentido, desde el punto de vista de la imputación del daño, la Sala concluye que no media una concurrencia culpas. 131.
Para finalizar esta parte del análisis de los recursos de apelación, la Sala se referirá a la manifestación hecha por el Banco en el sentido de que se habrían probado seis hechos que obligaban a adoptar una decisión distinta en primera instancia (párr. 36). Los tres primeros hechos invocados corresponden a imputaciones de culpa contra la Beneficencia: (i) la omisión en la implementación de restricciones de seguridad;
(ii) la ejecución de las operaciones fraudulentas con el usuario y la clave del cliente; y (iii) el incumplimiento del deber de conservar adecuadamente las credenciales de acceso y establecer protocolos de protección. Como se concluyó previamente, no está probado que la culpa de la Beneficencia haya sido determinante en la pérdida de los fondos.
Por el contrario, quedó acreditado que en la cadena causal intervinieron dos conductas culposas del Banco. 132. El cuarto hecho alegado por el Banco, relativo a la fecha de entrada en vigor de la Circular 052 de 2007 de la Superintendencia Financiera y su supuesta impertinencia para evaluar el nivel de seguridad exigible a la plataforma OCCIRED, tampoco justifica modificar la decisión de primera instancia. Este planteamiento, acogido por la Sala, condujo a desestimar las conclusiones plasmadas en unos de los experticios elaborados por TGR y aportados por la entidad estatal.
Sin embargo, de esto no se sigue la culpa del cuentahabiente. Por tanto, bajo el régimen de responsabilidad con el que se definió la controversia y que no fue controvertido en los recursos de apelación, no operó una causal de exoneración de responsabilidad contractual. 133. La misma consideración es aplicable a los hechos quinto y sexto, relativos, respectivamente, a la capacitación impartida sobre el uso del canal transaccional y las medidas de seguridad, así como a la inexistencia de participación de empleados del Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 41 Banco en la ejecución del fraude.
De haberse probado estos hechos, ello no impide la atribución jurídica del daño a la institución financiera, pues no acreditan la culpa exclusiva del cuentahabiente. Además, la Sala concluyó que, lejos de lo afirmado en la alzada, las capacitaciones no versaron sobre la adopción de medidas de seguridad, sino únicamente sobre el funcionamiento operativo de la plataforma.
El capital adeudado por el Banco y el reconocimiento de intereses de mora 134. Confirmada la responsabilidad contractual del Banco, corresponde ahora examinar los reparos formulados contra la sentencia de primera instancia en lo relativo a la cuantía de la condena y al reconocimiento de intereses de mora. Según el Banco, al momento de fijar esta suma, el Tribunal omitió considerar dos acuerdos de pago celebrados por la Beneficencia con personas que participaron en el ilícito, ajenas a las partes del proceso, uno por $19’600.000 y otro por $400’000.000. 135.
La Sala encuentra acreditado que, en el marco del preacuerdo celebrado con la FGN, la señora Edna Margarita Velilla asumió la obligación de reintegrar a la Beneficencia la suma de $19’600.000 por su participación en el fraude. Este hecho fue reseñado en la demanda (párr. 22126) y se desprende de las audiencias celebradas dentro del proceso penal adelantado en su contra127, así como del testimonio rendido por el abogado Jorge Chamorro, apoderado de la Beneficencia, quien intervino en calidad de víctima128. 136.
Además, en el plenario obra una certificación expedida por la Beneficencia, oportunamente allegada al proceso, que da cuenta de que la obligación fue pagada, esto es, que la entidad recibió efectivamente la suma mencionada: 126 C1, fl. 217. 127 “La señora Edna Margarita Velilla Castro reintegró la suma del ilícito en tres cuotas.
La primera de 9’600.000 el 7 de julio del 2008, la segunda de 5’000.000 el 2 de julio de 2008 y la tercera de 5’000.000 el 3 de julio de 2008, lo que fue confirmado por la gerencia de la entidad ofendida” C. Pruebas, fol. 158, CD 1, audio 2, 5:00-5:33. 128 “la señora procesada Edna Margarita Velilla Castro (capturada) quien había retirado de la cuenta de un hijo suyo no recuerdo si era en Cartagena o en Barranquilla una suma aproximada de DIECINUEVE MILLONES DE PESOS, cantidad que fue devuelta por dicha dama a la Beneficencia” C1A, fl. 489.
Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 42 137. En contraste con lo anterior, las pruebas del expediente no revelan el pago adicional de $400’000.000 al que hizo referencia el Banco en su recurso de apelación. El único medio de prueba concerniente a este asunto es el testimonio rendido por el abogado Jorge Chamorro, apoderado judicial de la Beneficencia, entidad que intervino en calidad de víctima en el proceso penal seguido contra Edgar Bustamante Huertas.
En su declaración, mencionó que dicho sujeto habría contraído el compromiso de reintegrar esa suma, pero también señaló que, para la fecha de su testimonio, la entidad no había recibido el pago: “Esta situación, no tomó de sorpresa a la Beneficencia del Valle, ya que se había acordado previamente con la misma que no les interesaban personas encarceladas, sino que lo primordial era recuperar algo de lo hurtado.
Una vez en libertad el procesado (de la isla Barú) [Edgar Bustamante Huertas] se tuvieron varios encuentros con éste y su abogada en la Beneficencia del Valle donde se logró en esa época suscribir unos pagarés donde este caballero se comprometía a devolver esos CUATROCIENTOS MILLONES en diferentes épocas sin tener en cuenta indexación alguna.
Es de anotar, que este señor hasta el momento no ha cumplido y creo saber el motivo por así decirlo jurídico de su incumplimiento, ya que la Jurisprudencia Penal de la Corte, posterior al Fallo del Tribunal Superior de Cali, varió su criterio en el sentido de considerar que el preacuerdo no es una modalidad de allanamiento y por lo tanto, la persona no está obligada a devolver ni siquiera la mitad de lo apropiado”129. 138.
En el expediente no reposan los documentos mencionados en el testimonio del abogado Chamorro sobre una supuesta asunción de la deuda por parte del señor Edgar Bustamante. Tampoco se encuentra acreditado que el Banco —deudor principal de la obligación de restituir las sumas entregadas a título de depósito— hubiera sido liberado de dicho pasivo con el consentimiento de la Beneficencia de Cundinamarca.
La falta de un acuerdo en tal sentido impide acoger el planteamiento del Banco, pues la asunción (que no el pago) de una obligación por parte de un tercero no extingue la 129 C1A, fl. 490. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 43 del deudor primitivo si no media la anuencia del acreedor.
Así lo establece el artículo 1694 del Código Civil, que dispone lo siguiente: “La sustitución de un nuevo deudor a otro no produce novación, si el acreedor no expresa su voluntad de dar por libre al primitivo deudor. A falta de esta expresión se entenderá que el tercero es solamente diputado por el deudor para hacer el pago, o que dicho tercero se obliga con él solidaria o subsidiariamente, según parezca deducirse del tenor o espíritu del acto”130. 139.
Por otra parte, en el plenario no obra prueba alguna que acredite que el señor Edgar Bustamante haya efectuado el pago de la deuda que presuntamente asumió con la Beneficencia en el marco del proceso penal131. En consecuencia, no está acreditado que, por cuenta de este tercero, se haya producido un resarcimiento parcial del daño sufrido por la entidad estatal.
Por tanto, no procede descontar dichas sumas del monto de la condena impuesta en primera instancia. 140. En conclusión, el capital adeudado por el Banco asciende a la suma que tuvo en cuenta el Tribunal por concepto de los fondos sustraídos, respaldada en los comprobantes contables de la Beneficencia obrantes en el expediente: $996’129.609132.
Sin embargo, de esta suma debe descontarse el pago parcial efectuado por Edna Margarita Velilla, por valor de $19’600.000. En consecuencia, el saldo a cargo del Banco equivale a $976’529.609. 141. En cuanto a los intereses de mora, la Beneficencia cuestionó que el Tribunal hubiera considerado improcedente su reconocimiento, con fundamento en que los recursos derivados de la explotación del monopolio rentístico de juegos de suerte y azar, administrados por la entidad estatal, estaban destinados exclusivamente a la financiación de servicios de salud y, por ende, no estaban llamados a generar rendimientos financieros.
La entidad alegó que esta decisión desconocía el principio de reparación integral del daño, en la medida en que los fondos no pudieron aplicarse a su destinación legal como resultado de su indebida sustracción. 142. Según el artículo 1608 del Código Civil, el deudor se constituye en mora: (i) cuando no ha cumplido la obligación dentro del término estipulado, salvo que la ley, en casos 130 La jurisprudencia de la Corte Suprema de Justicia ha precisado sobre la denominada ‘cesión de deudas’: “es distinto sustituir a un acreedor que a un deudor.
Respecto del primero, la posición del obligado no sufriría afectación, pues ( ) su prestación tendría que solucionarla sin importar el nombre del titular. Con relación al segundo, la cuestión sería trascendente, en cuanto, muy seguramente, la persona del solvens, su capacidad económica, reputación, en fin, se habrían erigido en factores de confianza y de garantía al momento de otorgarse el crédito, por lo tanto, como esas condiciones bien pueden no concurrir en el deudor reemplazante, es natural entender que el consentimiento del accipiens se hace necesario” C.S.J., Cas.
Civil, exp. 7467, oct. 23/2023, M.P. Silvio F. Trejos. En consecuencia, esa Corporación ha manifestado que es inoponible una cesión del deudor sin autorización del acreedor: “en la hipótesis de fungir de cedente el propio deudor, campo propio de la asunción de deudas, la situación es totalmente distinta, porque su salida de la relación sustancial controvertida, cuando no sea legal o convencionalmente prohibida, debe supeditarse, como es apenas natural entenderlo, a la voluntad del acreedor, so pena de inoponibilidad, a la postre, el mecanismo legal de protección de sus intereses” C.S.J., Cas.
Civil, sent. SC15339－2017, sep. 28/2017, M.P. Luis A. Tolosa. 131 La Beneficencia aportó —extemporáneamente— una certificación en la que se indica no había recibido ningún pago por este concepto, Sin embargo, no puede conferir mérito probatorio a ese documento por no haberse aportado en las oportunidades probatorias pertinentes. 132 “LA SUSCRITA DIRECTORA FINANCIERA (E) DE LA BENEFICENCIA DEL VALLE DEL CAUCA EICE - CERTIFICA – Que en los registros contables de la Entidad, en las cuentas de orden aparece contabilizado el valor de NOVECIENTOS NOVENTA Y SEIS MILLONES CIENTO VEINTINUEVE MIL SETECIENTOS NUEVE PESOS CON 47/100 MCTE.
($996’129.609.47), que corresponde a los dineros que fueron retirados fraudulentamente por vía electrónica el día 19 de noviembre del año dos mil siete (2.007). Para constancia se firma en Santiago de Cali a los cinco (5) días del mes de agosto del año dos mil nueve (2.009)” C1, fl. 59. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 44 especiales, exija que se requiera al deudor para constituirlo en mora;
(ii) cuando la cosa no ha podido ser dada o ejecutada sino dentro de cierto tiempo y el deudor lo ha dejado pasar sin darla o ejecutarla; y (iii) en los demás eventos, cuando el deudor ha sido judicialmente reconvenido por el acreedor. En consecuencia, la existencia y exigibilidad del débito son requisitos esenciales para que se configure la mora. 143.
En este caso, el objeto del litigio no es tan simple como el incumplimiento del establecimiento bancario en la obligación de restituir las sumas depositadas en cuentas corrientes o de ahorro. Si fuera así, dado que preexiste la obligación característica del depósito irregular de dinero, la mora se habría producido antes de la emisión de la sentencia. Sin embargo, el proceso tiene por objeto definir una situación jurídica subjetiva sobre la cual no existía certeza antes de la sentencia: quién debe responder por la pérdida de fondos, considerando que no fueron ni el Banco ni la Beneficencia ni sus dependientes los autores de la sustracción. 144.
En otras palabras, lo que se debate de modo principal es quién debe asumir la responsabilidad por la sustracción de fondos de la cuenta corriente de la entidad estatal. Esto implicó la necesidad de adelantar un juicio para establecer las condiciones que rodearon el evento, descartar la culpa exclusiva del cuentahabiente en la producción del daño y analizar los deberes de conducta que le asisten al establecimiento bancario.
Dado que la sentencia judicial es la que define quién debe responder y, por tanto, es la fuente inmediata de la obligación, no resulta procedente ordenar el pago de intereses de mora sobre el cumplimiento de una obligación que solo surge con esta decisión. 145. Sin perjuicio de lo anterior, el valor pendiente de pago ($976’529.609) se actualizará desde noviembre de 2007, fecha de comisión del fraude que también tuvo en cuenta el Tribunal para el efecto.
Valor actualizado = [Valor histórico * (IPC final mayo 2025 / IPC noviembre de 2007)]. Esta operación arroja una suma de dos mil doscientos setenta y dos millones setecientos sesenta y seis mil trescientos veintitrés pesos ($2.272’766.323), que se explica así: (Valor actualizado) = [$976’529.609 * (150,14: IPC final / 64,51: IPC inicial)].
Costas 146. En ausencia de prueba sobre temeridad o mala fe en la actuación procesal de las partes, la Sala se abstendrá de imponer condena en costas, conforme a lo dispuesto en el artículo 171 del Código Contencioso Administrativo, modificado por el artículo 55 de la Ley 446 de 1998133. 133 La demanda se presentó el 6 de noviembre de 2009.
La Ley 1437 de 2011 solo se aplica a las demandas y procesos que se instauren con posterioridad a la entrada en vigencia. Por lo tanto, este proceso se rige por el CCA. Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 45 IV.
PARTE RESOLUTIVA En mérito de lo expuesto, el Consejo de Estado, en Sala de lo Contencioso Administrativo, Sección Tercera, Subsección A, administrando justicia en nombre de la República y por autoridad de la Ley, FALLA:
PRIMERO: MODIFICAR la sentencia proferida el 25 de febrero de 2016 por el Tribunal Administrativo del Valle del Cauca, por lo cual su parte resolutiva será la siguiente: “PRIMERO. DECLARAR no probadas las excepciones ‘culpa exclusiva del usuario del servicio electrónico’, ‘clave y nombre están bajo el cuidado del cuentacorrentista – contrato no cumplido’ y ‘contrato cumplido’, formuladas por el Banco de Occidente S.A.
SEGUNDO. DECLARAR contractualmente responsable al Banco de Occidente S.A. por el incumplimiento del contrato de cuenta corriente No. 001-13373-5, del contrato de cuenta de ahorro No. 001-89000-3 y del contrato adicional de servicio Occired No. 0012677, suscritos entre la beneficencia del Valle del Cauca y dicha entidad financiera.
TERCERO. Como consecuencia de la anterior declaración, condenar al Banco de Occidente S.A. al pago de una suma de dinero equivalente a dos mil doscientos setenta y dos millones setecientos sesenta y seis mil trescientos veintitrés pesos ($2.272’766.323) a favor de la Beneficencia del Valle del Cauca.
CUARTO. SIN COSTAS en esta instancia.
QUINTO. ORDENAR para que la Secretaría proceda a inscribir el presente proceso en el sistema de justicia Siglo XXI.
SEXTO. LIQUIDAR los gastos del proceso conforme se ordenó en el auto admisorio de la demanda y previa solicitud, DEVOLVER si existieren, los remanentes a la parte demandante.
SÉPTIMO. En el evento que la presente providencia no sea objeto de recurso de apelación DESE trámite al grado jurisdiccional de consulta, conforme a lo estipulado por el artículo 184 del C.C.A”.
SEGUNDO: Sin condena en costas en esta instancia.
TERCERO: Ejecutoriada esta providencia, DEVOLVER el expediente al Tribunal de origen.
NOTIFÍQUESE Y CÚMPLASE, FIRMADO ELECTRÓNICAMENTE FIRMADO ELECTRÓNICAMENTE MARÍA ADRIANA MARÍN FERNANDO ALEXEI PARDO FLOREZ FIRMADO ELECTRÓNICAMENTE JOSÉ ROBERTO SÁCHICA MÉNDEZ Radicación: 76001233100020090103001 (57.457) Actor: Beneficencia del Valle del Cauca Demandado: Banco de Occidente S.A. Referencia: Acción contractual 46 Nota: se deja constancia de que esta providencia se suscribe de forma electrónica mediante el aplicativo SAMAI, de manera que el certificado digital que arroja el sistema permite validar la integridad y autenticidad del presente documento en el link https://relatoria.consejodeestado.gov.co:8080/Vistas/documentos/evalidador.
Igualmente puede acceder al aplicativo de validación escaneando con su teléfono celular el código QR que aparece a la derecha. Se recuerda que, con la finalidad de tener acceso al expediente, los abogados tienen la responsabilidad de registrarse en el sistema Samai. VF