República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 TRIBUNAL SUPERIOR DEL DISTRITO JUDICIAL DE NEIVA SALA SEXTA DE DECISIÓN CIVIL FAMILIA LABORAL M.P. EDGAR ROBLES RAMÍREZ Proceso: VERBAL RESPONSABILIDAD CONTRACTUAL Demandante: MUNICIPIO DE GARZÓN HUILA Demandados: BANCO DAVIVIENDA S.A. ASEGURADORA SOLIDARIA DE COLOMBIA Radicación: 41298 31 03 001 2021 00021 01 Asunto: APELACIÓN DE SENTENCIA Aprobado y Discutido mediante acta Nº 038 del 18 de marzo del 2026 Neiva (H), dieciocho (18) de marzo de dos mil veintiséis 2026 1.
ASUNTO Procede la Sala Sexta de Decisión Civil Familia del Tribunal Superior del Distrito Judicial de Neiva, a resolver el recurso de apelación interpuesto por la parte demandante contra la sentencia proferida el 15 de diciembre de 2023 por el Juzgado Primero Civil del Circuito de Garzón Huila. 2.
ANTECEDENTES 2.1. PRETENSIONES1 Solicitó la parte demandante se declare al Banco Davivienda S.A., responsable de la guarda y custodia de los dineros depositados por el Municipio de Garzón (H) en las cuentas de ahorros Nros. 0000000209544766 y 0550077300124763; así como de la pérdida de los dineros hurtados de estos productos financieros, por las sumas de $305.550.700 y $275.650.400 respectivamente.
En consecuencia, se condene a la demandada a reintegrar dichos valores, debidamente indexados, junto con los intereses moratorios y/o civiles, desde el 16 de abril de 2020 hasta que se efectúe el pago. Subsidiariamente pidió se declare que la Aseguradora Solidaria de Colombia, amparó la contingencia de hurto de las cuentas de ahorro, en virtud de la póliza todo riesgo 1 Pdf. 021 ReformaDemanda 1 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 daños materiales No. 560-83-994000000185, y en virtud de ello, se condene a reintegrar los montos de $305.550.700 y $275.650.400, indexados, con los intereses moratorios y/o civiles correspondientes. 2.2. HECHOS2 Como sustento fáctico de las pretensiones, indicó que el Municipio de Garzón, tiene en el Banco Davivienda S.A., las cuentas de ahorros No. ****4766 y ****4763.
Relató que el 16 de abril de 2020, mientras la Tesorera, se encontraba realizando los pagos a los contratistas y proveedores, el portal de la entidad financiera presentó inconvenientes, razón por la cual, se contactó con la línea de atención al usuario a las 11:29 am, donde le informaron que se estaban presentando algunas fallas, sin afectaciones a los productos bancarios, de manera que se le impartieron instrucciones de ingreso a la plataforma; trámite que culminó de manera adecuada.
La llamada fue registrada con código de autenticación contact center No. 741982. Al día siguiente, continuaron las anomalías en el portal transaccional del banco, expulsando de la página a la Tesorera, una vez se ingresaban las claves del Token. Por tal motivo, se entregó el computador al Ingeniero de Sistemas de la Alcaldía del Municipio de Garzón, quien, informó verbalmente, el día 22 de abril de 2020, sobre la presencia de un software malicioso denominado “Caín y Abel” que se encarga de robar las claves de las cuentas bancarias.
En atención a ello, el 23 de abril de 2020, se acudió a las oficinas de la institución financiera, ubicadas en Garzón, para realizar el bloqueo de los productos bancarios; sin embargo, allí, el municipio demandante fue informado que el día 16 del mismo mes y año, se realizaron dos transacciones por las sumas de $305.550.700 y $275.650.400, a la cuenta No.17670316011 de Andrés Mauricio Carabalí, que luego fueron retiradas en Bogotá, según oficio 117991710186 emitido por el Subgerente de la oficina de la entidad financiera.
El mismo día, la Tesorera municipal, en compañía del Secretario de Hacienda y el Ingeniero de sistemas, presentaron denuncia ante la SIJIN de la Policía Nacional, con radicado 412986000591202000359. Durante la diligencia el Comandante de la estación 2 Ibídem. 2 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 se comunicó con la funcionaria del Banco Davivienda S.A., encargada de seguridad y delitos informáticos, quien manifestó que la entidad financiera había aprobado los dos pagos y que fueron cobrados en Cali, contradiciendo la información que previamente se había emitido. En el mismo lugar, la Tesorera recibió una llamada del señor Manuel Fernando Bonilla, funcionario del establecimiento bancario, quien, manifestó que no se realizó llamada de verificación de autorización de pago a las personas encargadas de los movimientos de las cuentas porque la entidad no consideró que el pago estuviera en riesgo, desconociendo que el municipio no acostumbra a trasferir esos montos, que ascienden aproximadamente a 581 millones de pesos.
Aunado, se presentaron inconsistencias en la plataforma pues se registró como fecha de creación del pago el 16 de abril 2020, cuando éste se realizó el día anterior. Enfatizó que el Municipio de Garzón, hace transacciones bancarias desde la IP 181.48.30.28, y que según certificación del Ingeniero de Sistemas del municipio, la IP 190.130.121.23, no se ha asignado a ningún equipo.
Para la parte actora, el Banco Davivienda S.A., no dispuso de todas las medidas de seguridad que requieren las operaciones bancarias por internet, ya que no se envió reporte de la transacción, ni tampoco se realizó llamada a los funcionarios encargados de autorizar el pago, a pesar que es algo que se acostumbra a hacer; omisión que facilitó la sustracción de los recursos públicos.
El 29 de abril de 2020, el demandante solicitó a la entidad bancaria el reintegro de los dineros sustraídos, pero ésta fue denegada, por no existir un pronunciamiento de la justicia ordinaria frente a la responsabilidad del banco. Igualmente, la parte accionante indicó que para la época de la ocurrencia de los hechos, el Municipio de Garzón, tenía vigente y hasta el 16 de mayo de 2020, la póliza todo riesgo de daños materiales No. 560-83-994000000185 con la Aseguradora Solidaria de Colombia, la cual, amparaba el riesgo de “hurto calificado” en muebles y enseres, dinero en efectivo y títulos valores, artículos especiales, equipo de cómputo y procesamiento de datos, y equipo de comunicaciones.
Por tal motivo, mediante oficio D.A. No. 0065 del 23 de abril de 2020, el Municipio de Garzón, dio aviso del siniestro a la aseguradora por el hurto de dinero de la cuenta bancaria, empero en comunicación OBSG-20-240-RUI-38435 del 11 de mayo de 2020, 3 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 la compañía de seguros negó el pago, argumentando que, el hecho no se enmarcaba en ninguna de las coberturas del contrato de seguro. 2.3.
CONTESTACIONES - 2.3.1 ASEGURADORA SOLIDARIA DE COLOMBIA3 Manifestó, que no le constan la mayoría de los hechos esgrimidos por la parte actora, y se opuso a las pretensiones argumentando que ninguno de los amparos de la póliza, cubre el riesgo de hurto a través de medio cibernéticos, que se tipifica en el delito de “transferencia no consentida de activos valiéndose de alguna manipulación informática o artificio semejante" conforme el art. 269J de la Ley 1273 de 2009, es decir, no constituye hurto calificado, ni guarda relación o similitud con este tipo penal.
Así mismo, indicó que según lo dispuesto en la póliza, el domicilio de aseguramiento principal es la carrera 8ª 7-74 del Edificio Municipal de Garzón, y en el caso se demostró que los dineros fueron retirados en una oficina del Banco Davivienda de la ciudad de Bogotá. De igual forma, enfatizó que las sumas sustraídas no se encontraban en poder de la entidad asegurada, sino bajo guarda y custodia del Banco Davivienda, correspondiéndole a aquella responder por los riesgos y perjuicios que se les cause a los usuarios; sin que resulte procedente condenar de manera solidaria a la compañía de seguros, pues no tienen ninguna relación legal ni contractual con el establecimiento financiero Propuso como excepciones previas las de “falta de jurisdicción y competencia” y “cláusula compromisoria”.4 Como fundamento de las mismas, indicó que en la Cláusula 8.5 de las condiciones generales del contrato de seguro de la póliza No. 560-83994000000185, se pactó que cualquier controversia surgida entre las partes por concepto de celebración, interpretación, ejecución o terminación del contrato, sería sometida a decisión arbitral Como defensivas de mérito propuso “inexistencia de cobertura del evento reclamado”, “los dineros sustraídos no se encontraban en poder de la entidad aseguradora 3 Pdf. 028 ContestaciónReforma 4 Pdf. 029 ExcepciónPrevia 4 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 (Municipio de Garzón)”, “el lugar donde ocurrieron los hechos no hace parte del aseguramiento”, “inexistencia de solidaridad entre la Aseguradora Solidaria y el Banco Davivienda S.A.”, “enriquecimiento sin justa causa”, “aplicación del deducible”, “exclusiones al seguro de 560-83-994000000185”, “límite del valor asegurado” y “declaración oficiosa de las excepciones” - 2.3.2 BANCO DAVIVIENDA5 Indicó que si bien es responsable por la guarda y custodia de los dineros depositados en la cuenta, dicha obligación se puede cumplir siempre y cuando el Municipio de Garzón, sea diligente en la protección y vigilancia de la información transaccional.
Manifestó que, la parte demandante no demostró de manera clara y precisa cómo el actuar u omisión de BANCO DAVIVIENDA, fue la causa exclusiva, determinante y eficiente para la producción del daño alegado; y en caso de que se determinara la existencia de un nexo causal, éste presentaría ruptura ante la existencia de una causa extraña como lo es la culpa exclusiva la víctima.
De esa manera, indicó que las operaciones a que alude el demandante, no son consecuencia de una falla en los sistemas de BANCO DAVIVIENDA, pues según lo afirmado por la Tesorera del municipio en la denuncia presentada, el equipo de cómputo por medio del cual accedía al Portal Empresarial, fue objeto de un ataque informático a través de un virus denominado “CAIN Y ABEL”, circunstancia que resulta única y exclusivamente imputable a la parte actora.
Explicó que la operación por valor de $275.650.400 fue efectuada el 15 de abril de 2020, con cargo a la cuenta de ahorros No. **4763, aprobada con el proceso No. 36294331, mientras que la operación por valor de $305.550.700, fue realizada el 16 de abril de 2020, con cargo a la cuenta de ahorros No. **4766 migrada a la No.**9128; ambas, con destino a la a la cuenta de ahorros No. 0570017670316011, de titularidad del señor Andrés Mauricio Carabalí, quien actualmente se encuentra condenado penalmente por el delito de “hurto por medios informáticos y semejantes agravado”, por haber sido la persona quien retiró el dinero, en la ciudad de Cali los días 16 y 17 de abril de 2020, por tanto, debe ser éste quien debe reintegrar los montos peticionados por la parte actora. 5 Pdf.030 5 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 Frente a los hechos esgrimidos por el demandante, indicó que, con la demandada no se allegó el oficio presuntamente emitido por el Banco, en el que se le indicara que los dineros habían sido retirados en la ciudad de Bogotá. Así mismo, afirmó que no tiene constancia de conversaciones no grabadas, no obstante, expuso que el funcionario que atendió la llamada al momento de presentarse la denuncia, no había realizada análisis alguno del caso, ya que no se había presentado reclamación formal, y por tanto, no podía contar con todos los elementos cuestionados por la Tesorera, señora Diana Milena Garzón. Igualmente, aseveró que, para los días 16 y 17 de abril de 2020, el Portal Empresarial de la entidad financiera no presentó fallas, tampoco se registraron llamadas por parte del Municipio de Garzón los días 15 y 16 del mismo mes y año, y el bloqueo del portal solo fue solicitado después de ocurridas las transacciones y retirado los recursos.
De igual forma, aclaró que no está obligado ni acostumbra a llamar para autorizar las operaciones realizadas en el Portal Empresarial, toda vez que la autorización la emite el mismo usuario habilitado por el Municipio de Garzón con el ingreso de los factores de autenticación para acceder y efectuar operaciones a través del Portal Empresarial, esto es, número de cliente empresarial, número de identificación del usuario autorizado, clave personal y digitación de la clave de 6 digitas arrojada por el Token, de manera que si falta alguno de estos no es posible hacer uso del servicio transaccional.
Para el presente asunto, refirió que, las operaciones fueron realizadas desde el usuario creado por el Municipio de Garzón el 10 de enero de 2020, a nombre de la señora Diana Milena Gómez Claros, quien tenía asignado los roles de administrador y apoderado, es decir, ella misma podía preparar la operación, aprobarla, y crear otros usuarios con las mismas funciones si así lo requería. Así mismo, se superaron todos los factores de autenticación entre ellos, el Token, que arroja una clave de seis (6) dígitos que se debe introducir en un tiempo determinado antes de hacer alguna transacción, cuya duración es de al menos de un (1) minuto y cambia inmediatamente.
Para el mes de abril de 2020, el dispositivo Token asignado a la Tesorera se identificaba con código 415066155, y según las imágenes que obran en el informe investigador de campo FPJ*11 de fecha 24 de abril de 2021, en diligencia de inspección realizado al lugar donde se encuentra la Alcaldía de Garzón, la funcionaria 6 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 del municipio no tenía ningún tipo de seguridad para la guarda y custodia del dispositivo. Adicional a ello, la IP desde la cual se efectuaron las operaciones no reconocidas corresponde a la 181.48.30.28, que si bien no se encontraba registrada ante BANCO DAVIVIENDA como IP exclusiva para acceder al Portal Empresarial por parte del Municipio de Garzón, si resultaba habitual para el acceso al mismo.
Lo anterior, teniendo en cuenta que desde esa IP existe reporte de 279 ingresos, 105 pagos a proveedores, desde enero de 2020 al 15 de abril de del mismo año, y, se ha continuado accediendo posteriormente por esa misma IP para la realización de operaciones. Así mismo, respecto de la IP 190.130.121.23 se registran dos ingresos al Portal Empresarial el 24 de enero de 2020, no desconocidos por parte del Municipio de Garzón. Aunado, las operaciones no reconocidas fueron realizadas los días miércoles y jueves, días habituales para la realización de estas transacciones, y bajo características similares a 59 operaciones efectuadas durante los años 2019 y 2020.
También, expuso que las operaciones desconocidas por la parte actora fueron realizadas desde el dispositivo Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.92, dispositivo desde el cual igualmente se hizo una transacción por valor de $1.895.657, la cual la señora Diana Milena Gómez, manifestó en denuncia penal presentada ante la Fiscalía General de la Nación haber realizado el 16 de abril del 2020, por lo que en virtud del principio de buena fe, no era admisible que la entidad financiera desconfiara de transacciones que se efectuaron con normalidad.
Por otra parte, relató que el Juzgado Primero Penal del Circuito de Garzón, le reconoció a la entidad financiera la calidad de víctima, y al momento de dictar fallo dentro del proceso penal, puso de presente la precariedad de conocimiento que tenía el Ingeniero de la Alcaldía de Garzón, para el manejo de software malicioso, pues en lugar de crear una copia espejo del mismo o almacenarla en otro dispositivo, procedió a tomar capturas de pantalla y eliminar ese programa, lo que impidió a las autoridades descubrir con certeza si el programa “Caín y Abel” fue el utilizado para superar los sistemas de seguridad del banco y apropiarse ilícitamente de los dineros del municipio. 7 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 Por ese motivo, el Juzgado concluyó que, la Fiscalía no logró demostrar más allá de toda duda razonable que el programa “Caín y Abel” instalado en el computador de Diana Milena Gómez Claros hubiese sido el utilizado para apropiarse del usuario y contraseña utilizado por la tesorera para ingresar al portal transaccional que el banco Davivienda, de manera que para el Juez Penal, las dos transferencias de dinero ilícitas necesariamente debieron realizarse desde la misma Alcaldía de Garzón, Huila, y de uno de los equipos de cómputo que funcionan en esa entidad o de uno externo ingresado y conectado a su red local.
No de otra forma se explica que la dirección IP y el canal y portal desde la cual se realizan las transacciones fraudulentas sean precisamente los mismos utilizados con anterioridad en transacciones genuinas por la Alcaldía. Si el ingreso al portal empresarial del municipio para cometer el hurto se hubiera efectuado desde otro lugar diferente a las instalaciones de la Alcaldía de Garzón, lo natural es que la dirección IP fuera distinta a aquella desde la cual normalmente se realizaban operaciones genuinas y así habría quedado registrado en la base de datos del banco Davivienda.
En tal sentido, el Juez Penal dispuso compulsar copias para que la Fiscalía investigara a la Tesorera, al haberse demostrado que para efectuar la transacción era necesaria la información del usuario, clave y Token asignado a ella, y no existir prueba de la instalación del software Caín y Abel en el dispositivo. Por lo anterior, en criterio de la demandada las operaciones desconocidas por el Municipio fueron resultado de su comportamiento descuidado y negligente, lo que permitió que terceros accedieran a los recursos, pues la parte actora no tenía instalada la herramienta gratuita proporcionada por el BANCO DAVIVIENDA en su página web para mitigar los riesgos propios de las transacciones en línea, denominado DSB “Detect Safe Browsing; no contaba con los mecanismos tecnológicos de seguridad necesarios en su equipo de cómputo a fin de evitar la instalación de virus; para el mes de abril de 2020 no tenía habilitado el sistema “MONITOR PLUS”, de notificación en línea de operaciones efectuadas a través de los productos financieros de titularidad del Municipio; y el Portal Empresarial del municipio no se encontraba parametrizado con limites por número de operaciones o por valores de operaciones.
Citó pronunciamientos de la Delegatura de Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia, del Tribunal Superior de Bogotá, y 8 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 jurisprudencia de la Corte Suprema de Justicia frente al incumplimiento de las obligaciones de confidencialidad de la información privilegiada para acceder a los canales que el banco ofrece para realizar transacciones, siendo esta una obligación impuesta por el principio de autorresponsabilidad y el reglamento de la cuenta de ahorros.
Finalmente, se opuso a la solicitud de indexación e intereses moratorios por ser incompatibles entre estos, y propuso como excepciones de mérito, las que denominó: “Hecho de la víctima como causa exclusiva del daño y eximente de responsabilidad del Banco Davivienda”, “las operaciones desconocidas se encuentran ajustadas al perfil transaccional del Municipio de Garzón respecto del uso y majeo de las cuentas ahorros No. 550077300124763 y No. 077300039128 a través del portal empresarial” “diligencia del Banco Davivienda y cumplimiento de sus deberes profesionales”, “inexistencia de responsabilidad del Banco Davivienda en los hechos que sustentan las pretensiones de la demanda por ausencia del nexo de causalidad” ”principio de buena fe contractual por parte del Banco Davivienda” e “improcedencia del reconocimiento de intereses pretendidos por la parte actora”
3. SENTENCIA DE PRIMERA INSTANCIA El Juzgado Primero Civil del Circuito de Garzón (H), mediante sentencia proferida el 15 de diciembre de 2023, desestimó las pretensiones de la demanda, y declaró probadas las excepciones de mérito denominadas “hecho de la víctima como causa exclusiva del daño y eximente de responsabilidad del Banco Davivienda”, frente a la entidad financiera, y la de “inexistencia de cobertura del evento reclamado” respecto de la Aseguradora Solidaria de Colombia.
En consecuencia, condenó a la parte demandante a pagar las costas del proceso, fijando como agencias en derecho la suma de $40.684.077. Como fundamento de la decisión indicó que la actividad bancaria impone un estándar de profesionalismo, idoneidad y experiencia, que por ser habitual y lucrativa exige que se adopten procedimientos pertinentes y suficientes para garantizar la prevención, control y seguridad de sus operaciones.
Así mismo, que el cumplimiento de sus obligaciones debe juzgarse con mayor rigurosidad a la de cualquier otro comerciante, dado el beneficio que reporta, y los 9 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 riesgos inherentes a la ejecución masiva de operaciones. De manera que se exigen alto estándares de diligencia, seguridad, y confiabilidad de las transacciones que se autorizan por cualquiera de los medios ofrecidos al público, entre ellos, el portal empresarial.
No obstante, cuando estas reglas no se siguen adecuadamente, su responsabilidad puede verse comprometida, salvo que se configure una causa extraña como el caso fortuito, la fuerza mayor, el hecho de un tercero o el hecho de la víctima que, por su naturaleza imprevisible e irresistible, haya determinado el resultado dañoso. En tratándose de operaciones por medios virtuales, corresponde a la entidad financiera implementar herramientas de autenticación, como contraseñas y claves de acceso, así como trazabilidad, sistema de alerta, y bloqueo de cuentas; así como un protocolo que le permita al Banco establecer con certeza el origen de cada orden impartida.
Indicó que, de acuerdo con lo manifestado por el Representante Legal de la demanda, tiene al interior de sus sistemas 45 herramientas informáticas muy robustas para impedir el hackeo, además, existe un software que el Banco recomienda a sus clientes para prevenir fraudes, empero no se pudo determinar si el equipo del municipio de Garzón lo tenía, porque el ingeniero realizó un borrado completo del disco duro.
Afirmó que de conformidad con la jurisprudencia, también es responsabilidad del cuentahabiente custodiar adecuadamente la información de acceso como usuario, clave, Token y mantener sus dispositivos libres de cualquier software malicioso, así como conocer el reglamento del portal empresarial, cuentas de ahorro, condiciones de operatividad, en atención a lo señalado en el art. 6 de la Ley 1328 de 2009.
Señaló que, a pesar de que el Alcalde indicó que era costumbre de las entidades bancarias notificar la transacción, lo cierto es que la Tesorera Diana Milena Gómez admitió que no leyó el reglamento del portal empresarial, no solicitó confirmaciones y accedió a la plataforma sin hacer uso de configuraciones opcionales que le ofrecía Davivienda.
A su turno el Representante Legal de Davivienda, manifestó que se brindó formación a los funcionarios del municipio de Garzón, sobre el manejo del portal transaccional y la necesidad de que éste fuera parametrizado a la medida y con las restricciones que depusiera el cliente, tales como, recibir mensajes de confirmación, definir los días en que deben hacerse las transacciones, las horas, las IP autorizadas, los montos, sin 10 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 embargo, la parte demandante no lo hizo a pesar de utilizar el portal desde el 27 de abril de 2010. Si bien, la Tesorera refirió no haber recibido capacitación por parte de Davivienda, lo cierto es que sí aceptó que otras entidades bancarias la habían instruido en plataformas similares, lo que denota la falta de diligencia de aquella en la parametrización y el incumplimiento de los deberes de seguridad y protección por parte del cliente.
Indicó que según los funcionarios del área de seguridad, el fraude no se originó por hackeo en el sistema del Banco Davivienda, sino por debilidades en el manejo o eventualmente por la participación de funcionarios del municipio de Garzón, pues los 4 elementos de verificación de transacciones cursaron exitosamente, (número de cliente, identificación del usuario, clave personal, y código aleatorio del Token) y fueron realizados desde la IP de la Tesorera Diana Milena Gómez Claros.
Sostuvo que, aunque la Tesorera relató que al momento de realizar el pago cerraba la puerta de su oficina, ingresaba el usuario y contraseña del portal y al finalizar, introducía un número de 6 dígitos que cambiaba cada 60 segundos y era arrojado por el dispositivo Token; en criterio de la Juzgadora, este último no era custodiado en debida forma pues, según se verificó con las evidencias fotográficas recaudadas en los actos urgentes, estaba en un armario sin medidas de seguridad.
Reseñó que el Ingeniero de Sistemas Wilson Lombana manifestó que el día jueves 16 de abril de 2020, la Tesorera le manifestó fallas en su equipo, razón por la cual, le efectuó un diagnosticó y “lo vacunó”, corrigiendo programas de antivirus, y eliminando algunos. A la semana siguiente revisó nuevamente el equipo, extrajo el disco duro, y detectó que había otro usuario administrador, donde se encontraba un programa denominado Caín y Abel (programa de hackeo) sin embargo, a pesar de comunicarlo, nunca se le informó de que había ocurrido un robo, por lo que siguió el procedimiento normal que era formatear el equipo.
También explicó que para la fecha de la ocurrencia de los hechos, el municipio no contaba con sistema Firewall de protección para la detección de intrusos, pues el que tenían estaba dañado y pese a haberse solicitado a la Secretaria General, no se había realizado aun la compra, lo cual, en criterio de la juzgadora, reafirma el incumplimiento del usuario en su obligación de seguridad.
Así mismo, sostuvo que tal como lo consideró el Juez Penal, aparte del dicho del ingeniero, no existe otro medio de prueba que dé cuenta de la presencia del mentado 11 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 software malicioso en el equipo de cómputo de la tesorera del municipio, pues este fue formateado y reinstalado el sistema operativo, eliminando así toda trazabilidad al respecto, como la dan cuenta los dictámenes periciales traídos al proceso y el informe de la Policía Nacional, por tanto, no le es dable concluir que esa fue la causa que dio lugar a las transacciones reclamadas.
Cuestionó que, aunque la Tesorera Diana Milena Gómez Claros, se enteró de la presencia del virus el 22-abr-2020, solo se comunicó con el Banco Davivienda al día siguiente, aun cuando tenía conocimiento que ella el 16 de abril había realizado operaciones transaccionales desde allí, y no desde otras entidades financiera. Dijo que, los cuentahabientes, crean un perfil que se va definiendo según el historial de transacciones, y que en el caso, la única variable que había podido desconocer el Banco Davivienda era el monto de las transacciones realizadas, pues de la prueba documental la portada se logró establecer la coincidencia de la IP a través de la cual se llevaban a cabo las transacciones, el usuario y o administrador que las realizaba y o autorizaba y los días que con frecuencia se desarrollaban las mismas de lunes a viernes.
Además, la presunta sustracción de los dineros guarda similitud en cuanto a las siguientes variables: medio de transferencia, código de transacción, motivo y o concepto, canal, tipo movimiento, así como también respecto a los pagos realizados con anterioridad y posterioridad al día 15 y 16 de abril del año 2020. Aunado dentro del plenario obra certificación donde consta que para esas fechas, el sistema del Banco no presentó falla.
Sostuvo que si bien el Banco de Vivienda está obligado a actuar diligentemente para impedir la defraudación, ello no fue posible razón a que la primera operación por valor de $275.650.400 data del 15 de abril del año 2020 a las 12:01:13, y fue retirado el dinero a las 13:07:29; y la presunta llamada alerta ocurrió el 16 de abril del año 2020 a las 11:29 am, lo que supone que cualquier actividad por parte del Banco hubiera resultado infructuosa, con lo que se tiene que el nexo causal entre esa gestión y la defraudación. Respecto de la segunda transferencia por valor de $305.500.700, dijo que fue realizada el 16 de abril del año 2020 09:17:24, y retirada el 17 de abril del año 2020 a las 9:40:42, no obstante, no se podía exigir a la entidad bloquear o congelar las cuentas, pues aunque se aduce de la existencia de una llamada realizada el 16 de abril de 2020, 12 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 ésta no fue acreditada; por el contrario la Coordinación de Dirección de Operaciones Call Center certificó que durante los días 15 y 16 de abril de 2020 no se recibieron llamadas por parte del municipio de Garzón, ni de la señora Diana Milena Gómez, ni de otros teléfonos registrados a nombre de la parte demandante. Aludió a la declaración el testigo Andrés Mauricio Carabalí, declarado penalmente responsable del hurto quien manifestó en esta causa que no fue el autor intelectual del hackeo porque en el momento en que se efectuó la transacción se encontraba personalmente en el Banco de Vivienda.
Aunado, para la Juez hacía imposible su participación en el mismo, porque el Token está en poder de la tesorera del municipio de Garzón. Restó credibilidad al dictamen pericial presentado por la actora, por presentar diferencias en torno a los seriales y modelos de los dispositivos de almacenamiento examinados por la Policía. Así mismo, despachó desfavorablemente el argumento, según el cual, las cookies del fraude no se habían utilizado con anterioridad en los equipos de cómputo, pues éstas son ficheros de datos que una página web envía cuando esta es visualizada en el navegador, sin interesar el equipo de donde se consulta, y pueden ser temporales o permanentes, y dinámicas porque cambian con cada inicio de sesión. Por lo anterior, concluyó que el actuar del municipio de Garzón, a través de su dependencia tesorería municipal, tuvo una incidencia causal total en la generación del daño en la defraudación, que a todas luces resulta imprevisible y completamente ajena al Banco Davivienda, lo que produce el complimiento del nexo causal por culpa exclusiva de la víctima.
Frente a las pretensiones subsidiarias, sostuvo que aunque la póliza ampara la protección de los depósitos bancarios, solo lo hace respecto de los riesgos de falsificación, adulteración de un cheque, letra de cambio, pagaré, carta de crédito o cualquier otra clase de título valor que el Banco o la entidad financiera presuma que ha sido firmado, endosado, avalado por el asegurado o por una persona que obra a nombre de representación del amparado, lo cual no ocurre en este caso.
Igualmente, frente al riesgo de hurto calificado, dijo, no se configuró en el presente asunto, y por tanto, la sentencia penal absolvió al acusado de este delito. 13 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01
4. EL RECURSO Inconforme con la decisión, la parte actora interpuso recurso de apelación, presentando reparos dentro de los tres días siguientes, así: Adujo que la Juez de instancia incurrió en indebida valoración probatoria, pues reprochó a la demandante no haber solicitado la activación de notificación de transacciones, desconociendo que según la declaración de la Tesorera Diana Milena Gómez y el Secretario de Hacienda Yohan Leandro Rodríguez, nunca se les informó de las medidas de seguridad que podía implementar, así como tampoco, que debían solicitar la notificación de las transacciones mediante mensaje de texto o correo electrónico.
Refirió que la juzgadora, tampoco tuvo en cuenta la Circular Básica Jurídica 29 de 2014, emitida por la Superintendencia Financiera de Colombia, donde establece la obligación de las entidades financieras para establecer un perfil transaccional, a partir de los hábitos de los usuarios, entre ellos, el monto de las operaciones; y solicitar la actualización de datos como correo electrónico y número de celular, para enviar alertas y notificaciones, sin condicionarlo a la autorización o requerimiento de las partes.
También desconoció que dentro de las recomendaciones de seguridad del Banco Davivienda, se indica taxativamente que los ingresos al portal transaccional y modificaciones de los perfiles, se notificarían a la administradora a través de los medios antes descritos, sin imponer condición alguna, lo cual no ocurrió en el caso. Arguyó que en la sentencia recurrida, nada se dice frente a las gestiones que debió realizar el Banco Davivienda para verificar la verdadera identidad de quien estaba realizando transacciones de montos que no eran habituales, pues superaron en gran magnitud el histórico de operaciones del portal empresarial, ya que la más alta fue realizada el 23 de marzo de 2018, por $ 83.883.992, y las aprobadas por el banco producto del fraude ascienden a $275.650.440 y $305.500.700.
Aunado, el monto promedio de las transacciones, en relación con pagos, les por valor de $16.631.796, cifra que no es ni el 10% del valor sustraído de las cuentas bancarias. Argumentó que, las dos transacciones del fraude fueron realizadas desde dispositivos que nunca había utilizado el Municipio de Garzón-Huila en sus operaciones habituales; 14 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 se utilizaron Cookies que dan cuenta que se efectuaron desde equipos diferentes; y los registros evidencian que el Banco Davivienda no notificó al cliente del proceso de las transferencias, en tiempo real. Dijo que ni en el Reglamento del Portal Empresarial del banco, ni en el Reglamento de las cuentas de ahorro, como tampoco, en las recomendaciones de seguridad del Banco Davivienda, se menciona la aplicación llamada ´Monitor Plus´ que aduce la demandada, era recomendada para prevenir fraudes.
Resaltó que existen inconsistencias en el reporte del Banco, pues se señala que una de las operaciones se pagó el 15 de abril de 2020, pero tiene como fecha de creación el día siguiente. Así mismo, pese a encontrarse una de las transacciones en estado “pendiente de validación” la entidad financiera procedió a hacer el pago. Enfatizó que nadie está exento a un ataque cibernético, aún teniendo el mejor antivirus en sus dispositivos, prueba de ello es lo que ocurrió en la Rama Judicial y otras entidades del sector público y privado, por tanto, aceptar la tesis del A quo implicaría endilgar la responsabilidad siempre a los clientes por ser ellos quienes conocen de los usuarios, claves y/o Token.
Precisó que la demandada Banco Davivienda no tomó ninguna medida para salvaguardar los recursos públicos depositados pese a las anomalías presentadas y a la alerta que hizo la Tesorera, la cual, contrario a lo indicado por la Juez, si fue acreditada con la documental aportada en la reforma de la demanda, donde consta el mensaje de texto que corrobora que aquella se comunicó con el Call Center del Banco Davivienda el 16 de abril de 2020 a las 11:29 am.
Sobre el dictamen pericial, sostuvo que no existe ninguna inconsistencia con el disco duro, pues el referenciado por la Policía Judicial, es marca HITACHI, mismo modelo y número de serie. Aunado, en el documento denominado “23PruebaNumeroUnoFiscalía.Pdf” páginas 5 y 6, aportada por el Banco Davivienda, se establece que eran dos equipos, un portátil marca ACER y un computador de escritorio anotando que la CPU de éste HP COMPAQ 8200 ELITE SMALL FORM con número de serie MXL2280SY1 no tiene disco duro porque el ingeniero encargado estaba realizando un estudio de amenazas.
El ingeniero encargado del municipio lo aportó a la Fiscalía el 23/04/2020, siendo este disco duro de marca Hitachi. En 15 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 consecuencia, el disco duro analizado por el perito Dr. Néstor Toro no pertenecía al equipo portátil ACER como se indica en la sentencia, pues según informe de laboratorio, este último contenía un disco duro marca Toshiba.
Esgrimió que la sentencia de primera instancia, desconoció el precedente de la Sala de Casación Civil de la Corte Suprema de Justicia, que ha decantado que la entidad financiera debe responder por los perjuicios causados por la pérdida de dineros puestos bajo su custodia a través de un contrato de depósito cuando terceros burlan los protocolos de autenticaciones haciéndose pasar por el causahabiente.
Finalmente, sostuvo que la aseguradora demandada, debe responder por los dineros sustraídos de las cuentas de ahorro del Municipio de Garzón, teniendo en cuenta que el ente territorial adquirió una póliza de seguro todo riesgo de los bienes muebles e inmuebles del municipio en la cual se incluye amparos relacionados con el hurto, daños ocasionados por terceros.
Aunado a la protección de depósitos bancarios.
4.1. TRASLADO EN SEGUNDA INSTANCIA Mediante auto del 21 de mayo de 2024, se admitió el recurso de apelación y, se dispuso correr traslado para que las partes recurrentes lo sustentaran conforme la Ley 2213 de 2022. La parte demandante, apelante, guardó silencio, mientras que la demandada BANCO DAVIVIENDA S.A, solicitó que el recurso se declarara desierto, y a su vez, descorrió los argumentos presentados por el actor ante el A quo.
A través de proveído del 01 de octubre de 2025, el Magistrado sustanciador resolvió no declarar desierta la alzada; decisión contra la cual, no se interpuso ningún recurso. El pronunciamiento que en oportunidad hizo la parte demandada para descorrer el recurso de apelación, fue el siguiente: - BANCO DAVIVIENDA S.A.: Refirió que el apelante incurrió en error conceptual, porque el perfil transaccional no se limita a la coincidencia del valor de las operaciones, sino otros hábitos transaccionales, como los días, horarios, canales, IP, los que resultaban acorde con las prácticas del MUNICIPIO DE GARZÓN. Reiteró que la transferencia efectuada el día 15 de abril de 2020, por concepto de “pago a proveedor” por valor de $275.650.400, con cargo a la cuenta de ahorros No. 16 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 4763, presenta identidad con 82 operaciones, en las siguientes características: i) Canal - 21: Portal Empresarial, ii) Tipo movimiento -55: Nota débito-descuento, iii) Motivo concepto-80: Pago proveedores, iv) Medio transaccional-13: Llave empresarial.; y respecto del día, coincidencia con 70 operaciones previas efectuadas el día miércoles.
Igualmente, la transacción del día 16 de abril de 2020, por la suma de $305.550.700, desde la cuenta de ahorros No. 9128, presenta similitud de sus características en 59 operaciones, además que fue realizada un jueves día en que se han realizado 151 movimientos financieros. Además, las transferencias desconocidas fueron realizadas desde una IP habitual de la parte demandante, registrándose 279 ingresos al Portal Empresarial.
Refirió que el MUNICIPIO DE GARZÓN no puede atribuirle responsabilidad al BANCO DAVIVIENDA por no haber informado las operaciones, pues en su criterio, el cliente podía solicitar el servicio de extracto en línea, o requerir el servicio de notificación autorizando el envío de mensajes de texto o correos electrónicos. Así mismo, enfatizó que los consumidores financieros no solo tienen derechos sino también obligaciones y cargas de autoprotección, conforme lo dispuesto en el art. 6 de la Ley 1328 de 2009.
Sostuvo que el análisis respecto de las recomendaciones de seguridad fue un aspecto que solo fue discutido por la parte actora hasta segunda instancia; que no existe prueba que acredite que los sistemas de la entidad financiera fueran burlados, y además, que el cliente puede acceder desde cualquier dispositivo siempre que lo haga desde una IP habitual, pues aquel no es objeto de control.
Por tanto, no resultan relevantes las cookies, pues si bien corroboran que se hicieron desde dispositivos diferentes, lo cierto es que según el dictamen pericial son dinámicas y varían al ingresar al portal, es decir, no determinan habitualidad. Reiteró que el MUNICIPIO DE GARZÓN no contaba con medidas de seguridad adecuadas que le permitieran evitar un ataque cibernético, exponiéndose a un riesgo de manera negligente y descuidada; y que el disco duro analizado por el perito Néstor Toro y la Policía Nacional, no solo difiere en su número de serial sino en el equipo de procedencia, tal como lo puso en evidencia en el dictamen pericial emitido por el perito Yesid González. 17 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 Concluyó, existe culpa exclusiva de la víctima porque las operaciones cursaron desde el usuario registrado ante Banco Davivienda, superando todas las medidas de autenticación; se demostró que la oficina de la Tesorera no tenía ninguna restricción de seguridad, así como tampoco el lugar donde guardaba el Token. Se probó que Diana Milena Gómez Claros accedía al portal desde otros dispositivos; no se pudo establecer con certeza si existió el ataque cibernético; la notificación al banco por parte de la entidad territorial fue inoportuna; el cliente no tenía activado el servicio de notificación de transacciones, ni había parametrizado el uso del portal; y finalmente el firewall se encontraba dañado y el antivirus desactivado.
5. CONSIDERACIONES DE LA SALA
5.1. PROBLEMA JURÍDICO El problema jurídico que acomete la Sala en esta oportunidad, consiste en determinar si la Juez de instancia, incurrió en yerro fáctico por indebida valoración probatoria, que la condujo a eximir de responsabilidad al Banco Davivienda, y declarar la culpa exclusiva de la víctima. Para tal efecto, se analizará el régimen de responsabilidad contractual y la obligación de seguridad de la entidad bancaria.
Así mismo, se dilucidará si el contrato de seguro todo riesgo suscrito por el MUNICIPIO DE GARZÓN con la entidad demandada, ampara el riesgo de sustracción de activos por medios electrónicos, y en tal evento, establecer el monto de la indemnización.
5.2. RESPUESTA AL PROBLEMA JURÍDICO La responsabilidad civil ha sido tradicionalmente concebida en una dimensión dual, esto es, extracontractual y contractual. La primera de ella, surge del mandato legal general previsto en el art. 2341 del C.C., de no causar daño a otro; mientras que la segunda, se configura cuando una de las partes de una relación jurídica previa, sufre un perjuicio derivado de la inejecución, ejecución tardía o defectuosa de una obligación pactada.
La actividad financiera, suele desarrollarse a través de los contratos de depósito tipificados en el Título XVII del Libro Cuarto del estatuto mercantil; en virtud estos, “el cliente entrega a la entidad bancaria una suma de dinero, y esta se obliga a custodiarla 18 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 y a asegurar la disponibilidad de los saldos, de forma permanente o al fenecer un plazo predeterminado, según el caso.” Para la disposición de dichos dineros, de vieja data se establecieron distintos instrumentos, como los cheques, libretas, y recientemente, tarjetas, que tenían como finalidad, facilitarle al cliente el acceso de manera ágil a sus saldos.
La adopción de estas herramientas, vino acompañada del deber de la entidades financieras de responder por los riesgos derivados de estos, como la falsificación y adulteración de los cheques, en virtud de la obligación de seguridad. Sobre le régimen de responsabilidad, la Sala de Casación Civil de la Corte Suprema de Justicia, inicialmente, consideró, debía regirse por la teoría del riesgo creado; posteriormente, se inclinó hacía la teoría del riesgo provecho, y finalmente, acudió al modelo particular de responsabilidad profesional del banco.
Lo anterior, fue sintetizado en la sentencia SC 18614 de 2016, en la cual, señaló: “(…) el régimen de responsabilidad de los Bancos por la defraudación con el uso de instrumentos espurios para disponer de los fondos depositados en cuentas, se ha fundado en vertientes de la teoría del riesgo: En una primera época, la del «riesgo creado» en virtud de la cual quien en desarrollo de una actividad genere un peligro o contingencia, debe indemnizar los perjuicios que de aquel deriven para terceros, con independencia de si ha actuado de manera diligente o culposa, o de si ha obtenido o un provecho; después se dio aplicación a la teoría del «riesgo provecho» que carga con la obligación resarcitoria a quien ejerza la actividad que genera un riesgo o peligro y, además, saca de la misma una utilidad o percibe lucro, sin que importe que su conducta haya sido diligente o imprudente; por último, se acudió a la teoría del «riesgo profesional» que es una derivación de la anterior, empleada también en otras áreas del derecho como, por ejemplo, en materia de accidentes y enfermedades laborales.
En esta última, la obligación de asumir los riesgos inherentes al ejercicio de la actividad se basa en el profesionalismo que esta requiere.” Ahora, con la implementación de las tecnologías de la información, estos instrumentos, poco a poco se han ido transformado, permitiendo la realización de operaciones bancarias mediante internet, una red abierta y pública permeada de riesgos e inseguridades, pero con múltiples ventajas para las entidades financieras.
Así lo ha 19 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 reconocido la jurisprudencia del Alto Tribunal Civil, entre otras, providencia antes citada, en la que refirió que: “Es natural y obvio que la implementación de medios como el portal virtual de transacciones, si bien requiere de una inversión para su operación y mantenimiento, genera un lucro para la entidad, en la medida en que atrae un mayor número de clientes y de operaciones bancarias.
(…) No obstante, el uso de este lleva ínsito el riesgo de fraude electrónico, el cual es de la institución financiera precisamente por la función cumplida por las instituciones financieras y el interés general que existe en su ejercicio y la confianza depositada en él, lo que determina una serie de mayores exigencias, cargas y deberes que dichas entidades deben cumplir con todo el rigor; por el provecho que obtiene de las operaciones que realiza; por ser la dueña de la actividad, la que -se reitera- tiene las características de ser profesional, habitual y lucrativa; y además, por ser quien la controla, o al menos, a quien le son los exigibles los deberes de control, seguridad y diligencia en sus actividades, entre ellas la de custodiar dineros provenientes del ahorro privado.” Teniendo en cuenta lo anterior, ha puntualizado que “El riesgo, entonces, se materializa con el ofrecimiento a los clientes de una plataforma tecnológica para realizar sus transacciones en línea, la cual puede ser vulnerada por delincuentes cibernéticos a través de diversas acciones, atendida la vulnerabilidad inherente a los sistemas electrónicos.
En razón a lo anterior, la jurisprudencia ha impuesto a las entidades financieras que ofrezcan sus servicios mediante portales de internet, el deber de adoptar las medidas de precaución y diligencia más altas posibles, que puedan garantizar la realización de las transacciones electrónicas de forma segura; y por tanto, son responsables de los fraudes electrónicos ante el incumplimiento de la obligación de seguridad, pudiendo solo exonerarse con la prueba de una causa extraña. En este sentido, se ha concluido que: “en el caso de defraudación por transacciones electrónicas, dado que tal contingencia o riesgo es inherente a la actividad bancaria la cual es profesional, 20 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 habitual y lucrativa, cuya realización requiere de altos estándares de diligencia, seguridad, control, confiabilidad y profesionalismo (…) (…) deben asumir las consecuencias derivadas de la materialización de esos riesgos a través de reparar los perjuicios causados, y no los usuarios que han confiado en la seguridad que les ofrecen los establecimientos bancarios en la custodia de sus dineros, cuya obligación es apenas la de mantener en reserva sus claves de acceso al portal transaccional.
Desde luego que consumada la defraudación, el Banco para exonerarse de responsabilidad, debe probar que esta ocurrió por culpa del cuentahabiente o de sus dependientes, que con su actuar dieron lugar al retiro de dinero de la cuenta, transferencias u otras operaciones que comprometieron sus recursos, pues amén de que es este quien tiene el control de mecanismo que le permiten hacer seguimiento informático a las operaciones a través de controles implantados en los software especializados con los que cuentan, la culpa incumbe demostrarla a quien la alegue (art. 835 C.Co.), pues se presume la buena fe «aún la exenta de culpa».
En otras palabras, si la sustracción no fue el resultado de una actuación culposa del cliente, quiere decir que cualquiera pudo ser víctima, y era un deber inexcusable de la entidad financiera precaverlo.6 En estos últimos eventos, ha establecido la Corte Suprema de Justicia que “el fallador tendrá que sopesar la relevancia jurídica de esas causas, pudiendo concluir que: (i) ambos estipulantes contribuyeron al resultado dañino –de modo que sus efectos tendrían que ser distribuidos entre ellos, de manera proporcional a su cuota de participación en el evento–; o (ii) que solo uno de esos antecedentes fue determinante en la producción del daño, caso en el cual quien lo produjo habrá de asumir la pérdida íntegramente.”7 En el presente asunto, se acreditó que el MUNICIPIO DE GARZÓN suscribió contratos bancarios de depósito de ahorro, con el BANCO DAVIVIENDA, en virtud de los cuales se le asignó los números de cuentas 4766 migrada a la No.**91288 y **47639. 6 Corte Suprema de Justicia, Sala de Casación Civil, sentencia SC 18614 de 2016 7 Corte Suprema de Justicia, Sala de Casación Civil, sentencia SC 5176 de 2020 8 Pdf. 03.
Pág. 158 Expediente 41298 31 03 001 2021 00021 01 21 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 Así mismo, se demostró que el 15 de abril de 2020, a las 12:15:52 se realizó una transferencia desde el Portal Empresarial de Davivienda, por el valor de $275.650.400, desde la cuenta ***4763 del demandante, la cual, fue retirada por el señor Andrés Mauricio Carabalí Rodríguez, el mismo día a las 13:07:27.
Igualmente, no existe discusión en la operación efectuada el 16 de abril de 2020 a las 15:09:46 desde la cuenta ***9128 por el monto de $305.550.700, que fue retirada el 17 de abril siguiente a las 9:40:4210; sin embargo, sostiene la parte demandante que no autorizó ninguna de estas transferencias. Al respecto, obra en el plenario el Formato Único de Noticia Criminal, de fecha 23 de abril de 202011, mediante el cual, la señora Diana Milena Gómez Claros, en calidad de Tesorera de la Alcaldía Municipal de Garzón, presentó denuncia por el delito de “transferencia no consentida de activos valiéndose de alguna manipulación informática o artificio semejante”, manifestando que el día 16 de abril, mientras se encontraba realizando la verificación del portal empresarial, empezó a notar que la plataforma se tornaba lenta, y después de un tiempo se cerraba y abría otra ventana.
Por esa razón decidió comunicarse con la línea gratuita del Banco Davivienda, quienes le remitieron un código para confirmar su identidad y una vez atendida, le indicaron que en ese momento la plataforma no presentaba ningún problema. Sin embargo, ante la persistencia de inconvenientes, por la denegación del acceso, decidió cambiar la contraseña, y volver a ingresar, permitiéndole realizar un pago por valor de $1.895.657, no obstante, con posterioridad, siguieron las dificultades y en razón a ello, llamó al Ingeniero Wilson Lombana, funcionario de la Alcaldía, quien revisó el equipo y aproximadamente a las 8pm del mismo día le informó haber encontrado amenazas de virus que eliminó. Relató que el viernes 17 de abril de 2020, continuaron las complicaciones en el portal transaccional y recibió un mensaje al correo de la tesorería, que indicaba “hemos movido el archivo choreapredistinarian.dll porque estaba infectado por win32:trojangen”.
Tras comentar la situación con el Secretario de Hacienda, éste le sugirió entregar el computador al ingeniero. 9 Pdf. 03. Anexos Pág. 159 Expediente 41298 31 03 001 2021 00021 01 10 Pdf..021. ReformaDemandayAnexos. Pág. 34 11 Pdf. 03. Anexos Pág. 160 Expediente 41298 31 03 001 2021 00021 01 22 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 Dijo que durante el día lunes 21 de abril de 2020, trabajó desde su portátil, utilizó el portal de Davivienda y realizó transferencias, pero con otras cuentas de ahorro, sin advertir la sustracción. Al día siguiente, en horas de la tarde, el Secretario de Hacienda le informo que habían encontrado un malware o virus llamado Caín y Abel, encargado de robar claves, por lo que procedió a la verificación de las cuentas, inicialmente con el Banco Bogotá. El 23 de abril de 2020, al iniciar la jornada laboral, verificó los movimientos en las cuentas del Banco Davivienda, encontrando las transacciones desconocidas, razón por la cual, informó al Secretario de Hacienda y al Alcalde Municipal.
Lo anterior, fue reiterado en la audiencia realizada al interior de este proceso, el 04 de agosto de 2022, y en la misma, aclaró que llamó en primer lugar al Banco de Bogotá porque las últimas transferencias las había realizado desde allí, y posteriormente al Banco Popular. También, refrió que tras acudir al Banco Davivienda, le explicaron que la transferencia por $305.550.700 se había realizado el 16 de abril, y retirado al día siguiente en horas de la mañana, empero que se encontraba una transacción pendiente por validar, por la suma de $275.650.400, es decir, que no estaba finalizada; sin embargo, más adelante le informaron que los recursos si habían sido retirados en la ciudad de Cali.
Al inquirírsele para que informara si el 15 de abril de 2020 había ingresado al Portal Empresarial del Banco Davivienda, o si el computador había presentado fallas, manifestó no recordarlo. Así mismo, dijo que creía que ese día, en las horas del mediodía, debía estar saliendo de la oficina. Al plenario también compareció el señor Yohan Leandro Rodríguez Santana, Secretario de Hacienda para la época de los hechos, quien manifestó: “Todo inicia el 16 de abril cuando empieza a fallar la plataforma del banco, nos comunicamos con la línea, ellos manifiestan que ya se superó el inconveniente, pero persisten las fallas, por lo que el 17 de abril se remite el equipo al área de sistemas (…) Después de que el computador queda en custodia del Ingeniero de Sistema, el 22 de abril él me informa que en el computador hay un virus malicioso denominado Caín y Abel que la finalidad es robarse las claves de todos los 23 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 usuarios, y nos dice que hagamos revisión de las plataformas bancarias. Eso, siendo aproximadamente las 6pm finalizada la jornada laboral porque estaban en pandemia y tenían jornada especial. El día 23 ella revisa y ve las anomalías, se dirige al banco y allá comentan las sustracciones de los recursos.” Así mismo, el testigo Wilson Lombana Galindez, Ingeniero de Sistemas, indicó que el 16 de abril de 2020, en razón a los inconvenientes que presentaba el equipo y que fueron manifestados por la Tesorera, procedió a realizar un diagnóstico y activar otros antivirus en línea como malwarebytes.
Luego, a la siguiente semana, extrajo el disco duro, y lo “vacunó” nuevamente, sin embargo, allí detectó que había otro usuario administrador. Al respecto, sostuvo: “Ingresé a ese usuario y habían unos programas dentro de las descargas que ejecuté que era como un Ca.exe uno que tiene extensión.exe, el cual miré, hice la prueba para instalación, y ese instalaba un programa que se llama Caín y Abel.
No tenía conocimiento del programa, busqué en Google y otras opciones, y encontré que es un programa que hackea las claves y contraseñas del usuario. Se siguió vacunando y se quitó lo que más se pudo de los virus. Se informó a la Tesorera y al Secretario de Hacienda, y el día 22 se hizo el procedimiento normal que era formatear el equipo, haciendo copia de seguridad de los archivos.
Se restauró a fabrica el equipo de cómputo, y se instaló los programas de office, antivirus, etc.” A pesar de lo anterior, al interior del proceso penal que cursó en el Juzgado Primero Penal del Circuito de Garzón, con radicación 41298 60 00 591 2020 00259, no fue posible establecer que el programa Caín y Abel hubiera sido utilizado para apropiarse del usuario y contraseña de la Tesorera, pues el Ingeniero de Sistemas lo eliminó completamente sin dejar copia idéntica de respaldo para que las autoridades pudieran verificar si fue ese y no otro, el utilizado para superar las seguridades del Banco Davivienda.
Aunado a ello, sostuvo que: “si hipotéticamente, se aceptara que el programa “Caín y Abel” fue el utilizado para copiar las claves y usuarios e ingresar al portal transaccional de la Alcaldía de Garzón, asignado por el banco Davivienda, tampoco es posible afirmar que el acusado haya sido la persona que lo ejecuta. Recordemos que el software únicamente funciona en entornos locales, es decir en una subred local.
Ello 24 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 significa que ANDRÉS MAURICIO CARABALÍ RODRÍGUEZ necesariamente debía estar presente en la Alcaldía de Garzón, frente al computador de la Tesorera el 15 y 16 de abril de 2020 cuando se efectúan las transacciones lo cual no es posible.
De acuerdo con la estipulación n.° 3 y la declaración de Gabriel Cruz Marín el procesado retira el dinero en la ciudad de Cali, 45 minutos después de realizada la transferencia el 15 de abril de 2020. Y a menos que el implicado posea el don de la ubicuidad, le era físicamente imposible estar en los dos lejanos municipios casi al mismo tiempo.” En esta instancia, tampoco se pudo determinar si efectivamente, en el equipo de la Tesorera se encontraba instalado el programa Caín y Abel, a pesar de que las partes aportaron experticias.
Por un lado, la parte demandante allegó dictamen técnico pericial efectuado por Néstor Arnoby Toro Caicedo sobre el disco duro HITACHI Modelo HDS721050CLA662, serie JP1572FLIXHT9K, según se indica, contenido en el computador HP Compaq 8200 Elite Small Form serie MXL2280SY. Sin embargo, el experto Yesid González Arango, quien rindió en dictamen pericial de contradicción indicó: “TORO CAICEDO presento un “informe forense” sobre el dispositivo de almacenamiento marca HITACHI, Modelo HDS721050CLA662, serie JP1572FLIXHT9K, pero en las imágenes aportadas el dispositivo de almacenamiento marca HITACHI es modelo HDS721050CLA660 y el número de serie del dispositivo es: JP1572FL1XHT9K (…) El procedimiento hecho por la Policía Nacional se realizó sobre un dispositivo de almacenamiento marca HITACHI, modelo HDS721050CLA662 y número de serie: JP1572FL1XHT9K” En la audiencia de contradicción del dictamen, el perito manifestó que aunque aparecían unas inconsistencias en el modelo, en realidad correspondía al mismo disco.
En este sentido precisó: “Para la identificación de este disco duro se tomó la información de la etiqueta del disco, que está en los anexos del informe. Cuando se hace la partición estas herramientas forenses, no leen la etiqueta porque es externa, ellos leen la 25 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 información contenida en el disco duro. Del resultado de las imágenes aparece el modelo, marca y serial. En el modelo aparece HDS721050CLA660, serie JP1572FL1XHT9K, que es lo que ocurre, es que internamente la lectura la hace por medio de unos módulos que gestionan el disco, uno de ellos es el Smart. La identificación de los discos, generalmente se pueden encontrar pequeñas diferencia en el cero y el dos, porque en el Smart una cosa es la universalidad del modelo, pero lo que realmente identifica el dispositivo es el serial (…)” A pesar de lo anterior, en el dictamen de contradicción se indicó que: “se evidencia una notoria contradicción y es el origen del disco duro marca HITACHI, modelo HDS721050CLA662, con número de serie JP1572FL1XHT9K de quinientos (500) GB de capacidad ya que en el informe hecho por la Policía Nacional lo relaciona a un computador portátil marca ”HACER” - ACER con serial NXMZPAL01562800A213400 y SNID: 62800259334 y TORO CAICEDO lo relaciona a un equipo HP COMPAQ 8200 ELITE SMALL FORM con número de serie MXL2280SY1” El anterior argumento, fue acogido por la Juez de instancia, sin embargo, encuentra la Sala que, según el Informe del Investigador de Laboratorio de Informática Forense de la Policía Nacional, se hicieron dos análisis.
El primero, a un disco duro, marca HITACHI, conexión SATA, capacidad de almacenamiento 500GB, numero de serie JP1572FL1XHT9K12, y el segundo a un disco duro marca TOSHIBA, conexión SATA, capacidad de almacenamiento 500 GB, número de serie 36RTC09KT extraído de un computador portátil, marca HACER modelo N15C1, color negro, número de serie NXMZPAL01562800A21340013, quedando desvirtuado la tesis según la cual, el disco examinado por el perito de la parte demandante no corresponde al analizado por la Policía Nacional.
Sin perjuicio de ello, encuentra la Sala que aún con las inconsistencias presentadas, las conclusiones a las cuales arribaron los peritos, respecto de la posibilidad de recuperar la información del programa Caín y Abel, son las misma, y es que no existe rastro del mismo, debido a que el equipo fue formateado. Así, el perito Néstor Arnoby Toro Caicedo, concluyó: “Al igual que lo señalado por el Investigador del Laboratorio de 12 Pdf. 20 06 05.
Informe 2. Carpeta 6 Parte contestación de la demanda. Anexos Contestación Davivienda 13 Pdf. 20 06 05. Informe 1. Carpeta 6 Parte contestación de la demanda. Anexos Contestación Davivienda fire 26 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 Informática Forense de la SIJIN-DEUIL.
Gonzalo Rodríguez Benavides en este disco se reinstaló el sistema operativo lo que no permite el análisis de los registros del sistema en las fechas del fraude”14;y a su turno, el experto Yesid González Arango, indicó: “Aunque la Alcaldía de Garzón pretende introducir la hipótesis de que fueron víctimas de alguna clase de software malicioso presuntamente “robaba las contraseñas”, lo cierto es que desde sus propios informes técnicos no se presenta evidencia alguna de la existencia de dicho malware y mucho menos que en caso de ser cierto, éste haya participado activamente en la materialización de las transacciones reclamadas, concluyendo así que no existe relación directa frente a la interacción de ninguna clase de contaminante informático (malware) con el incidente que nos ocupa” En suma, aunque de acuerdo con lo manifestado por el Ingeniero Wilson Lombana, para la época de los hechos, la Alcaldía no contaba con Firewall, encargado de bloquear los ataques a la red, lo cierto es que la relevancia de ello, resulta menguada si en cuenta se tiene que no fue posible determinar si las transacciones ocurrieron debido a un malware, pues como se expuso, se realizó la reinstalación del sistema operativo el jueves 23 de abril de 2020 a las 5:27:39 GMT hora est.
Pacífico, Sudamérica.15 A pesar de lo anterior, encuentra esta Corporación que, de acuerdo con el Informe Preliminar elaborado por el Banco Davivienda, el 27 de abril de 2020, y con los dictámenes periciales, se pudieron identificar ciertas características que permiten establecer la procedencia de la transacción. En primer lugar, se identificó que las 2 operaciones desconocidas fueron realizadas por el Portal Empresarial del Banco Davivienda, canal mediante el cual, se habían ejecutado 768 transacciones reconocidas.
Así mismo, se probó que éstas se efectuaron desde la dirección IP 181.48.30.28 habitual, pues se había utilizado previamente en 1422 oportunidades. Según lo explicado por el perito Yesid González, en audiencia16, una IP “corresponde a un acrónimo que se llama Internet Protocol, es el numero de identificación que tiene un dispositivo para navegar en internet y que lo hace único a la hora de navegar por internet, ese, o varios de sus dispositivos al interior de una misma red interna(…) la dirección IP es una cédula que tienen todos los equipos para identificarse tanto con 14 Pdf. 63 expediente primera instancia 15 Pdf. 20 06 05.
Informe 2. Carpeta 6 Parte contestación de la demanda. Anexos Contestación Davivienda 16 Archivo 119. Adueincia Min 3:29:31 27 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 internet como a nivel interno de una red(…) la IP me la asigna el proveedor de servicios de internet, llámese Claro, Tigo, Movistar, Wom (…)” Así mismo, el Ingeniero de la Alcaldía Wilson Lombana Galindez, al cuestionársele por la razón que le dio la Tesorera para que examinara el equipo, señaló: “La tesorera necesitaba el equipo pues para seguir funcionando, porque pues es el único equipo (sic) que puede hacer las transferencias y todo eso, o sea, toda la parte de giros y eso, solo en ese equipo se podía hacer porque está amarrado como a una IP, entonces la razón era que necesitaban seguir pagando (…)” Igualmente, la testigo Tesorera Diana Milena Gómez, manifestó que solo accedía a dicho canal, a través del computador de escritorio ubicado en su oficina, y que sólo en una oportunidad, aproximadamente en el mes de enero de 2020, tras un corte de energía realizó una transacción desde el dispositivo móvil de propiedad del Secretario General, lo cual, se acompasa con el registro de direcciones IP utilizadas, visibles en el documento “Log de acceso al portal empresarial” aportado por el Banco Davivienda en la contestación de la demanda, donde se evidencian 2 registros con la IP 190.130.121.3 de fecha 24 de enero de 2020, el primero, con tipo de transacción “inicio de sesión” y el segundo “transferencia” Conforme lo anterior, es claro para la Sala que las transacciones no reconocidas por la parte demandante, debieron realizarse desde el dispositivo asignado a la Tesorera, mismo desde el cual, se habían efectuado previamente más de 1000 accesos, al Portal Empresarial; es decir, que el presunto fraude no se originó en los sistemas de la entidad financiera.
Ahora bien, para acceder al equipo de cómputo, la aludida testigo manifestó que su lugar de trabajo no tiene acceso al público y menos aún, para la época de los hechos, pues debido a la pandemia COVID-19, se decretó aislamiento preventivo y la atención fue suspendida. Así mismo, refirió que la oficina cuenta con llave, las cuales, solamente ella manejaba, y su computador tiene una contraseña asignada por el área de sistemas, la cual, nunca modificó. La declarante también explicó que para ingresar al Portal Empresarial, debía digitar su usuario, la contraseña, y a medida que avanza el proceso de pago, tiene que impartir 28 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 autorizaciones con la clave y el número de token, mecanismos de autenticación a los cuales, ninguna persona distinta tenía acceso. Sobre el particular, el testigo Gabriel Antonio Cruz Marín, funcionario de Davivienda adscrito a la Gerencia de Seguridad Corporativa, manifestó “El banco para el manejo del portal empresarial, a los clientes le da varias seguridades, en primer lugar, un código cliente empresarial que es el 26990.
Adicionalmente les asigna y pues posteriormente el mismo cliente a través del mismo sistema asigna una clave para acceso y otra seguridad que el Banco le entrega al cliente es un token. En este caso está el token 415066155 que para poder acceder al portal de contar por lo menos con esas 3 seguridades, el código, la clave y token.” Así mismo, en el Reglamento del Portal Empresarial17, se indica que éste corresponde a “la página en Internet diseñada por DAVIVIENDA y puesta a disposición para su uso a EL CLIENTE, a través de la cual podrá acceder a los servicios adquiridos.
Para su acceso requiere el ingreso del tipo y número de identificación del USUARIO, el NÚMERO DE CLIENTE asignado previamente por DAVIVIENDA, la CLAVE DINÁMICA DE TOKEN y la CLAVE PERSONAL o la CLAVE VIRTUAL EMPRESARIAL.” El token, según la definición contenida en el Reglamento, corresponde a un “dispositivo físico de autenticación que genera una clave aleatoria y temporal la cuál cambia en determinado lapso de tiempo; el TOKEN permite a EL CLIENTE una autenticación segura, confiable e íntegra para acceder a los servicios del PORTAL EMPRESARIAL y APP EMPRESAS DAVIVIENDA.” Así mismo, se define la clave dinámica del token como un “Número de 6 caracteres generado aleatoriamente por el TOKEN asignado (…) De acuerdo con lo manifestado por el perito Yesid González en audiencia, el algoritmo con el cual se generan los números token son indescifrables, en sus palabras “no se puede hacer fraude sin el token”, además, manifestó que este dispositivo no puede ser hackeado pues no tiene ningún tipo de conectividad a internet.
Sin embargo, el perito Néstor Arnoby Toro Caicedo, señaló que existe la posibilidad de que un hacker tome el control del equipo de manera remota y se robe la sesión 17 Pdf. 3 Carpeta 19 Contestación de la Demanda. Sub Carpeta 1 Parte Contestación de la demanda 29 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 mientras se realice el proceso de autenticación con el token; no obstante, ello no fue probado, en razón a que no fue posible a que el disco fue formateado. En todo caso, lo que evidencian las pruebas es que ambas transacciones, fueron aprobadas mediante token tal como se colige del informe presentado por la demandada18, así como en el documento denominado “entrevista efectuada por Banco Davivienda a Diana Milena Gómez Claros”19.
Este dispositivo, según lo relató la referida testigo siempre permanece en su poder, y lo guarda en el escritorio de su oficina, aunque, no recuerda si éste tiene llave, no obstante, cuando sale de trabajar queda allí. De la revisión del expediente, encuentra la Sala que obra en el plenario el Informe Investigador de Campo FPJ 11, del 24 de abril de 202020, en el cual, se describe la diligencia de inspección al lugar de los hechos, y se fija en la imagen No. 12, el escritorio y el cajón donde se indica, es guardado el token, empero, no es posible evidenciar si éste tiene alguna medida de seguridad.
Para la Sala, los medios de prueba aportados al proceso, no permiten concluir nada distinto a que la parte demandante, no cumplió con la obligación de custodiar el TOKEN con la mayor diligencia y cuidado, pactada en el Reglamento del Portal Empresarial y que ha sido reiterada por la Sala de Casación Civil de la Corte Suprema de Justicia, al enfatizar que es deber del cliente de mantener en reserva sus claves de acceso al portal transaccional.
Lo anterior, teniendo en cuenta que la parte actora, no logró demostrar la presencia de un virus en el equipo de la Tesorera, así como tampoco, que otra persona hubiera tomado de manera remota el control; por el contrario, la entidad financiera, acreditó que el dispositivo token no puede ser hackeado, y es indispensable para la realización de cualquier operación a través del portal, incluido el acceso al mismo.
Aunado a ello, se evidenció que la parte actora no adoptó las medidas necesarias para custodiar sus mecanismos de seguridad, pues según las imágenes que reposan en el Informe Investigador de Campo FPJ 11, del 24 de abril de 2020, y el testimonio del Policía Andrés Alberto Bautista Tovar, la oficina de la Tesorera no tenía acceso 18 Pdf.21, pág. 40 19 Pdf. 13.
Pág.1 Carpeta 030 Anexos Contestación Reforma 20 Pdf. 23PruebaNumeroUnoFiscalia. Carpeta 19 Contestación de la Demanda. Sub Carpeta 6 Parte Contestación de la demanda 30 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 restringido, por el contrario, conectaba con la de su secretaria y con la de cobro coactivo, Igualmente, evidencia la Sala que el cajón donde la funcionaria encargada guardaba el token, no contaba con una protección idónea, así como tampoco, el computador desde el cual se hacían las transacciones, pues como se reseñó, a pesar de que tenía una contraseña, ésta era conocida por otras personas al interior de la Alcaldía. En ese sentido, a pesar de que la entidad financiera cumplió con la obligación establecida en el litera q) del art. 7 de la Ley 1328 de 2009, de “disponer de los medios electrónicos y controles idóneos para brindar eficiente seguridad a las transacciones, a la información confidencial de los consumidores financieros y a las redes que la contengan”; en criterio de la Sala, la parte demandante no adoptó las medidas de protección indispensables para custodiar sus claves o prevenir un eventual fraude, pues adicional a lo ya reseñado, se probó que en el portal empresarial, se podían elegir y definir parámetros como “tipo de transacciones, cantidad de traslados por proceso, número de procesos por periodo, montos máximos de operación, valor máximo de traslados por proceso, horarios de operación, cuentas desde las que se realizarán transacciones, tipo de abono y productos autorizados para consultar, etc”21, y a pesar de ello, el Municipio de Garzón no lo hizo.
Si bien, se adujo al interior del proceso que la entidad financiera no brindó capacitación respecto del uso del portal empresarial, lo cierto es que los medios de prueba dieron cuenta que la Tesorera tenía conocimiento como utilizarlo, por su experticia y la habitualidad con la que lo usaba; aunado que dentro de las prácticas de protección que deben adoptar los consumidores financieros, establecidas en el art. 6 de la Ley 1328 de 2007, se encuentran las de: “b) Informarse sobre los productos o servicios que piensa adquirir o emplear, indagando sobre las condiciones generales de la operación; es decir, los derechos, obligaciones, costos, exclusiones y restricciones aplicables al producto o servicio, exigiendo las explicaciones verbales y escritas necesarias, precisas y suficientes que le posibiliten la toma de decisiones informadas. c) Observar las instrucciones y recomendaciones que imparta la entidad vigilada sobre el manejo de productos o servicios financieros. 21 Pdf. 3 Carpeta 19 Contestación de la Demanda.
Sub Carpeta 1 Parte Contestación de la demanda 31 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 d) Revisar los términos y condiciones del respectivo contrato y sus anexos, así como conservar las copias que se le suministren de dichos documentos.” En suma, para esta Corporación, la conduta omisiva y negligente de los funcionarios del Municipio de Garzón, en el cumplimiento de sus obligaciones de reserva y custodia de los mecanismos de seguridad brindados por la entidad financiera, incidió de manera determinante en la producción del daño, pues sin estos, las transacciones desconocidas no se hubieran realizado.
No obstante, no es suficiente para exonerarse de responsabilidad, acreditar la contribución efectiva de la víctima en el resultado lesivo, sino que además, debe demostrarse que éste “le resultó extraño, imprevisible e irresistible, esto es, que hubo total ruptura del nexo causal.”22Este criterio, también ha sido adoptado por la Superintendencia Financiera de Colombia, en distintas decisiones, al señalar que la circunstancia de que las transacciones cursen sin éxito, o que no se hayan parametrizado los productos, no eximen a la entidad financiera de la obligación de identificar los hábitos transaccionales y establecer procedimientos de bloqueo o verificación de las operaciones.
En tal sentido, ha indicado: “aunque no se discute por el despacho que las transacciones se hayan realizado con el lleno de la información necesaria para producirlas, este hecho no puede tenerse como una imputación inequívoca de responsabilidad en cabeza de la consumidora financiera, ni releva o dispensa a la entidad financiera de su obligación de custodiar de manera satisfactoria los recursos entregados, adoptando las medidas pertinentes para que la ejecución del contrato se alcance con plena normalidad.” (Fallo del 23/01/2017.
Exp. 2016-1445) En la misma línea, en el fallo dictado el 13 de mayo de 2015, dentro del expediente 2014-1465, puntualizó: “es de resaltar que las transacciones coheteadas en efecto se realizaron y que se ejecutaron con la información necesaria para producirlas, no obstante, ello no puede tenerse como una atribución incontrovertible en autoridad en cabeza del consumidor financiero pues la ley no ha tarifado la prueba, tal prueba por lo que tales aspectos deben sopesarse valorarse y aquilatarse en juicios como el presente donde se discute la responsabilidad de los contratantes dentro de un 22 Corte Suprema de Justicia, Sala de Casación Civil, sentencia SC 1230 de 2018 M.P. Luis Alonso Rico Puerta. 32 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 servicio financiero que responde a ordenes electrónicas máxime cuando está sometido a la ocurrencia de riesgos operativos como lo es la intromisión informativa.” Así mismo, la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá, en la sentencia dictada el 27 de octubre de 2016, dentro del proceso con radicación 1100 13 19 9001 2015 00206 01, con ponencia del Magistrado Germán Valenzuela Valbuena, enfatizó: “que el cliente deje ilimitados o abiertos los parámetros de su producto susceptibles de configuración (montos máximos por operación, días habilitados, número de operaciones por día, etc), no conlleva a que pueda sostenerse que, entonces, todas las operaciones que realice corresponden a su perfil transaccional, a despecho de lo que en rigor lo configura el hábito.” Lo anterior, teniendo en cuenta que las instituciones bancarias, en virtud de los principios establecidos en el art. 2 de la Ley 1328 de 2009, especialmente, el de debida diligencia, deben “observar las instrucciones que imparta la Superintendencia Financiera de Colombia en materia de seguridad y calidad en los distintos canales de distribución de servicios financieros”, dentro de las cuales, se encuentra la Circular Básica Jurídica 029 de 2014, la cual, en el título II, parte I, numeral 2.3.3., estableció como requerimientos generales los siguientes: “2.3.3 Requerimientos generales 2.3.3.1.
En materia de seguridad y calidad de la información A fin de dar debida aplicación a los criterios antes indicados las entidades deben adoptar, al menos, las medidas que se relacionan a continuación: 2.3.3.1.12. Establecer procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos por parte de un cliente, así como las medidas operativas y de seguridad para la reactivación de los mismos. 2.3.3.1.13.
Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos.” 33 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 El perfil transaccional, de acuerdo con la jurisprudencia de la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá, antes citada “no es una noción puramente formal, una especie de conocimiento que no requiere ningún tipo de investigación -apriorístico- sino que es el resultado del análisis de experiencias a cuya reiteración en el tiempo el ordenamiento quiso darle efectos propios (…) podría decirse, con recurso a la figura, que el perfil transaccional es a las operaciones bancarias lo que la huella dactilar es a cada individuo; es aquel aspecto cuya singularidad permite establecer -por encima de la apariencia que se produce en los eventos en los que terceros superan o se hacen a los mecanismos tradicionales de autenticación (firma, clave persona, token, etc) – la identidad de quien realiza una operación que prima facie podría imputársele al cliente” Es en fin una herramienta de seguridad que opera de manera bifronte: si tal o cual transacción no corresponde al perfil de la persona a quien preliminarmente podría atribuirse, el banco debe asumir la pérdida; pero si puede imputársele por corresponder a sus hábitos, entonces el banco (…) queda excusado” En el presente asunto, evidencia la Sala que el Banco Davivienda, tenía estructurado un perfil transaccional del cliente, en lo que respecta a la IP, monto promedio de transacciones, canal utilizado, según se desprende del Informe Preliminar elaborado por el Banco Davivienda, el 27 de abril de 2020, como se expone a continuación. 34 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 Igualmente, del documento Excel denominado Log transaccional, se evidencia que desde la cuenta terminada de **4763, existieron 82 movimientos con características similares, en lo que concierne a canal, motivo, tipo de movimiento, desde enero de 2019, hasta abril de 2020. Así mismo, se evidenció que desde cuenta **9128 se efectuaron 60 operaciones con identidad en los referidos rasgos.
Conforme a lo expuesto, concluye esta Corporación que, tal como lo señala la parte demandada, las transacciones presuntamente fraudulentas guardan similitud en distintos aspectos característicos del perfil transaccional del cliente, como el canal, la IP, el tipo de movimiento, el motivo, sin embargo, no puede desconocer el Tribunal que existía un rasgo, que se diferenciaba abismalmente del hábito transaccional, y éste era el monto de la operación. En efecto, desde el año 2019, hasta la época de la ocurrencia de los hechos, encuentra la Sala que desde la cuenta No. ***9128, por el tipo de movimiento 0055, que corresponde a la sigla “nota debito descuento”, solo se habían realizado 6 transacciones que superaban los $20.000.000, pero ninguna de ellas, los $100.000.000.
Así mismo, por el motivo 0080 que corresponde a “pago a proveedor”, el monto máximo pagado durante los años 2019-2020, fue de $80.447.564, luego para esta Corporación, es claro que una transferencia por el monto de $305.550.700, sin duda alguna excedía los valores habituales que manejaba el cliente, y debía generar una alerta para la entidad financiera.
Igualmente, del log transaccional de la cuenta No. ***4763, encuentra la Sala que, durante los años 2019-2020, desde el canal “21” que corresponde al portal empresarial, solo se habían realizado 2 transacciones que superaban los $50.000.000, pero que no excedía los $63.000.000, por motivos de “abono por transferencia de fondos” y “abono pago de nomina Davivienda”, empero que, por el de “pago a proveedores”, nunca se había efectuado una operación que superara si quiera los $20.000.000; por lo que en 35 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 criterio de la Sala, una transferencia por este motivo por el valor de $275.645.400 evidentemente resultaba ajena a los hábitos del Municipio de Garzón. Aunado lo anterior, en el documento denominado entrevista efectuada por Banco Davivienda a Diana Milena Gómez Claros”23, en el que se relaciona la trazabilidad de correos electrónicos cruzados por funcionarios del Banco Davivienda, se señala que los días en que cursaron las transacciones, existieron varios inicios de sesión fallidos.
Así mismo, se indica que el dispositivo o navegador utilizado para el presunto fraude no había sido usado anteriormente por el cliente, como tampoco, las cookies desde las cuales éste se materializó. En este sentido, se expone: 23 Pdf. 13. Pág.1 Carpeta 030 Anexos Contestación Reforma 36 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 De lo expuesto, evidencia esta Corporación que sí se presentaron anormalidades en las transacciones desconocidas por el municipio, pues se constató que existieron varios intentos fallidos de inicio de sesión, y operaciones declinadas, y además, que el navegador utilizado no era el mismo desde cual, normalmente se efectuaban las operaciones.
Al respecto el perito Néstor Toro, indicó: “Los sistemas del banco capturan un registro que se llama dispositivo para identificar desde cual se hace la operación, uno se fija en la versión del Google que se está utilizando, y Google automáticamente se va actualizando cada x tiempo, lo que uno se da cuenta que la nueva actualización tiene un número mayor que la anterior, si yo voy viendo que venía un proceso secuencial de la versión e Google que llegó a hasta día 13 de abril de 2020, el día 15 aparece radicalmente una versión alta de Google, eso me abre sospecha, venia con una versión 3987.16, me salta a una 4044.92, y sigo y vuelve y aparece otro sistema el día 17 de abril de 2020, con el 4044.11 y miro que operación hizo y dice inicio de sesión, luego otra.
Esa es un anomalía que debió alertarse porque hubo un cambio de dispositivo.” 37 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 Luego el perito Yesid González puntualizó que dichos registros no son de dispositivos, “sino de un navegador, huellas de los navegadores de los cuales se accedió”; es decir, el navegador no era el mismo utilizado habitualmente por la Tesorera del Municipio.
Adicional a ello, allí se indica que las cookies desde las cuales se hizo el fraude nunca habían sido utilizadas. Respecto de éstas, el perito Yesid González, señaló que no pueden tenerse como un criterio del perfil transaccional pues son dinámicas, en este sentido, explicó: “El cookie es un fichero de archivos que una página web la que usted quiera, la que sea, le envía a su computador cuando usted visita esa página, puede ser la página del Banco de Davivienda, puede ser la página del Banco Caja Social puede ser la página del Banco BBVA, absolutamente todas generan una cookie.
La cookie se genera independientemente, señoría, si se hace desde un computador, desde un equipo móvil, desde un celular, desde una Tablet, la cookie siempre, absolutamente siempre, siempre, se genera. (…) no es obligatorio que las cookies sean las mismas. las cookies pueden ser las mismas cuando hacemos ingresos desde el mismo equipo y desde ese mismo equipo tenemos configuradas ciertas preferencias.
El Banco en ningún momento reconoce que los cookies sean elementos utilizados para la materialización del fraude, sino que aporta una tabla de clasificación de cómo están relacionadas con el incidente y cuales no están relacionadas. (…) las cookies son dinámicas, no van a ser las mismas con la que usted ingrese un día, 2 días, 3 días, 4 días, 5 días o mejor aún si lo hace desde un equipo, por ejemplo, como puede ser si lo accede desde el equipo de su casa y luego accede desde su desde su línea celular o desde su dispositivo móvil o desde su Tablet.
(…) En contraposición a ello, el perito Néstor Arnoby Toro Caicedo, frente a las cookies sostuvo: 38 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 son unos archivos de texto en la comunicación del usuario con el portal web (…) Que hacen los cookies capturan información del equipo, allá hay unas tablas, entonces cuando uno hace el inicio, los cookies cambian, pero el cookie que importa es el de las transferencias financieras, ese no cambia fácilmente.
(…) ahí dice que existieron cookies que fueron utilizadas 192 veces, es decir, esas cookies no cambiaron. Los cookies los determina el portal web. El banco diseña las cookies, Google tiene sus propios cookies, todo el mundo tiene cookies. El banco los diseña de tal forma que capturan informacion, ¿qué informacion? No lo sabemos, eso nos lo tiene que decir el banco.
Pero tienen tanta importancia los cookies que en el informe la funcionaria dice que las cookies no habían sido utilizadas antes. (…) De lo anterior, se advierte que aunque uno de los expertos en el área señala que las cookies son dinámicas y por tanto, no constituyen un criterio para determinar el perfil transaccional, los medios de prueba si dan cuenta que algunas se repetían con frecuencia de hasta 192, lo que permite concluir que, aunque éstas no integren necesariamente los hábitos del cliente, si son un factor que analiza la entidad financiera al momento de procesar la operación. En ese orden, y al margen de la discusión técnica que pueda presentarse respecto de si las cookies son o no dinámicas, y si éstas varían en cada operación, lo cierto es que las transacciones desconocidas por la parte demandante, resultaban extrañas al perfil transaccional, y por ese motivo, debía la entidad financiera, desplegar las medidas de seguridad para confirmarla que fuera el cliente y no quien las realizaba.
Para la Sala no resulta de recibo el argumento esgrimido por el Banco Davivienda, según el cual, la parte actora no tenía activada la opción de notificación de transacciones mediante mensajes de texto o correo electrónico, pues aún cuando éste se tuviera activado, el mismo resulta insuficiente para garantizar la seguridad de la operación. Recuérdese que por tratarse de un profesional en la actividad, a la entidad financiera no se le exige cualquier tipo de diligencia, sino, la máxima, así como también los más altos estándares de seguridad, control, confiabilidad.
En efecto, en un caso de similares contornos al aquí discutido, donde, por el contrario, si se contaba con el servicio de 39 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 notificación de las operaciones, la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá, en la sentencia dictada el 27 de octubre de 2016, dentro del proceso con radicación 1100 13 19 9001 2015 00206 01, antes reseñada, precisó: “(…) el Tribunal no está asumiendo como principio que basta con el envío de mensajes de texto al teléfono celular registrado y su efectiva recepción en ese dispositivo móvil del depositario para que el banco pueda dar por cumplida su obligación de garantizar que los fondos del cliente no sufrirán menoscabo por fraudes (…) no basta con la emisión y recepción de alertas para que la entidad bancaria pueda desentenderse de sus obligaciones contractuales y legales (…) (…) Y es que, en verdad, la obligación de establecer los parámetros de comportamiento del cliente encuentra razón de ser precisamente para el caso en que íntegros los mecanismos de autenticación sean superados por terceros, y, además, las notificaciones no resulten efectivas (…) Igualmente, en el fallo del 13 de mayo de 2015, proferido por la Superintendencia Financiera al interior del proceso 2014-1465, indicó: “Si bien el banco remitió mensajes de texto al celular del demandante y tal y como quedó demostrado, en tiempos sucedáneos con los retiros, lo cierto es que la remisión de tales mensajes en razón del servicio de notificación de transacciones que ofrece la entidad financiera no puede entenderse como confirmación, pues los mismos, se encuentran desprovistos de toda la orden verificacional, ya que como se expresó en antecedencia, los requerimientos de seguridad están previstos para lograr la confirmación o el bloqueo oportuno impidiendo la defraudación de los recursos o al menos que sean más gravosos depositados por los clientes en el sistema financiero.
En ese orden de ideas, dada la finalidad de los requerimientos mínimos de seguridad, la comunicación con el cliente ha debido ser oportuna, siendo oportuna aquello que ocurra en tiempo, cuando conviene, es decir, que sea en el momento adecuado en relación a un fin o propósito determinado; en estos casos, impedir la defraudación de los recursos depositados a disposición de los clientes, y si no impedir, al menos aminorar que estos hubiesen continuado, por lo que es fácil colegir que la entidad acá demandada faltó a los deberes que le resultaban inescindibles, de forma que los mecanismos implementados por la 40 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 entidad para mitigar los riesgos naturales y propios de la actividad que asume con ocasión del ejercicio profesional y de la cual se beneficia no cumplieron los propósitos para los que han sido diseñados” Por lo anterior, le asiste razón al recurrente cuando señala que las operaciones no correspondían a su perfil transaccional, pues las cuantías de las mismas le resultaban inusuales en la medida que excedían de manera notoria sus costumbres, y por tanto, le correspondía a la entidad financiera activar los mecanismos de verificación, lo cual, no hizo.
Así las cosas, habiéndose constatado que la demandada incumplió sus obligaciones de diligencia y seguridad, como también lo hizo la parte demandante, al no custodiar ni guardar bajo reserva los mecanismos de autenticación brindados por el Banco Davivienda, concluye esta Corporación que ambas conductas incidieron de manera determinante en la producción del daño, en el mismo porcentaje, por lo que cada una, deberá asumir el 50% de la pérdida patrimonial, esto es, la mitad del monto total sustraído, debidamente indexado, para compensar la pérdida del poder adquisitivo.
No se accederá al pago de los intereses civiles ni moratorios, pues por un lado, la obligación no es de linaje civil sino comercial, y por otro, ésta no se ha hecho exigible. Finalmente, respecto del contrato de seguro, advierte la Sala que, tal como lo concluyó la Juez de instancia, dentro de los riesgos amparados en la póliza, no se encuentra el de “hurto por medios informáticos y semejantes agravado”, tipificado en el art. 269I y numeral 1 del art. 269H del Código Penal En efecto, dentro del contrato de seguro No. 172 de 2019, se pactó como objeto, la “expedición de las pólizas de seguros que amparen los riesgos generales, bienes muebles, e inmuebles de aquellos por los que sea o llegare a ser legalmente responsables el Municipio de Garzón en los ramos todo riesgo: daños materiales (incendio, sustracción, equipo eléctrico y electrónico, rotura de maquinaria, todo riesgo contratista, corriente débil), seguros patrimoniales (manejo global para entidades oficiales, SOAT, responsabilidad civil extracontractual predios. labores y operaciones, responsabilidad civil servidores públicos, automóviles) seguro de vida (vida grupo para concejales, alcalde, personero del Municipio de Garzón- Huila)" de conformidad con el pliego de condiciones, la propuesta presentada por el contratista” 41 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 Así mismo, en la póliza No. 560-83-994000000185, vigente para la época de los hechos, se pactó que por el tipo edificio, se amparaban los riesgos de “daños materiales”, “asonada, motín, huelga actos mal intencionados de terceros y terrorismo, terremoto temblor y erupción volcánica” y “hurto calificado”, los cuales, aseguraban “muebles y enseres”, “maquinaria y equipo”, “herramientas y accesorios”, “dinero en efectivo y títulos valores”, “vidrio”, “equipo de computo y procesamiento de datos”, “equipo de comunicación”.
Al respecto, la Corte Suprema de Justicia, Sala de Casación Civil, apoyada en diferentes doctrinantes, memoró que: “es factible limitar la extensión de la cobertura «( ) mediante denominaciones o indicaciones positivas o mediante exclusiones a la garantía comprometida por el asegurador. La denominación del riesgo es genérica (incendio, robo, accidente, deceso) y se la toma específica a través de la individualización del interés asegurable.
Y viene combinada con un enunciado de eventos y circunstancias excluidos de cobertura. Las indicaciones positivas consisten en un enunciado o en una descripción o en la denominación de los riesgos cubiertos o asumidos por el asegurador, lo que presupone que no se halla garantizado por el contrato de seguro todo aquello que no está enunciado afirmativamente como cubierto.
(…)” En el presente asunto, evidencia esta Corporación que los amparos de la póliza se encontraban delimitados a riesgos concretos sobre bienes claramente descritos, dentro de los cuales no se encuentran los depósitos bancarios. Igualmente, encuentra este Tribunal, que si bien en el anexo 1 de la póliza, se indica se cubren los riesgos que impliquen el menoscabo de fondos y bienes, estos solo proceden cuando sean causados por sus empleados en el ejercicio de los cargos amparados por actos que se tipifiquen como delitos contra la administración pública o fallos con responsabilidad fiscal, circunstancias que no han sido acreditadas en el proceso.
Finalmente, advierte la Sala que aunque existen amparos adicionales y allí se enlista la cobertura por depósitos bancarios, ésta se encuentra limitada a la pérdida de los dineros depositados, por causa de “falsificación o adulteración de cheque, letra de cambio, pagaré, carta de crédito o cualquier otra clase de título en valor que el banco o 42 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez.
Rad. 2021-00021-01 la entidad financiera presuma que ha sido firmado, endosado o avalado por el asegurado, o por persona que haya obrado en su nombre o representación”;24 es decir, que la contingencia de “hurto por medios informáticos y semejantes agravado” sobre depósitos bancarios, no fue objeto de amparo en el contrato de seguro, y por tanto, no le asiste obligación a la Aseguradora Solidaria de Colombia de pagar indemnización. Por lo expuesto, esta Corporación, revocará los numerales primero y segundo de la sentencia de instancia, y en su lugar, declarará contractualmente responsable al BANCO DAVIVIENDA S.A., en un porcentaje del 50%, por el incumplimiento de sus obligaciones de diligencia y seguridad en relación con la custodia de los dineros depositados por el MUNICIPIO DE GARZÓN en sus cuentas de ahorro ***4763 y ***4766 migrada a la No. ***9128.
En consecuencia, se condenará al BANCO DAVIVIENDA S.A., a pagar el 50% de los perjuicios causados, que corresponde a la suma de $290.600.550, debidamente indexada, a la fecha de su pago. Finalmente, se adicionará un numeral, declarando no probadas las excepciones propuestas por el BANCO DAVIVIENDA, y en lo restante se confirmará el fallo apelado. 6.
COSTAS De conformidad con el artículo 365 numeral 1 del C.G.P, no se condenarán en costas de la segunda instancia a la parte actora ante la prosperidad parcial de la alzada. Sin más consideraciones, la Sala Sexta de Decisión Civil Familia Laboral del Tribunal Superior del Distrito Judicial de Neiva, administrando justicia en nombre de la República de Colombia y por autoridad de la Ley 7.
RESUELVE
PRIMERO. REVOCAR los numerales primero y segundo de la sentencia proferida el 15 de diciembre de 2023, por el Juzgado Primero Civil del Circuito de Garzón, y en su lugar, queda así: 24 Pág. 263 pdf. 03 anexos 43 República de Colombia Rama Judicial del Poder Público M.P. Édgar Robles Ramírez. Rad. 2021-00021-01 PRIMERO: DECLARAR contractualmente responsable al BANCO DAVIVIENDA S.A., en un porcentaje del 50%, por el incumplimiento de sus obligaciones de diligencia y seguridad en relación con la custodia de los dineros depositados por el MUNICIPIO DE GARZÓN en sus cuentas de ahorro ***4763 y ***4766 migrada a la No. ***9128.
SEGUNDO: CONDENAR al BANCO DAVIVIENDA S.A., a pagar el 50% de los perjuicios causados, que corresponde a la suma de $290.600.550, debidamente indexada, a la fecha de su pago SEGUNDO. ADICIONAR el numeral quinto a la sentencia proferida el 15 de diciembre de 2023, por el Juzgado Primero Civil del Circuito de Garzón, así:
QUINTO: DECLARAR no probadas las excepciones propuestas por el BANCO DAVIVIENDA.
TERCERO. CONFIRMAR EN LO RESTANTE la sentencia proferida el 15 de diciembre de 2023, por el Juzgado Primero Civil del Circuito de Garzón.
CUARTO: SIN CONDENA en costas ante la prosperidad parcial de la alzada.
NOTIFÍQUESE EDGAR ROBLES RAMÍREZ Magistrado Ponente ANA LIGIA CAMACHO NORIEGA Magistrada CLARA LETICIA NIÑO MARTÍNEZ Magistrada (Con Salvamento de Voto) 44 Firmado Por: Edgar Robles Ramirez Magistrado Tribunal O Consejo Seccional Sala 005 Decision Civil Familia Laboral Tribunal Superior De Neiva - Huila Ana Ligia Camacho Noriega Magistrado Tribunal O Consejo Seccional Sala 003 Civil Familia Laboral Tribunal Superior De Neiva - Huila Firma Con Salvamento De Voto Clara Leticia Niño Martinez Magistrada Sala Civil Familia Laboral Tribunal Superior De Neiva - Huila Este documento fue generado con firma electrónica y cuenta con plena validez jurídica, conforme a lo dispuesto en la Ley 527/99 y el decreto reglamentario 2364/12 Código de verificación: 1865fcc0d53d680660b759db13b9bdf2b2290ad28bbe58ddb01ae52e950968a8 Documento generado en 18/03/2026 09:35:14 AM Descargue el archivo y valide éste documento electrónico en la siguiente URL: https://firmaelectronica.ramajudicial.gov.co/FirmaElectronica