Radicación n.° 11001-02-03-000- 2025-03647-00 HILDA GONZÁLEZ NEIRA Magistrada Ponente STC13383-2025 Radicación n.° 11001-02-03-000-2025-03647-00 (Aprobado en Sala de veintisiete de agosto de dos mil veinticinco) Villavicencio, Meta, veintisiete (27) de agosto de dos mil veinticinco (2025). Desata la Corte la tutela que Banco Caja Social S.A. instauró contra la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá y la Superintendencia Financiera de Colombia -Delegatura de Asuntos Jurisdiccionales-, extensiva a los demás intervinientes en los consecutivos 2023084339-064-000 y 11001-31-99-003-2023-03703-01.

ANTECEDENTES 1.- La libelista, por medio de apoderado, invocó la guarda del derecho al «debido proceso», para que se ordenara dejar sin efectos las providencias de 17 de septiembre de 2024 y 7 de mayo de 2025 emitidas en los asuntos debatidos. Del dossier se extrae que la Delegatura de Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia, en la acción de protección al consumidor que la Empresa de Desarrollo Urbano y Hábitat “EICE EDU” promovió contra la tutelante (rad. 2023084339-064-000) dictó sentencia en la que decidió: « PRIMERO: DECLARAR no probadas las excepciones propuestas por la parte demandada denominadas “HECHO DE LA VÍCTIMA COMO CAUSA EXCLUSIVA DEL DAÑO Y EXIMENTE DE RESPONSABILIDAD DEL BANCO CAJA SOCIAL, DILIGENCIA DEL BANCO CAJA SOCIAL Y CUMPLIMIENTO DE SUS DEBERES PROFESIONALES, INEXISTENCIA DE RESPONSABILIDAD DE BANCO CAJA SOCIAL EN LOS HECHOS QUE SUSTENTAN LAS PRETENSIONES DE LA DEMANDA POR AUSENCIA DE NEXO DE CAUSALIDAD (…).

SEGUNDO: DECLARAR contractualmente responsable a BANCO CAJA SOCIAL por las operaciones realizadas el día 16 de septiembre de 2022 con cargo a cuenta de ahorros terminada en el número ***6829 de titularidad de la sociedad EMPRESA DE DESARROLLO URBANO Y HABITAT EICE EDU (…).

TERCERO: CONDENAR a BANCO CAJA SOCIAL pagar al demandante la sociedad EMPRESA DE DESARROLLO URBANO Y HABITAT EICE EDU la suma de TRESCIENTOS OCHENTA Y SEIS MILLONES NOVECIENTOS NOVENTA MIL PESOS $386.990.000, dentro de los 20 días hábiles siguientes a la notificación de la presente decisión más los intereses pactados en la cuenta de ahorros desde la fecha de la realización de las operaciones hasta la fecha efectiva de pago…» (17 sep. 2024).

Apelada esa determinación, el ad quem la convalidó (rad. 2023-03703-01, 7 may. 2025). La actora reprochó dicho proceder, afirmando que en ambas instancias se realizó una indebida valoración del material probatorio, pues pese a, «(…) encontrarse probadas las actuaciones y/o omisiones que conllevaron a que la Empresa de Desarrollo Urbano y Hábitat incidiera en el daño por el cual reclamaba en el proceso, esto es, en la realización de las operaciones desconocidas, ya que al haber perdido su información transaccional y no haber tomado las medidas de seguridad, se permitió y/o facilitó que terceros realizaran las operaciones (…), las sentencias proferidas (…), no tuvieron en consideración dicha incidencia causal y procedieron a condenar a Banco Caja Social en un ciento por ciento del valor de las operaciones desconocidas por la entidad demandante, [lo que configuró] un absoluto desconocimiento del precedente jurisprudencial en materia de coparticipación casual en responsabilidad bancaria [SC5176-2020]».

Tras citar algunos asuntos que, en su opinión, acompasaban con lo ocurrido, concluyó que de conformidad con aquellos, «(…) en los eventos de fraude bancario en los que se encuentra probado un incumplimiento de las obligaciones tanto de los consumidores como de la entidad financiera, con lo cual, se pueda determinar que los dos contribuyeron en la causación del daño, ambos deben hacerse responsable de manera conjunta del mismo (…)» y, aunque, si bien, «en el caso bajo análisis, la Delegatura de Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia, encontró responsable a Banco Caja Social por el fraude reclamado por la Empresa del Desarrollo Urbano y Hábitat (…) también, encontró probado un incumplimiento en las obligaciones de la Empresa de Desarrollo Urbano y Hábitat, tales como la pérdida de los tokens y el haberse encontrado que el computador a través del cual se accedía al Canal Internet Empresarial se encontraba infectado por un malware (…)»; así las cosas, debió tenerse en cuenta «el precedente tanto vertical como horizontal, que establece que en casos en los que se pruebe el incumplimiento de ambas partes debe haber una responsabilidad compartida atendiendo a la participación causal que cada uno tuvo en la producción del daño, [por tanto] no resulta justificable en sentido alguno, que la condena emitida a Banco Caja Social (…), hubiera sido condenatoria en un ciento por ciento (…)». 2.- La Sala Civil del Tribunal Superior de Bogotá defendió la legalidad de su obrar aduciendo que de las actuaciones allí surtidas «( ) no se advierte la presencia de una causal especifica de procedencia del amparo y, por el contrario, la providencia objeto de reproche no es el resultado de un subjetivo criterio que conlleve la vulneración denunciada por la querellante, en razón a que se ajustó a derecho».

La Superintendencia Financiera de Colombia requirió su desvinculación por falta de legitimación en la causa por pasiva. CONSIDERACIONES 1.- Ab initio se anuncia el fracaso de la salvaguarda porque la sentencia emitida por la Sala Civil del Tribunal Superior de Bogotá (7 may. 2025), que zanjó de manera definitiva la «acción de protección al consumidor» n.° 2023-03703-01, no fue el resultado de criterios subjetivos u ostensiblemente alejados del ordenamiento jurídico o de la realidad procesal.

Luego de relacionar los supuestos fácticos que originaron el juicio, memoró que los reparos en los que se fundó el recurrente para combatir el fallo de primera instancia, se cimentaron en los siguientes aspectos: «(…) 5.1. La Empresa del Desarrollo Urbano y Hábitat, perdió la custodia de los tokens que le fueron asignados por Banco Caja Social S.A. y con los cuales se realizaron las transacciones cuestionadas, toda vez que estos corresponden a los Nos. 422***7526 y 42***77517, sin embargo, la actora confesó que tenía la custodia de los identificados con los Nos. 419***2548 y 4195***539, los cuales habían sido entregados a otros clientes.

En esa medida, “tuvo una incidencia causal en el daño por el cual reclamó (…) y en consecuencia debe hacerse responsable por el mismo”. 5.2. Se demostró que la demandante no contaba con medidas de seguridad como un antivirus ni un sistema firewall, pues, se probó que el equipo de cómputo usado por la demandante tenía un malware instalado.

A su juicio “no se explica como esa situación no fue evaluada por la Delegatura al momento de impartir una condena en un 100% al Banco Caja Social,” toda vez que, “fue la misma parte actora con su actuar descuidado y negligente la que la expuso al riesgo que terminó con la realización de las operaciones debatidas (…)”. 5.3. La demandante “tuvo como conocer de manera previa a la realización de las operaciones (…) que sus sistemas se encontraban vulnerados y habían sido accedidos sin tomar actuación oportuna alguna al respecto,” pues se acreditó que desde las 8:00 a.m. el acceso al computador desde el cual se accedía al canal de internet empresarial estaba inhabilitado y desde las 8:33 a.m. los celulares en los que se recibían notificaciones estaban bloqueados sin que se tomara ninguna acción preventiva. 5.4.

Se demostró que la actora “compartía el usuario y la clave con terceros no registrados ante el Banco” y esa información debía ser conocida única y exclusivamente por el usuario registrado ante el Banco Caja Social S.A». Circunscrito a tales alegaciones, estableció como problema jurídico a resolver, «(…) si tal como lo aduce el Banco Caja Social S.A., no era viable acoger las pretensiones de la demanda, en la medida que no se demostraron los elementos de su responsabilidad ya que el fraude del que fue víctima EICE Empresa del Desarrollo Urbano y Hábitat obedeció a su propia culpa» y, precisó que, en este caso «se encuentra demostrado, que el 16 de septiembre de 2022, respecto de la cuenta bancaria n°. **6829 de titularidad de la actora, se realizaron las siguientes transferencias no reconocidas por ella» así: Número de cuenta Fecha Hora Nombre del beneficiario Valor IP 24054928341 16/09/2022 10:47:38 a.m Francisco García M. $120,450,00 179.1.79.215 24114821513 16/09/2022 09:47:59 a.m. Oscar H. Álvarez O. $401,350,00 179.1.79.215 24115085086 16/09/2022 09:45:20 a.m Jenny A. Valle V. $398,400,00 179.1.79.215 24112546498 16/09/2022 09:32:22 a.m Federico Murillo T. $80,250,000 179.1.79.215 24079905448 16/09/2022 09:22:41 a.m Isabel C. Roldán D. $405,500,00 179.1.79.215 Bajo ese contexto, esgrimió: «(…) pese a que la convocada afirma que el fraude tuvo ocurrencia por culpa exclusiva de la actora, que desatendió sus deberes de autocuidado, en tanto: (i) los movimientos cuestionados se realizaron con el usuario registrado y los tokens asignados por la entidad financiera, (ii) los equipos de cómputo de EICE Empresa del Desarrollo Urbano y Hábitat no contaban con medidas de seguridad como un antivirus ni un sistema firewall, (iii) compartía su usuario y clave con terceros y (iv) “tuvo como conocer de manera previa a la realización de las operaciones (…) que sus sistemas se encontraban vulnerados y habían sido accedidos sin tomar actuación oportuna alguna al respecto”», lo cierto es que, del acervo arrimado al plenario, se acreditó que «la demandante en el mismo día en que ocurrieron los hechos, a través de oficios Nos. 1300-0537, 1300-0539 1300-0541 le solicitó al Banco Caja Social S.A. la reversión de las operaciones desconocidas (…) de igual forma, refirió que la respuesta del banco fue adversa a sus pretensiones a través de comunicación anexa al escrito inicial fechada 1 de noviembre de 2022 (…)» además, «(…) puso en conocimiento de la Fiscalía General de la Nación los hechos en mención a través de noticia criminal calendada 7 de octubre de 2022» y, asimismo, alertó «de los mismos hechos a las demás entidades financieras con las que tenía algún vínculo, ante lo cual el 31 de octubre de 2022, Bancolombia S.A. le informó del reintegro de las sumas de dinero sustraídas irregularmente y le puso de presente lo siguiente: “en el proceso de investigación se encontró un comportamiento atípico el día de las transacciones y de acuerdo con el análisis técnico forense, se encontró que fue afectado por un virus informático, denominado malware, mediante el cual una persona manipula remotamente, su computador portátil, smartphone o tablet; éste puede obtener de todo tipo de programas, archivos o códigos informáticos, cuya finalidad es dañar un sistema o dispositivo.

Cuando este virus infecta, puede realizar diferentes acciones, como el robo de información, o la captura de contraseñas”». Con dicha información tuvo por cierto que la demandante adelantó las gestiones pertinentes a fin de obtener el reintegro de su dinero y actuó de manera diligente apenas tuvo conocimiento de las irregularidades mencionadas; por tanto, resultaba inviable tener certeza como lo peticionaba Banco Caja Social S.A. de que: «al ser notificada del bloqueo de los abonados telefónicos de su representante legal y del subgerente financiero y administrativo, así como de la fallas de los equipos de cómputo empleados para acceder a la sucursal virtual de la entidad financiera, necesariamente debía conocer del fraude, pues tales circunstancias, no necesariamente obedecían a una conducta delictiva, además de lo afirmado tanto en el escrito inicial, como en el interrogatorio de parte rendido por el representante legal de la actora, se extrae que en este momento estimaron que se trataba de una falla informática, y en esa medida solicitaron la asistencia del personal de sistemas de la compañía».

En cuanto al reproche atinente a la falta de medidas de seguridad en los equipos de cómputo de la empresa convocante, expresó que, «distinto a lo afirmado por la censora, del informe rendido por el representante legal de EICE Empresa de Desarrollo Urbano y Hábitat (…), se sigue que para la fecha en que se realizaron las transacciones desconocidas los computadores contaban con “Firewall, IDS (sistema de detección de intrusos), IPS (sistema de prevención de intrusos) o similar”».

En lo concerniente con las diligencias desplegadas por el Banco Caja Social S.A. frente a las anomalías denunciadas, dijo: «(…) tal como lo consideró la autoridad jurisdiccional de primer grado, del informe de seguridad arrimado al plenario, se extrae que el sistema de monitoreo de la entidad financiera arrojó una alerta de seguridad a las 9:24:32 a.m., sin embargo, la cuenta bancaria n°. **6829 se bloqueó luego de realizadas todas las operaciones cuestionadas (…) de igual forma, se consignó en el informe en cita que, incluso una de las cuentas receptoras de las operaciones cuestionadas presentó alarma a las 10:10:52 a.m. e intentos de retiros rechazados a las 9:35 a.m. sin que esta “presentaran gestión”».

Atendiendo a lo antelado y trayendo a colación el numeral 2.2.3.1 del Capítulo I, Título II, Parte I de la Circular Básica Jurídica de la Superintendencia Financiera, donde se prevén «las obligaciones de las [entidades] vigiladas», aseveró: «de lo previsto en el mentado reglamento y en la Circular Básica Jurídica de la Superintendencia Financiera de Colombia, le correspondía a la entidad demandada efectuar el bloqueo del producto financiero de titularidad de la actora ante: (i) la alerta arrojada por su sistema de monitoreo y (ii) la falta de confirmación por parte del cliente de estas (…) ello, si en cuenta se tiene que dentro de las comunicaciones cruzadas entre los empleados del Banco Caja Social S.A. se pone de presente la importancia de contactar al cliente a fin de confirmar las operaciones “inusuales,” so pena de bloquear la cuenta.

Sin embargo, ante la falta de respuesta de la actora, la entidad financiera no se allanó a ello. En esas condiciones, no le quedaba otro camino al ente encartado que efectuar el bloqueo de la cuenta bancaria n°. **6829 de titularidad de la actora». Coligió, que: «(…) el banco sí incurrió en un comportamiento culposo que le abre paso a las pretensiones de la demanda; pues la falla en el trámite correspondiente a las alertas de seguridad ante los movimientos cuestionados fue determinante para que se consumara la defraudación, riesgo latente en el uso de canales bancarios por internet (…) aunado a lo anterior, tampoco puede afirmarse que las mentadas operaciones hicieran parte del perfil transaccional de EICE Empresa del Desarrollo Urbano y Hábitat, pues tal como mencionó la encartada, este se “encontraba en construcción,” en tanto la cuenta bancaria n°. **6829 se abrió apenas 7 meses antes de la fecha en la que se realizaron los movimientos desconocidos».

Para finalizar, resaltó que: «si bien existen dudas sobre el manejo que la actora le dio a los tokens, en tanto, mientras afirma que mantuvo bajo su custodia los identificados con los Nos. 419500254 y 419500253, y la entidad financiera señaló que le entregó los Nos. 422497752 y 422497751, lo cierto es que ello no demuestra indefectiblemente que las transacciones desconocidas acaecieron por culpa exclusiva de EICE Empresa del Desarrollo Urbano», argumento que apoyó con lo decantado en la sentencia SC5176-2020 de esta Corporación, donde se puntualizó que «“la captación de recursos del público, fuente principal de financiamiento de los bancos, suele desarrollarse a través de los contratos de depósito (en cuenta corriente, a término y de ahorros) tipificados en el Título XVII del Libro Cuarto del estatuto mercantil; en virtud de esas convenciones, el cliente entrega a la entidad bancaria una suma de dinero, y esta se obliga a custodiarla y a asegurar la disponibilidad de los saldos, de forma permanente o al fenecer un plazo predeterminado, según el caso.

Ahora bien, la jurisprudencia ha reconocido, de manera preponderante, que el incumplimiento de esas prestaciones a cargo del banco compromete su responsabilidad civil, a menos que se pruebe la existencia de una causa extraña, particularmente la denominada culpa exclusiva de la víctima ”». Concluyó que «no prosperan los motivos de disentimiento enarbolados por la parte demandada, de acuerdo con los razonamientos que preceden (…)». 2.- En tal virtud, con independencia que esta Colegiatura comparta o no las disertaciones transcritas, no emerge defecto alguno que estructure « vía de hecho » como lo busca la gestora, quien anhela imponer su propia visión acerca de la solución que debió darse al pleito; empero, ese propósito no  acompasa con la finalidad del sendero superlativo, cuyo objetivo no es servir de tercera instancia para discutir los fundamentos de la «autoridad» judicial en el ámbito de sus competencias  (STC, 6 may. 2011, rad. 00829-00; reiterada, en STC9232-2018l, STC2544-2021, STC2419-2023, STC4621-2024 y STC065-2025).  3.- Ergo, el resguardo deviene impróspero.

DECISIÓN En mérito de lo expuesto, la Corte Suprema de Justicia, en Sala de Casación Civil Agraria y Rural, administrando justicia en nombre de la República de Colombia y por autoridad de la Constitución, NIEGA la tutela incoada por Banco Caja Social S.A. contra la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá y la Superintendencia Financiera de Colombia -Delegatura de Asuntos Jurisdiccionales-.

Comuníquese lo resuelto por el medio más expedito y, de no ser impugnado este fallo, remítase el expediente a la Corte Constitucional para su eventual revisión.

NOTIFÍQUESE Y CÚMPLASE HILDA GONZÁLEZ NEIRA Presidenta de Sala MARTHA PATRICIA GUZMÁN ÁLVAREZ FERNANDO AUGUSTO JIMÉNEZ VALDERRAMA JUAN CARLOS SOSA LONDOÑO OCTAVIO AUGUSTO TEJEIRO DUQUE FRANCISCO TERNERA BARRIOS