REPÚBLICA DE COLOMBIA RAMA JUDICIAL DEL PODER PÚBLICO TRIBUNAL SUPERIOR DEL DISTRITO JUDICIAL DE BOGOTÁ SALA CUARTA DE DECISIÓN CIVIL Magistrada Ponente: AÍDA VICTORIA LOZANO RICO Bogotá D.C., veintisiete (27) de agosto de agosto de dos mil veinticinco (2025). Discutido en las Salas de Decisión celebradas el 19 y 25 de agosto de 2025, aprobado en esta última.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. I. ASUNTO POR RESOLVER Se decide el recurso de apelación interpuesto por la demandante contra la sentencia proferida el 2 de diciembre de 2024, por la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia.
II.
ANTECEDENTES 1. Pretensiones. La entidad convocante pretendió que se declare civil y contractualmente responsable al Banco Davivienda S.A., por el daño patrimonial que sufrió a causa de un fraude electrónico en dos de sus cuentas. En consecuencia, exigió que se obligue a esa institución financiera a reintegrar el valor total del desfalco, que asciende a $1.175.297.083.84, debidamente indexado y con intereses moratorios, desde la fecha del ilícito hasta el momento en que se realice el pago1. 1 Folio 5, archivo “001 Demanda.pdf” en “001PrimeraInstancia”. 2.
Sustento Fáctico. En apoyo de sus pedimentos, expuso los hechos que se resumen a continuación: Los días 6 y 8 de agosto de 2018, la Subred Integrada de Servicios de Salud Sur E.S.E., fue víctima de una sustracción de dinero electrónica que afectó gravemente su patrimonio. Durante este período, se realizaron transacciones y retiros no autorizados desde la cuenta de ahorros número 0044480039****, cuya titular para ese momento era la señora Claudia Helena Prieto Vanegas, quien fungía como gerente de la entidad demandante.
Estas operaciones fraudulentas se ejecutaron a través del portal empresarial del Banco Davivienda S.A, lo que –en sentir de la actora– evidencia una vulneración en los sistemas de seguridad de la entidad bancaria. Mediante oficio del 10 de octubre de 2018, el Banco Davivienda S.A. certificó que el valor total del hurto neto ascendió a la suma de $1.175.297.083,84.
Esta cifra representa el monto que efectivamente fue sustraído, luego de descontar los rubros que el banco logró rescatar en las cuentas receptoras del dinero defraudado. Inmediatamente después de conocer los hechos, la gerencia de la Subred Sur E.S.E. inició las gestiones correspondientes ante el convocado, para obtener la restitución de los recursos sustraídos.
En respuesta a las primeras reclamaciones, la institución financiera reconoció la ocurrencia del ilícito y procedió a realizar una devolución parcial de los dineros. Mediante oficio del 24 de agosto de 2018, la entidad bancaria informó sobre el resultado, devolviendo $294.056.968. Esta suma se descompuso en dos ajustes: el primero por $208.723.132 y el segundo por $85.333.836,16, ambos realizados el 23 de agosto de 2018.
Sin embargo, esta restitución parcial distó mucho de cubrir la totalidad del daño sufrido. La diferencia entre la cantidad defraudada y lo Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. efectivamente devuelto, dejó un saldo pendiente de reintegro que constituye el núcleo de la presente controversia.
En opinión de la actora, el banco reconoció implícitamente su responsabilidad, al realizar esta devolución parcial, pues de otra manera no habría procedido a efectuar pago alguno a favor de la entidad afectada. A pesar del tiempo transcurrido desde la ocurrencia de los hechos y de los múltiples trámites efectuados por la Subred Sur E.S.E, el Banco Davivienda S.A ha mantenido una posición de resistencia frente a la restitución total de los recursos sustraídos.
A lo largo de las comunicaciones mantenidas entre las partes, el establecimiento de crédito efectuó manifestaciones que dejan en evidencia su actuar irreflexivo. Así, confesó haber detectado acceso abusivo al sistema, lo que evidencia fallas en sus mecanismos de seguridad y control. Adicionalmente, el banco informó sobre las diversas medidas desplegadas con posterioridad a la ocurrencia del fraude, incluyendo actividades de investigación en informática forense, conservación de evidencia física, toma de imágenes e identificación del patrón de afectación a través del ciberataque.
Estas actuaciones, si bien demuestran diligencia posterior al hecho, no exoneran al banco de su responsabilidad por las fallas que permitieron la materialización del desfalco2. 3. Contestación. El apoderado de la entidad convocada hizo una “manifestación preliminar conceptual”, en la que aludió a la Sentencia SC5176-2020 de la Corte Suprema de Justicia, un pronunciamiento que ha sentado un precedente significativo sobre el régimen de responsabilidad en el sector financiero.
Subrayó que esta jurisprudencia reconoció que una entidad bancaria puede ser exonerada de su deber de indemnizar, si logra demostrar la 2 Archivo “001 Demanda.pdf”. Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. ocurrencia de una “causa extraña”, que rompa el nexo causal.
Específicamente, citó la figura del “hecho de la víctima como causa exclusiva del daño” y factor eximente de la obligación de reparar, incluso bajo la aplicación de la “Teoría del Riesgo”. El núcleo de su pronunciamiento, se estructuró alrededor de cinco excepciones que, aunque presentadas de forma individual, constituyeron una defensa interconectada, pues buscaron desvirtuar la responsabilidad del banco mediante una serie de argumentos que imputaron la culpa del daño a la demandante. 1) Hecho de la víctima como causa exclusiva del daño y eximente de responsabilidad del Banco Davivienda: Señaló que el actuar negligente, imprudente e imperito de la Subred y sus funcionarios fue la causa única y determinante del perjuicio, liberando así al banco de cualquier responsabilidad.
Para sustentar esta defensa, destacó la pérdida de la custodia de los dispositivos de autenticación, conocidos como “Token”. Demostró que las operaciones fraudulentas se ejecutaron con todos los elementos de seguridad necesarios, incluyendo las claves dinámicas generadas por estos artefactos. Como evidencia, presentó una llamada del 8 de agosto de 2018, en la cual la funcionaria de Subred, Gloria Inés Sánchez Rodríguez, admitió que los Tokens en su poder no eran los asignados por el banco e, incluso, preguntó: “¿oh, nos los cambiaron, cierto?”.
Adicionalmente, presentó hallazgos de investigaciones penales que documentan el descubrimiento de un computador portátil “ajeno a la subred, escondido en un techo, y conectado a la red de internet del hospital”. Los documentos judiciales y policiales, incluyendo un informe de investigación de campo con imágenes, confirman que este equipo fue utilizado para ingresar al Portal Empresarial y realizar el fraude, superando las medidas de seguridad con los usuarios y claves.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. También, detalló una serie de incumplimientos de la convocante a sus obligaciones contractuales y de autoprotección, tal como lo establece la Ley 1328 de 2009. Mencionó la falta de parametrización de los servicios transaccionales, la ausencia de control en el acceso físico a las oficinas donde se manejaban los equipos y, la omisión de software de seguridad (antimalware, firewall, IDS, IPS).
A esto, se suma el hecho de que la funcionaria de la Subred, Gloria Inés Sánchez Rodríguez, admitió haber ignorado las notificaciones por SMS de los ingresos al portal que el banco le envió. 2) Las operaciones desconocidas se encuentran ajustadas al perfil transaccional de subred respecto de las cuentas de ahorro No. 0550004800**** y 0550004800**** a través del portal empresarial.
Esta excepción es un complemento de la anterior, ya que explica por qué el banco no detectó las transacciones como fraudulentas. La defensa explicó el concepto de “perfil transaccional”, como el patrón de comportamiento financiero de un cliente y, argumentó que las operaciones cuestionadas se ajustaron al modelo conductual habitual de la Subred, lo que eliminó cualquier razón para que el sistema generara una alerta o bloqueara los pagos.
En el sector bancario que maneja miles de transacciones diarias, la detección de fraude depende de la identificación de actuaciones anómalas. Al aducir que las transferencias fraudulentas mimetizaron el comportamiento habitual de la Subred, el banco negó tener la obligación de actuar de forma diferente, ya que las operaciones no presentaban los indicadores de riesgo que sus equipos tecnológicos están diseñados para detectar.
Para sustentar este argumento, utilizó sus “logs transaccionales”. Un análisis detallado, demuestra que los 22 procesos de pago (a proveedores, transferencias y nómina) se realizaron en días y horarios (hábiles de las 7:00 a las 18:37 horas) y con montos que no eran inusuales para la Subred. El banco presentó evidencia de operaciones legítimas, realizadas por la Subred que superaban los mil millones de pesos en días anteriores, Ref.
Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. realizadas en frecuencias y horarios similares a los de los giros fraudulentos. Seguidamente, mostró un extracto de los movimientos no reconocidos por la parte actora, los cuales demuestran su ajuste al perfil transaccional de la Subred. Asimismo, justificó que el traspaso de $896.000.000 de una cuenta de la Subred a otra, que sirvió para fondear los pagos espurios, se encontraba dentro de un perfil transaccional de grandes sumas entre sus cuentas propias. 3.
Diligencia del Banco Davivienda y cumplimiento de sus deberes profesionales. Con esta excepción, el convocado buscó probar su inocencia, demostrando que en todo momento actuó con el debido cuidado y profesionalismo. Insistió en que cumplió con sus obligaciones de seguridad, incluyendo la implementación de Tokens y la notificación de accesos.
Afirmó haber adoptado lineamientos de seguridad y ciberseguridad, conforme a marcos como NIST Cybersecurity Framework, SOX y PCI-DSS. Adicionalmente, destacó que, tras ser enterado del fraude, realizó gestiones proactivas de recuperación de fondos, logrando reintegrar a la demandada la suma de $294.056.968.16, lo que demuestra su profesionalismo y diligencia post-incidente, pero no un reconocimiento de culpa. 4.
Inexistencia de responsabilidad de Banco Davivienda en los hechos que sustentan las pretensiones de la demanda por ausencia de nexo causal. El encartado sostuvo que la demandante no puede probar un vínculo causal entre ninguna acción u omisión atribuible a él y el perjuicio sufrido. Por el contrario, el nexo causal se rompe de forma definitiva, por la culpa exclusiva de la víctima, que es la causa “determinante” y “eficiente” del daño. 5.
Prescripción de la acción de protección al consumidor financiero. Invocó el artículo 58 de la Ley 1480 de 2011, que establece un término de prescripción de un año para las demandas de protección al consumidor. Dado que los hechos y el conocimiento del fraude ocurrieron entre el 6 y Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A..
(Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. el 8 de agosto de 2018, el plazo para presentar el libelo expiró el 9 de agosto de 2019, mientras que ese escrito fue radicado el 30 de mayo de 2023, mucho después del término legal. 6. La Genérica. Cualquier otro hecho que resulte probado dentro del proceso y que conduzca a rechazar todas las pretensiones de la demanda.
También objetó el juramento estimatorio3. 4. Sentencia de primera instancia. En audiencia pública celebrada el 2 de diciembre de 20244, se negaron las pretensiones de la demanda. Para resolver la controversia, el fallador se basó en el marco normativo y jurisprudencial que rige la actividad financiera en Colombia. Recordó que, según el artículo 335 de la Constitución Política, esta actividad es de interés público, lo que impone a las entidades que la ejercen un elevado estándar de diligencia y profesionalismo, el cual se traduce en un régimen de responsabilidad particular que ha sido desarrollado de manera robusta por la jurisprudencia de la Corte Suprema de Justicia, especialmente en la SC5176 de 2020, precisando que al ser un experto en la intermediación crediticia y manejar recursos ajenos, el banco debe actuar con un grado de cuidado superior al de un comerciante común. En este contexto, el régimen de responsabilidad aplicable a las entidades financieras es de carácter objetivo, lo que implica que la entidad puede ser declarada responsable, si se demuestra que el daño es atribuible a su conducta.
No obstante, su deber de reparar no es absoluto y la entidad financiera puede exonerarse si prueba la existencia de una “causa extraña”. La decisión de negar las pretensiones de la demanda, se fundamentó en dos hechos principales que el juez consideró probados: el incumplimiento de autoprotección por parte de la Subred y la correcta actuación del 3 Archivo “023 Contestación Demanda”, cit. 4 Archivo “306 Audiencia.mp4”, ídem.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. establecimiento según sus protocolos. El primer punto crucial, consistió en que la actora no ejerció la debida guarda y custodia de sus elementos de seguridad, lo cual constituyó una “causa exclusiva del daño”.
Para llegar a esta conclusión, el funcionario tuvo en cuenta que la demandante, al negar haber autorizado las transacciones, invirtió la carga de la prueba, obligando a la encausada a demostrar que no era responsable. A su turno, esta última, aportó los acuses de recibo de los tokens, los cuales fueron debidamente suscritos por los funcionarios de la promotora, Claudia Elena Prieto y Gloria Inés Sánchez Rodríguez.
El segundo pilar de la decisión judicial, fue el análisis de la actuación del Banco Davivienda en relación con el “perfil transaccional” de la encartada. El funcionario examinó si las transacciones fraudulentas debieron haber generado una alerta que obligara al banco a bloquear el canal de operaciones, según sus deberes de diligencia y seguridad.
A partir del análisis del “log transaccional” aportado por el banco, determinó que las operaciones no fueron anómalas o extrañas. Como resultado de este análisis, se declararon probadas las excepciones de “hecho de la víctima como causa exclusiva del daño y eximente de responsabilidad” y la denominada “las operaciones desconocidas se encuentran ajustadas al perfil transaccional de Subred”.
Por lo tanto, negó las pretensiones de la demanda y condenó en costas a la demandante5. 5. El recurso de apelación. El extremo activo se mostró inconforme con la decisión, planteando el remedio vertical. Para ello, formuló sus reparos6, sustentando en oportunidad la censura7. La inconformidad se cimentó en torno a tres argumentos principales: En primer lugar, alegó una “indebida valoración probatoria”, porque el juez omitió un informe de la empresa “Todo 1”, que demuestra que el 5 Archivo “307 FalloNiegaPretensiones.pdf”, cit. 6 Ibídem. 7 Archivo “008 Sustentación.pdf” en “002CuadernoTribunal”.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. sistema del banco sí detectó alteraciones relevantes en los parámetros de seguridad previos al fraude, como un cambio en el navegador web, en el ID del dispositivo y en el lenguaje de aceptación. Sostuvo que esa alteración debió haber generado una alerta y, al no hacerlo, el banco incurrió en falta de diligencia, lo que contribuyó a la consumación del engaño. El segundo motivo de inconformidad fue la omisión del principio de “concurrencia de culpas”.
Afirmó que si se hubiera valorado la prueba del informe “Todo 1” el juez no podía haber concluido que la culpa era exclusiva de la víctima. Al detectar los cambios de seguridad, pero no actuar, la institución tuvo un grado de responsabilidad que debió haber sido considerado, para distribuir los efectos del daño de manera proporcional entre ambas partes.
Finalmente, objetó la condena en costas, argumentando que la Subred, como entidad pública que presta un servicio fundamental de salud, actuó en cumplimiento de su obligación legal de recuperar fondos públicos y no lo hizo de manera temeraria o de mala fe. 6. Pronunciamiento de la no apelante. El Banco Davivienda S.A. se opuso a los argumentos presentados en la impugnación, expuso razonamientos que abarcaron aspectos técnicos, fácticos y jurídicos, para justificar la confirmación del fallo de primera instancia8.
En lo que respecta al primer reparo, sostuvo que las inconformidades de Subred se basan en “apartes aleatorios” del informe de la empresa “Todo 1” y que, al analizarlo en su “integridad”, se llega a una conclusión diametralmente opuesta. Explicó que, si bien el reporte menciona “pequeñas variaciones” en el “user agent” y en el “accept language”, la mayoría de los elementos de seguridad y de perfil transaccional eran coincidentes y habituales.
Subrayó que el dispositivo desde el cual se 8 Archivo “009DescorreTraslado.pdf”, cit. Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. realizaron las operaciones había sido visto en el pasado y, la dirección IP, un factor crítico en la habitualidad de los movimientos, había sido utilizado por la Subred durante más de un año. Enfatizó en que la “huella del dispositivo”, la “zona horaria” y el “idioma del navegador” también coincidían con el perfil del cliente, concluyendo que, desde la perspectiva del monitoreo de riesgo del banco, las operaciones no levantaron alertas, porque se ajustaban al patrón transaccional usual de la demandante.
Aclaró que el browser o navegador y el accept language son preferencias de usuario que no tienen una obligación legal de ser monitoreadas por las entidades financieras y, que exigir su control, les impondría el deber de implementar “controles absurdos”. Respecto a la objeción sobre la condena en costas, se remitió al artículo 365 del Código General del Proceso, el cual establece de forma explícita que “se condenará en costas a la parte vencida en el proceso, o a quien se le resuelva desfavorablemente el recurso de apelación”, a partir de cuya norma se deduce que la única excepción para las entidades públicas se aplica en el contexto de las acciones populares, supuesto que no es aplicable a este caso.
Por lo tanto, dado que Subred fue vencida en primera instancia, esa sanción es una consecuencia directa de la ley, independientemente de su naturaleza como entidad pública o de la posible afectación a sus finanzas. III. CONSIDERACIONES Concurren los presupuestos procesales y no se advierte vicio que invalide la actuación, siendo del caso precisar que la competencia del ad quem está delimitada a los reproches sustentados por la parte apelante; por consiguiente, se deja al margen del escrutinio cualquier cuestión que no hubiere suscitado inconformidad, o no esté íntimamente relacionada con las eventuales modificaciones frente a lo resuelto en el fallo cuestionado, en aplicación del artículo 328 del Código General del Proceso.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. El régimen jurídico aplicable a las entidades financieras encuentra su fundamento primario en el artículo 335 de la Constitución Política, que establece de manera categórica que “las actividades financiera, bursátil, aseguradora y cualquier otra relacionada con el manejo, aprovechamiento e inversión de los recursos de captación a las que se refiere el artículo anterior son de interés público y sólo pueden ser ejercidas previa autorización del Estado, conforme a la ley, la cual regulará la forma de intervención del Gobierno en estas materias fue desarrollada y promoverá la democratización del crédito”.
Esta disposición superior extensamente por la jurisprudencia, que ha precisado el alcance y las implicaciones del carácter de interés público de la actividad financiera. En la sentencia T585/13, la Corte Constitucional estableció: “El concepto de interés público en el ejercicio de la actividad bancaria se concreta en la garantía de un trato igual en el acceso a los servicios financieros para los distintos usuarios de dicho sector económico.
El principio de la universalidad del ahorro exige que la ausencia de aceptación de clientes responda a criterios objetivos y razonables que impliquen un riesgo para la solvencia y estabilidad patrimonial de las entidades financieras. Así, la autonomía de la voluntad privada, con relación a las instituciones financieras, se encuentra restringida o limitada por: (i) la naturaleza especial de la actividad que prestan;
(ii) la circunstancia de ser el crédito y el ahorro instrumentos necesarios para garantizar los derechos de las personas; (iii) la prohibición constitucional de abusar de los derechos propios; (iv) el principio de prevalencia del interés público; (v) la vigencia del principio de solidaridad y, adicionalmente; (vi) por las exigencias éticas de la buena fe” 9.
El Alto Tribunal ha sido enfático en señalar que las entidades financieras, por la naturaleza especial de su actividad, están sujetas a deberes especiales de diligencia y cuidado. Así, en la sentencia T-676/16, precisó: “El ejercicio de la actividad bancaria y de la aseguradora, sin lugar a dudas, comporta una responsabilidad significativa de quienes la tiene a su cargo.
Esto explica por qué deben suministrar en favor del usuario información cierta, suficiente, clara y oportuna, además de estar obligados a abstenerse de engañar o inducir en error al otro contratante”10. El desarrollo jurisprudencial más reciente y relevante en materia de responsabilidad de entidades financieras se encuentra contenido en la 9 Corte Constitucional, Sentencia T-585/13, M.P. Mauricio González Cuervo. 10 Corte Constitucional, Sentencia T-676/16, M.P. Gloria Stella Ortiz Delgado.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. sentencia SC5176-2020 de la Corte Suprema de Justicia, que definió criterios fundamentales para la determinación del régimen aplicable. El órgano de cierre de la jurisdicción ordinaria puntualizó que la actividad bancaria y financiera “no puede calificarse de forma totalizadora como peligrosa”, evitando la aplicación automática de regímenes de responsabilidad objetiva11.
Además, la misma Alta Corporación estableció que: “Tampoco es apropiado sostener que siempre que se juzgue la responsabilidad de las entidades financieras debe prescindirse del juicio de reproche de su conducta, puesto que las actividades que estas desarrollan no admiten una calificación común, si existe un marco legal o jurisprudencia que permita sustraerlas por completo del régimen de responsabilidad por culpa, que constituye principio general de nuestro ordenamiento”12.
Esta precisión resulta fundamental, pues señala que aquel es de naturaleza subjetiva, aunque puede configurarse como de culpa presunta en ciertos eventos específicos, pero en ningún caso se aplica de manera indiscriminada un marco de responsabilidad objetiva. La Corte también decantó que la aplicación de la “Teoría del Riesgo” en el sector financiero, no puede llevar a conclusiones absurdas que ignoren la realidad de los hechos.
Cuando un cliente pierde la custodia de sus elementos de seguridad o permite que terceros accedan a información confidencial, no puede pretender que el banco responda por las consecuencias de su propia negligencia, especialmente, si las operaciones realizadas se ajustan a los patrones habituales de su comportamiento. Por otra parte, la Ley 1328 de 2009, estableció un sistema integral de protección al consumidor financiero que reconoce la existencia de deberes recíprocos entre las instituciones de ese sector y sus clientes.
El artículo 6 de esa normatividad, consagra las obligaciones de las entidades vigiladas, mientras que su parágrafo primero establece expresamente que “el incumplimiento de los deberes de autoprotección por parte del 11 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia SC5176-2020, 18 de diciembre de 2020. 12 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia SC5176-2020, 18 de diciembre de 2020.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. consumidor financiero no exime a la entidad vigilada del cumplimiento de sus propias obligaciones”. Esta disposición ha sido interpretada por algunos como una regla que impide invocar la culpa del cliente, como eximente de responsabilidad.
Sin embargo, una lectura sistemática de la norma, en armonía con los principios generales del derecho civil y la jurisprudencia de la Corte Suprema, permite concluir que lo que prohíbe la ley es que el simple incumplimiento de deberes de autoprotección exima automáticamente al banco, pero no impide que una conducta gravemente negligente del cliente, pueda configurar una causa extraña que rompa el nexo causal.
La diferencia es sutil pero fundamental: una cosa es que el usuario no adopte todas las medidas de autoprotección recomendadas (lo cual no exime al banco) y, otra muy distinta, es que el consumidor pierda la custodia de elementos esenciales de seguridad o permita el acceso no autorizado a sus sistemas, creando las condiciones que hacen posible el fraude.
En este último caso, su conducta trasciende el mero incumplimiento de deberes de autoprotección y se convierte en la causa determinante del daño. En el caso que concita la atención de esta instancia, la demandante sostiene que el juzgador a quo omitió valorar adecuadamente el informe técnico elaborado por la empresa “Todo 1”, el cual habría detectado alteraciones relevantes en los parámetros de seguridad previos al fraude, específicamente cambios en el navegador web, en el ID del dispositivo y en el lenguaje de aceptación. Según la apelante, estas modificaciones debieron haber generado una alerta que obligara al establecimiento a bloquear las operaciones y, al no hacerlo, la entidad financiera incurrió en negligencia que contribuyó a la consumación del engaño. Este argumento debe ser analizado desde una perspectiva técnica y jurídica.
En primer lugar, es necesario examinar la naturaleza y alcance de los cambios detectados por el informe “Todo 1”, para determinar si Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. efectivamente constituían indicadores de riesgo que exigieran una respuesta específica por parte de la institución. El análisis integral del estudio revela que, si bien se detectaron “pequeñas variaciones” en algunos parámetros, la mayoría de los elementos de seguridad y del perfil transaccional coincidían con el comportamiento habitual de la Sured13.
Específicamente, el dispositivo desde el cual se realizaron las operaciones había sido utilizado previamente por el cliente, y la dirección IP, que constituye uno de los factores más críticos en la determinación de riesgo, había sido empleada por la convocante durante más de un año de manera consistente. En ese orden, para el “usuario 1”, se detectó que “el dispositivo fue identificado como un dispositivo conocido para este usuario basado en el algoritmo que toma en cuenta a varios de los parámetros que viajan en la mensajería como meta data en el aparte <deviceRequest>.
Para el caso el dispositivo fue identificado por el IP, Lenguaje de Browser, Zona Horaria, lenguaje de sistema y algunos elementos coincidentes en la huella”14. En el mismo sentido: “Se confirma que aparte del devicetokenCookie (deviced o Cookie que cambió acuerdo al uso de un nuevo browser por el defraudador) Otros elementos de dispositivo coincidentes en la Huella del dispositivo, zona horaria, idioma del navegador, junto con la IP (que fue vista para este usuario durante más de un año) dio como resultado Baja Calificación al contributor 'was this a new device for the user' salvo otra pequeña variación en el accept lenguaje que es >es419,es;q=0.9< cuando el del usuario es >es-ES,es;q=0.9<” (Página 5, ibíd) A partir de lo anterior, se evidencian los siguientes elementos coincidentes: IP habitual (vista durante más de un año), zona horaria, idioma del navegador, lenguaje de sistema, y múltiples elementos de la huella del dispositivo. 13 Archivo “16.
Informe elaborado por TODO UNO.pdf”, ubicado en el link que se encuentra a folio 90 de la contestación de la demanda 14 Página 5, archivo: “16. Informe elaborado por TODO UNO.pdf”, ubicado en el link que se encuentra a folio 90 de la contestación de la demanda Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A..
(Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. En contraste, se evidenciaron las siguientes modificaciones mínimas: ligero cambio en el User Agent15 (versión diferente del navegador), pequeña variación en accept language (es-419,es;q=0.9 vs es- ES,es;q=0.9), y cookie ID diferente (debido al nuevo navegador). Para el Usuario 2, se detectó la siguiente evidencia: “desde el 2018-08-03 el dispositivo fue identificado como un dispositivo conocido para este usuario basado en el algoritmo que toma en cuenta a varios de los parámetros que viajan en la mensajería como meta data en el aparte <deviceRequest>.
Para el caso el dispositivo fue identificado por el IP, Lenguaje de Browser, Zona Horaria, lenguaje de sistema y algunos elementos coincidentes en la huella”. (Página 5) De igual manera: “Se confirma que aparte del devicetokenCookie (deviced o Cookie que cambió acuerdo al uso de un nuevo browser por el defraudador) Otros elementos de dispositivo coincidentes en la Huella del dispositivo, zona horaria, idioma del navegador, junto con El IP (que fue vista para este usuario durante más de un año) dio como resultado Baja Calificación al contributor 'was this a new device for the user' salvo otra pequeña variación en el accept lenguaje que es >es419,es;q=0.9< cuando el del usuario es >es-ES,es;q=0.9<” (Página 5) Ello quiere decir que, para el Usuario 2, se presentó el mismo patrón de elementos coincidentes mayoritarios: IP habitual (vista durante más de un año), zona horaria, idioma del navegador, lenguaje de sistema y múltiples elementos de la huella del dispositivo.
Asimismo, se observaron idénticas desviaciones insignificantes, como: ligero cambio en el User Agent, pequeño cambio en accept language, y cookie ID diferente. De lo anterior, el informe concluyó: “De acuerdo con lo mencionado y validado con respecto a los elementos coincidentes y los pocos no coincidentes de huella del dispositivo usado para ingresar con las credenciales de los 2 funcionarios de la empresa, y revisando el User agent, salvo las dos variaciones de navegador y accept lenguaje, se pudiera pensar que existe una relación del dispositivo Físico que utiliza el cliente con el dispositivo desde el cual fue realizado el fraude”.
(Página 6). El user agent (agente de usuario) es una cadena de texto que el navegador o aplicación envía automáticamente a cada sitio web que se visita. Sirve para identificar qué software y sistema se está usando, por ejemplo: Tipo de navegador (Chrome, Firefox, Safari…); versión del navegador; sistema operativo (Windows, macOS, Android…); arquitectura del dispositivo (32 o 64 bits). 15 Ref.
Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. Esta cita es fundamental, porque establece que, al comparar los “elementos coincidentes y los pocos no coincidentes”, se confirma que la mayoría de elementos encajan, “salvo las dos variaciones de navegador y accept lenguaje”, especificando que solo hubo dos cambios menores.
Además, confirmó que se trataba del mismo dispositivo físico del cliente: “existe una relación del dispositivo físico que utiliza el cliente”. El documento técnico también destacó: “Se pudo validar que el User agent cambia ligeramente por lo que se presume que el defraudador había usado una versión diferente del browser utilizado por el cliente” (Página 5).
Y más adelante: “se puede observar que las transacciones fueron realizadas desde la IP habitual del cliente por lo que se tuvo acceso a la red corporativa del mismo desde la cual siempre han realizado sus transacciones” (Página 6) Ello demuestra que el banco no podía detectar el fraude, porque la gran mayoría de parámetros coincidían exactamente con el comportamiento habitual de Subred, las variaciones eran mínimas y técnicamente justificables (diferente versión de navegador, ligera variación en idioma), el fraude se ejecutó desde la infraestructura del propio cliente (IP habitual, red corporativa) y, los sistemas de seguridad del banco funcionaron correctamente al dar “Baja Calificación” al indicador de dispositivo nuevo, precisamente, porque la mayoría de elementos concordaban.
Además, la evidencia del funcionamiento correcto de los sistemas antifraude: “dio como resultado Baja Calificación al contributor 'was this a new device for the user'” (Página 5) Esta cita significa que los sistemas antifraude del banco funcionaron correctamente, detectaron que no era un aparato del todo inédito, la calificación de riesgo fue “baja”, porque la mayoría de elementos coincidían y, el establecimiento financiero actuó de manera consistente con la información disponible.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. Desde el punto de vista técnico, es fundamental comprender que los sistemas de monitoreo de riesgo de las entidades bancarias, están diseñados para detectar desviaciones significativas del comportamiento habitual de los usuarios, no para generar alertas por cambios menores, en preferencias del consumidor, que pueden tener explicaciones legítimas.
El navegador web (browser) y el lenguaje de aceptación (accept language), son configuraciones que pueden variar por múltiples razones técnicas, sin que ello implique necesariamente una amenaza de seguridad. Exigir a las instituciones vigiladas que bloqueen operaciones por cambios en estos parámetros menores, equivaldría a imponer controles desproporcionados, que afectarían gravemente la funcionalidad del sistema financiero.
Los clientes podrían ver bloqueadas sus operaciones legítimas, simplemente por actualizar su navegador, cambiar la configuración de idioma de su dispositivo o, acceder desde un equipo con características técnicas ligeramente diferentes. Adicionalmente, el análisis debe considerar que los elementos más críticos del perfil de seguridad permanecieron inalterados.
Así, la “huella del dispositivo”, la “zona horaria” y otros indicadores fundamentales coincidían con el perfil habitual del titular de la cuenta. La dirección IP, que constituye uno de los factores más importantes en la evaluación del peligro, era la misma que había sido utilizada de manera consistente por la demandante. Desde la perspectiva jurídica, es importante recordar que no existe una obligación legal específica, que exija a las entidades financieras monitorear cambios en las preferencias de navegador o, en el lenguaje de aceptación. La regulación financiera establece estándares de seguridad basados en criterios técnicos, reconocidos internacionalmente y, el banco demostró haber implementado marcos de referencia como NIST Cybersecurity Framework, SOX y PCI-DSS.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. La valoración probatoria realizada por el juzgador de primera instancia fue, por tanto, acertada al considerar el informe “Todo 1” en su integralidad y, no limitarse a apartes aislados que podrían generar una impresión distorsionada de la realidad.
El análisis conjunto de todas las variables técnicas, llevó a la conclusión razonable de que las operaciones no presentaban indicadores de riesgo suficientes, para justificar su bloqueo. En lo que respecta al perfil transaccional, este ítem constituye un elemento fundamental en la evaluación de la diligencia bancaria y en la determinación de la responsabilidad por operaciones no autorizadas.
Este concepto se refiere al patrón de comportamiento financiero habitual de un cliente, que incluye variables como horarios de operación, montos típicos de transacciones, frecuencia de movimientos, tipos de operaciones realizadas y características técnicas de acceso. La Circular Externa 029 de 2014 de la Superintendencia Financiera de Colombia, define los parámetros que deben considerarse en el análisis del perfil transaccional, incluyendo la dirección IP, los días y horarios de operación y los montos de las operaciones16.
Esta regulación reconoce que los sistemas de monitoreo de riesgo deben basarse en la detección de desviaciones significativas del comportamiento habitual, no en el bloqueo indiscriminado de giros que se ajustan a los patrones conocidos del usuario. En el mismo sentido, hay que precisar que cuando un movimiento se adecua al perfil habitual del consumidor, el banco queda excusado de responsabilidad, a menos que existan circunstancias adicionales que evidencien negligencia de su parte.
En tal sentido, exigir a los establecimientos de crédito que bloqueen operaciones que parecen 16 Circular Externa 029 de 2019. PARTE I – TÍTULO II – CAPÍTULO I. 2.3.3. Requerimientos generales: 2.3.3.1. En materia de seguridad y calidad de la información: A fin de dar debida aplicación a los criterios antes indicados las entidades deben adoptar, al menos, las medidas que se relacionan a continuación: (…) 2.3.3.1.9.
Ofrecer los mecanismos necesarios para que los clientes tengan la posibilidad de personalizar las condiciones bajo las cuales realicen operaciones monetarias por los diferentes canales, siempre y cuando éstos lo permitan. En estos eventos se puede permitir que el cliente inscriba las cuentas a las cuales realizará transferencias, registre las direcciones IP fijas y el o los números de telefonía móvil desde los cuales operará. (…) 2.3.3.1.13.
Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos. Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. legítimas según todos los indicadores disponibles, sería imponer una carga desproporcionada que afectaría gravemente la funcionalidad del sistema financiero.
El análisis detallado del perfil transaccional de la Subred, demuestra que los giros fraudulentos, se ajustaron de manera precisa a sus patrones habituales de comportamiento. Esta coincidencia no fue casual, sino que resultó del hecho de que los perpetradores actuaron desde la propia infraestructura de la demandante y utilizaron información detallada sobre sus costumbres operativas.
Todos los movimientos ilícitos se realizaron en días hábiles, entre las 7:00 y las 18:37 horas, que corresponde exactamente al horario laboral normal de la demandante. Esta coincidencia temporal, demuestra que los perpetradores tenían conocimiento detallado de los itinerarios de la entidad. Respecto de los montos, el análisis de los registros históricos demuestra que la convocante realizaba habitualmente transacciones por valores superiores a las cantidades objeto del fraude.
La apelante había ejecutado operaciones legítimas por más de mil millones de pesos en fechas anteriores, lo que significa que las cifras objeto del fraude no representaban desviaciones significativas que debieran generar alertas automáticas. En relación con los tipos de actuaciones financieras, éstas consistieron en pagos a proveedores, transferencias y nómina, que constituían precisamente las transacciones más frecuentes de la impugnante.
Esta coincidencia tipológica, eliminó cualquier razón para que el sistema de monitoreo considerara los movimientos como anómalos. Finalmente, la dirección IP desde la cual se realizaron, era la misma que había sido utilizada por la promotora durante más de un año de manera consistente. Este elemento es particularmente relevante, porque constituye uno de los indicadores más importantes en el análisis de riesgo Ref.
Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. y, su coincidencia con el perfil habitual, eliminó cualquier señal de alerta que pudiera haber justificado el bloqueo. En el segundo reparo, la actora alegó que, aun aceptando que hubiera incurrido en algún grado de negligencia, el juzgador debió haber aplicado el principio de concurrencia de culpas, para distribuir proporcionalmente la responsabilidad entre las partes, en lugar de declararla exclusivamente sobre la víctima.
Este argumento revela una comprensión equivocada de los presupuestos necesarios para la aplicación del principio de concurrencia de culpas, toda vez que para que proceda la distribución proporcional de responsabilidad, es indispensable que se demuestre la existencia de conductas culposas por parte de ambos sujetos que hayan contribuido causalmente a la producción del daño. No basta con identificar actuaciones imperfectas de cada uno, sino que es necesario establecer que las conductas fueron culpables y se erigieron como causa eficiente del perjuicio.
En el caso bajo examen, el análisis probatorio demostró de manera contundente, que la única causa eficiente del daño fue la grave negligencia de la demandante en el manejo de sus elementos de seguridad y, en el control de acceso a sus sistemas informáticos. La pérdida de custodia de los tokens, admitida expresamente por la funcionaria Gloria Inés Sánchez, en la llamada telefónica del 8 de agosto de 2018, reiterada en audiencia, constituyó la condición sine qua non para la materialización del fraude.
Las fallas en la seguridad del cliente, fueron confirmadas por el señor Gabriel Antonio Cruz Marín, funcionario de la Gerencia de Seguridad del banco, quien elaboró el informe dentro de la investigación interna adelantada por Davivienda, con relación a la reclamación de la Subred y concluyó que hubo un mal manejo de los Tokens: “Indagamos también por el token que utilizaba la administradora del portal, que era la gerente de la Subred en su momento.
Fuimos a revisar dónde estaba el token y este Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. token estaba guardado en una oficina anexa a la de la señora gerente, pero también encontramos que este token donde lo guardaban no tenían ninguna, digamos ninguna llave o alguna seguridad, es decir, pues estaba ahí guardado, de pronto al acceso de cualquier persona”.
(38:25, archivo: 302 AudienciaP2.mp4) Y más adelante refirió: “Revisamos con los registros en las bases informáticas del Banco y encontramos que esos no eran los token que el Banco les había entregado para realizar las operaciones. Entonces todo parecía indicar como si les hubieran hecho el cambio del token”. (39:18, ibíd) En cuanto a las faltas de medidas de seguridad física en las locaciones del cliente, el investigador afirmó: “validamos si al ingreso del edificio donde está la parte administrativa o desde donde se utilizaban los equipos para acceder, había algún tipo control o bitácora.
Al ingreso del edificio no se encontró ningún tipo de registro de personas. No lo llevaban en ese momento. Por otro lado, también hicimos una revisión visual. Tampoco encontramos que hubiera cámaras que permitieran de pronto buscar a través de un DVD, de pronto algún registro fílmico de esos días.” (50:46, ibíd) Más aún, la investigación penal reveló que el acceso fraudulento se realizó mediante un computador portátil, escondido en el cielo raso de las instalaciones de la apelante y conectado a su red informática, demostrando que la vulneración se originó en el sistema de la demandante y no en el del banco, lo cual fue posible debido a fallas graves en el control de acceso físico y tecnológico de la entidad convocante.
En cambio, el banco demostró haber cumplido con todos sus deberes de diligencia profesional. Las operaciones se realizaron utilizando todos los elementos de autenticación requeridos (número de cliente empresarial, número de identificación, clave personal y token), se ajustaron al perfil transaccional habitual de la Subred y se ejecutaron desde la dirección IP autorizada.
El sistema de monitoreo de riesgo funcionó correctamente, al Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. no generar alertas para operaciones que, desde todos los indicadores disponibles, parecían legítimas. Contrario a lo que podría esperarse de un sistema de autenticación dual estándar, el Banco Davivienda implementó unas medidas seguridad de cuatro factores de autenticación, superando ampliamente los niveles de la industria.
Como lo declaró el representante legal de la entidad: “Los mecanismos no eran duales, sino que eran cuatro llaves de entrada. La primera llave es el número de cliente, que es un número que es entregado en el caso que nos ocupa la su red desde el momento en que pidieron el servicio de portal empresarial 1 segundo número, que es el número de identificación del administrador o del apoderado.
Un tercer que es su número de identificación, es decir, es un número de cédula, un tercer número que es un número que ha definido el administrador para ese usuario y luego viene el número aleatorio que otorga el token”. (50:26)17 Esta implementación de cuatro factores de autenticación demuestra que el banco fue más allá de los requerimientos mínimos de seguridad, estableciendo múltiples barreras de protección que habrían sido imposibles de superar, sin la participación de personas autorizadas que tuvieran acceso legítimo a toda la información. Adicionalmente, a la autenticación inicial, el banco implementó un segundo nivel de verificación específica para las transacciones, como lo explicó el representante legal: “El sistema para recibir esa orden de transferencia y ordenar el pago nuevamente solicita la clave personal y solicita la digitación de la clave aleatoria de 6 dígitos, es decir, hay un segundo control.” (25:24, 094 Audiencia.mp4) Esta doble constatación constituye una medida de seguridad adicional, que requiere no solo el acceso inicial, sino una confirmación específica para cada transacción, utilizando nuevamente el token físico que cambia cada minuto.
Los tokens implementados por el banco, constituyen una de las medidas de seguridad más robustas disponibles en el mercado financiero. Como lo 17 Archivo “094 Audiencia.mp4”, ídem. Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. enfatizó el Dr. Jiménez Gil: “Esos tokens son claves, porque son la llave básica de para que ellas pudieran realizar las transacciones a través del portal empresarial.” (17:23, 094 Audiencia.mp4) Y más específicamente: “Insisto en lo del toquen, porque si no se posee el toquen.
No hay manera de que se pueda registrar la transferencia y luego en que el portal ya realice la transferencia que se hace electrónicamente.” (25:47, 094 Audiencia.mp4) Como fue confirmado por la señora Gloria Sánchez, ex-tesorera de Subred, quien aludió al sistema de doble validación de tokens: “para poder realizar el giro efectivo, o sea, el proceso funciona con los dos tokens.
Porque es un proceso dual. Sí, no funciona con uno solo, sino los dos tienen que estar.” (1:20:50, archivo: 302 AudienciaP2.mp4) El uso de tokens físicos con códigos aleatorios que cambian cada minuto, representa una de las medidas de seguridad más avanzadas en la banca electrónica, haciendo prácticamente imposible el acceso no autorizado, sin la posesión física del dispositivo y el conocimiento de las demás credenciales.
Igualmente, se agrega que el Banco Davivienda implementó sistemas automatizados de monitoreo, que analizan continuamente los patrones transaccionales de sus clientes, para detectar actividades inusuales o sospechosas. Como lo manifestó su regente: “El Banco revisa por efectos de perfil transaccional. Revisa en primer lugar la IP. Para mirar la habitualidad, es decir, la dirección electrónica desde la cual se están haciendo las transacciones y, la otra verificación que se hace al mirar el perfil es si esos perfiles coinciden con los hábitos transaccionales que realiza usualmente la entidad”.
(26:56, 094 Audiencia.mp4) Este sistema de perfilamiento demuestra que el banco no se limitó a verificar las credenciales de acceso, sino que implementó análisis de comportamiento en tiempo real, para detectar desviaciones de los patrones normales de uso. Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A..
(Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. La seguridad del banco también incluía la verificación de las direcciones IP desde las cuales se realizaban las transacciones, estableciendo modelos de habitualidad que servían como filtro adicional de seguridad: “Se identificó que había una dirección IP pública. Esa dirección IP pública es la 186.154 234164 y esta resultaba habitual las transacciones a las que he hecho referencia que fueron objeto del fraude, fueron realizadas desde esa dirección IP, por eso el sistema del Banco las tomó como habituales.” (34:14, 094 Audiencia.mp4) Esta declaración es fundamental para el esclarecimiento de los hechos, ya que demuestra que las operaciones fraudulentas se realizaron desde la misma dirección IP que normalmente utilizaba la entidad demandante, lo que indica que el acceso se produjo desde sus instalaciones o con una conexión por ella autorizada.
La efectividad del sistema de monitoreo del banco se evidencia en el hecho de que logró detectar y rehusar, automáticamente, operaciones que no cumplían con el perfil transaccional establecido: “Se rechazaron 55 pagos por valor de 365.304.478 para un total de 1.469.354.052 pesos. Llamó la atención sobre los 55 pagos rechazados y el rechazo se produjo precisamente, porque no estaban cumpliendo los requisitos de perfil o las autorizaciones que normalmente usaba la Subred”.
(28:20, 094 Audiencia.mp4) Este dato es crucial, porque demuestra que la seguridad del banco funcionó correctamente, rechazando de manera automática las operaciones que presentaban características anómalas. El hecho de que algunas transferencias pasaran los filtros, indica que cumplían con todos los parámetros de seguridad establecidos, se realizaron utilizando credenciales legítimas y desde ubicaciones autorizadas.
Se probó, además, que el Banco Davivienda puso a disposición de sus clientes empresariales múltiples canales de notificación, para mantenerlos informados sobre los giros realizados en sus cuentas: “El Banco tiene dos modalidades de notificación, una es con mensajes SMS al Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A..
(Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. celular de El administrador o del apoderado. Y un segundo servicio es la información de correos electrónicos de El correo que tenga registrada la entidad.” (31:19, 094 Audiencia.mp4) La disponibilidad de estos sistemas de notificación, demuestra la diligencia del banco en proporcionar herramientas para que los clientes pudieran monitorear, en tiempo real, las operaciones realizadas en sus cuentas, de suerte que si estas alarmas no cumplieron su función preventiva no fue por culpa de la institución financiera, sino por la negligencia de las funcionarias encargadas de revisar los mensajes, quienes declararon en audiencia que los días en que se produjeron los fraudes estaban distraídas en asuntos personales.
Las declaraciones del representante legal de Davivienda, corroboran que la entidad vigilada, cumplió con su obligación de comunicar la situación: “Lo que tengo entendido es que por lo menos la señora Gloria Sánchez recibió los mensajes de las transacciones realizadas, pero la explicación que entiendo que ella entregó tanto a la SIJIN cuando se abrió la investigación penal, como a los funcionarios de seguridad del Banco, es que no recibió los mensajes porque se encontraba en un día que, si bien para el resto del país era laborable, para los funcionarios del distrito y tal se les había otorgado una licencia o permiso, porque ese era día cívico para la ciudad de Bogotá y entonces, la señora ese día no tenía activado su celular y por eso pues afirmó que no recibió los mensajes, o sea, pero el Banco sí los envió, el Banco entiendo que los envió SMS, sí entiendo que fueron mensajes de texto al celular.
Correo electrónico no. Tengo entendido que no tenía registrado”. (32:23, 094 Audiencia.mp4) La recepción de los mensajes de alerta, fue confirmada por la señora Gloria Sánchez, ex-tesorera de Subred, quien testificó en audiencia que recibió más de 60 SMS los días del fraude: - Preguntado: ¿El celular en el cual se remitieron los mensajes de textos era el suyo? - Contestó: Es el mío, sí señor, y no lo he cambiado, siempre he permanecido con ese número de celular. - Preguntado: ¿Eso quiere decir que usted recibió los mensajes de texto en un celular de carácter personal? ¿Es correcto? - Contestó: Sí, sí, señor. - Preguntado: Y el 6 de agosto, ¿usted tenía ese celular con usted? - Contestó: Sí, correcto.
Yo lo tenía el 6 de agosto, pero el 6 de agosto yo estaba viajando. Yo viajé el 4 de agosto para la casa de mis padres y regresé el 6 de agosto en la tarde. - Preguntado: ¿Recuerda aproximadamente cuántos mensajes de texto recibió por parte del Banco Davivienda? Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A..
(Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. - Contestó: Ya mirando el celular, el 8 de agosto fueron más de 60 mensajes, revisando el celular el 8 de agosto. - Preguntado: Sí señora Sánchez, estamos hablando que el Banco Davivienda remite más de 60 mensajes a su celular de carácter personal y no se le ocurrió en ningún momento ingresar a mirar por qué le llegan 60 mensajes cuando esto comienza a sonar y ahí entrar un mensaje, otro mensaje, otro mensaje, ¿no le causó curiosidad? - Contestó: Como le digo, yo me di cuenta hasta el 8 de agosto, estaba ubicada fuera de Bogotá, es en una vereda que comparto con mis padres, allá la señal no es muy buena y yo me desconecto totalmente.
Tenía una hija de 5 años en ese momento. Entonces yo estaba con mi mamá, que casi no la veo, y con mis hijas, sinceramente yo de esos otros días no me desconecto totalmente muy bien”. (1:18:31, archivo: 302 AudienciaP2.mp4) A la misma conclusión llegó el señor Gabriel Antonio Cruz Marín: “Otra situación que también se encontró ahí fue que el Banco en su época, tenía registrado un número telefónico que en su momento lo utilizaba la señora Tesorera y, ahí se encontró que el Banco le había hecho aproximadamente como unas 60 o 70 notificaciones, advirtiéndole los accesos al portal en los días que se hicieron las operaciones”.
(29:57 archivo: 302 AudienciaP2.mp4) Estas manifestaciones establecen claramente que el banco cumplió con su obligación de comunicarle las transacciones y, que la falta de atención a estas notificaciones por parte de los funcionarios de la Subred no puede atribuirse a una falla del sistema bancario. El portal empresarial del Banco Davivienda ofrecía múltiples herramientas de seguridad, que los clientes podían configurar, según sus necesidades específicas: “El portal tiene una cantidad de bondades.
Se pueden definir días en los cuales se pueden hacer transacciones. Se pueden definir horarios, se pueden definir límites. En cuanto a los montos que se pueden transar por día, se puede generar hacer muchísimas parametrizaciones para darle al usuario unos mayores márgenes de seguridad.” (46:29, 094 Audiencia.mp4) Esta amplia gama de opciones demuestra que el banco proporcionó mecanismos superiores a los requeridos por la normatividad, permitiendo a los clientes establecer controles adicionales, según sus necesidades operativas.
Es importante destacar que, a pesar de proporcionar estas herramientas avanzadas de seguridad, la entidad demandante optó por Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. no implementar mayores restricciones que habrían podido prevenir o limitar el alcance del fraude: “Pero al final queda en el libre albedrío, en la previsión y cuidado y las necesidades de uso que haga.
El usuario del sistema una de las cosas que nos llamó la atención es que en el caso de la Subred, realmente el administrador, que como lo he mencionado era la gerente, Claudia Elena Prieto, realmente no tenía mayores limitaciones frente al uso del portal”. (46:49, 094 Audiencia.mp4) Del mismo modo, el Banco Davivienda cumplió diligentemente con sus obligaciones de capacitación, proporcionando instrucción específica sobre el uso seguro del portal empresarial: “El reglamento de uso del portal empresarial prevé, de manera general, cómo se debe hacer la inscripción de esas cuentas y esa capacitación se le entrega tanto al administrador del portal como a los usuarios que a título de apoderados o ya como gestores vayan a realizar este este tipo de actividades”.
(39:23, 094 Audiencia.mp4) Esta formación no fue genérica, sino específicamente diseñada para los diferentes roles y responsabilidades dentro del sistema, asegurando que cada usuario comprendiera sus funciones y las medidas de seguridad aplicables. Pero el banco fue más allá de la instrucción verbal, proporcionando documentación detallada a los empleados responsables: “La información que se me entregó es que el detalle de estos manuales le fue entregado a Claudia Elena Prieto y a Gloria Inés Sánchez, quienes obraban como gerente y tesorera de la su red.” (39:50, 094 Audiencia.mp4) El suministro de manuales específicos demuestra el cumplimiento del banco con sus obligaciones de información y capacitación, asegurando que los usuarios autorizados tuvieran acceso completo a las instrucciones de seguridad y operación del sistema.
Las investigaciones posteriores al fraude, revelaron evidencia irrefutable de que el acceso no autorizado fue facilitado desde el interior de las instalaciones de la entidad demandante: “Se encontró que en la oficina contigua a la gerencia había una conexión a un cable de red. Y que este cable de red ascendía por la pared al techo o cielo raso, que es un cielo raso Ref.
Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. en Drywall. Y al hacer el seguimiento de ese cable, que es un cable de red que estaba directamente conectado a la red interna al intranet de la subred, se encontró que este cable estaba conectado a un computador.
Que estaba colocado en ese cielo raso falso de esa oficina”. (36:16, 094 Audiencia.mp4) El anterior hallazgo, deja en evidencia que el acceso fraudulento se realizó desde un dispositivo localizado dentro de las instalaciones de la Subred, conectado directamente a su red interna, lo que habría sido imposible sin la participación o negligencia grave de funcionarios internos. Las conclusiones técnicas de los expertos en seguridad informática, establecieron claramente el método utilizado para el acceso no autorizado: “Concluyen que ese computador estaba siendo manipulado remotamente, muy seguramente con un teclado que estaba conectado a ese computador y que tenía acceso directo, pues a la red y que muy seguramente cuando ingresaban los funcionarios autorizados.
Permitía que desde este computador se pudiera tener acceso a los usuarios y a las claves que se tenía”. (37:13, 094 Audiencia.mp4) La evidencia técnica, corrobora que el fraude fue posible únicamente porque se logró interceptar las credenciales de los funcionarios autorizados desde un dispositivo instalado maliciosamente en la dependencia física de la convocante.
Las investigaciones penales, confirmaron oficialmente, la participación de los empleados de la demandante: “La conclusión a la que llegan los funcionarios de SIJIN, y es lo que quedó establecido en el proceso penal, es que hubo participación de funcionarios de la subred”. (38:07, 094 Audiencia.mp4) Esta conclusión oficial de las autoridades penales es determinante para establecer que el fraude no fue resultado de fallas en los sistemas de seguridad del banco, sino de la intervención activa de quienes integran la entidad demandante.
Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. Las declaraciones del representante legal revelaron que el fraude fue cuidadosamente planificado con anticipación: “Eso llevó a que, al interior de la subred, que aparece como usuario de esa transacción, Gloria Inés Sánchez, que era la tesorera, aparece una transacción realizada desde la cuenta terminada en 7530, donde había dinero disponible, se trasladaron aproximadamente unos $800.000.000 de pesos a la cuenta terminada en 1056, ese traslado de recursos se produjo 3 o 4 días antes del fraude”.
(41:09, 094 Audiencia.mp4) El análisis de la transferencia previa evidenció su propósito específico en la preparación del engaño: “Que esa transferencia realizada de una cuenta de la Subred a otra cuenta, fue hecha con el propósito de permitir que en la cuenta 1056 para el 6 y 8 de agosto existieran los recursos disponibles que permitieran la transferencia de esos dineros”.
(41:34, 094 Audiencia.mp4) De este modo, se pudo acreditar que la estafa requirió programación previa y acceso autorizado a las cuentas de la Subred y preparar las condiciones necesarias para su ejecución, lo que confirma la participación interna en el esquema fraudulento. En síntesis, las pruebas recopiladas en la actuación demuestran que la entidad demandada no solo cumplió con los estándares mínimos de seguridad exigidos por la normatividad, sino que los superó significativamente, mediante la implementación de autenticación de cuatro factores, en lugar del estándar dual, sistemas avanzados de monitoreo y perfilamiento transaccional, múltiples canales de notificación en tiempo real, herramientas robustas de parametrización de seguridad y capacitación especializada y entrega de manuales detallados.
En suma, que actuó con la debida diligencia y sin culpa alguna en el manejo de las operaciones objeto de la presente demanda. Los elementos de conocimiento establecen claramente que el daño sufrido por la convocante no fue causado por acción u omisión del banco, sino por la participación activa de funcionarios internos de aquella, la instalación de dispositivos maliciosos en sus dependencias, la Ref.
Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. interceptación de credenciales desde su red interna y el diseño previo del fraude mediante transferencias entre sus cuentas. En consecuencia, la ausencia de una conducta culposa por parte del banco impide la aplicación del principio de concurrencia de culpas, pues no puede distribuirse proporcionalmente una responsabilidad que no existe.
El juzgador de primera instancia, en suma, llegó acertadamente a la conclusión de que se configuró una causa extraña en la modalidad de “hecho de la víctima como causa exclusiva del daño”, lo que exonera completamente a la demandada de responsabilidad. Finalmente, se duele la inconforme de la condena en costas, pues en su concepto, no se causaron, al respecto se considera pertinente señalar que ellas corresponden a todo gasto que es necesario para el desarrollo del proceso, mediante el cual se procura la defensa de los derechos, cualquiera que estos sean y cuya carga corresponde a aquel que ha sido vencido en el juicio, tal como lo prescribe el numeral 1 del artículo 365 del Código General del Proceso18, siendo entonces una sanción a que se hace merecedor quien ha resultado derrotado, por esa sola circunstancia, independientemente de si su contraparte realizó o no actuación alguna, aspecto que será relevante para su tasación. En ese orden, si las súplicas de la demandante no fueron acogidas, es evidente que fue vencida en la actuación, procediendo la aludida sanción. Por las razones expresadas, se confirmará en su integridad la decisión impugnada, condenando en costas de esta instancia a la parte recurrente, como lo ordena el ordinal tercero ejusdem.
IV. DECISIÓN En mérito de lo expuesto, la SALA CUARTA DE DECISIÓN CIVIL DEL TRIBUNAL SUPERIOR DEL DISTRITO JUDICIAL DE BOGOTÁ, 18 Artículo 365: “En los procesos y en las actuaciones posteriores a aquellos en que haya controversia la condena en costas se sujetará a las siguientes reglas: 1. Se condenará en costas a la parte vencida en el proceso, o a quien se le resuelva desfavorablemente el recurso de apelación, casación, queja, súplica, anulación o revisión que haya propuesto.
Además, en los casos especiales previstos en este Código. Además se condenará en costas a quien se le resuelva de manera desfavorable un incidente, (…)”. Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A.. (Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. administrando justicia en el nombre de la República de Colombia y por autoridad de la ley, RESUELVE Primero. CONFIRMAR la sentencia proferida el 2 de diciembre de 2024, por la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia.
Segundo. CONDENAR en costas de la segunda instancia a la parte apelante. Para efectos de su liquidación, la Magistrada Sustanciadora fija como agencias en derecho la suma equivalente a dos (2) Salarios Mínimos Mensuales Legales Vigentes. Liquídense conforme a lo previsto en el artículo 366 del C.G.P.. Tercero. Por la secretaría de la Sala devuélvase el expediente digitalizado a la autoridad de origen.
Ofíciese y déjense las constancias a que haya lugar.
NOTIFÍQUESE Y CÚMPLASE Firmado Por: Aida Victoria Lozano Rico Magistrada Sala 016 Civil Tribunal Superior De Bogotá, D.C. - Bogotá D.C., Flor Margoth Gonzalez Florez Magistrada Sala Civil Tribunal Superior De Bogotá, D.C. - Bogotá D.C., Jose Alfonso Isaza Davila Ref. Proceso verbal de SUBRED INTEGRADA DE SERVICIOS DE SALUD SUR ESE contra BANCO DAVIVIENDA S.A..
(Apelación de sentencia). Rad. 11001-3199-003-2023-02547-01. Magistrado Tribunal O Consejo Seccional Sala 018 Civil Tribunal Superior De Bogotá, D.C. - Bogotá D.C., Este documento fue generado con firma electrónica y cuenta con plena validez jurídica, conforme a lo dispuesto en la Ley 527/99 y el decreto reglamentario 2364/12 Código de verificación: 01657d877cf721b8a852f87bfe1f9dafeb60ed4cfb43b224361edc975d487957 Documento generado en 05/09/2025 12:39:02 PM Descargue el archivo y valide éste documento electrónico en la siguiente URL: https://procesojudicial.ramajudicial.gov.co/FirmaElectronica