Providencia judicial y tribunal competente

La providencia corresponde a una sentencia de segunda instancia proferida por la Sección Tercera, Subsección A, Sala de lo Contencioso Administrativo del Consejo de Estado, en Bogotá D.C., el 16 de junio de 2025. La sentencia revisa la apelación contra la decisión inicial del Tribunal Administrativo del Valle del Cauca en un proceso de acción contractual.

Antecedentes fácticos y procesales

La entidad demandante, una empresa industrial y comercial del Estado con autonomía financiera, celebró con la entidad financiera tres contratos: cuenta de ahorros, cuenta corriente y un contrato adicional para el servicio OCCIRED, que permitía la realización de operaciones bancarias electrónicas, incluyendo transferencias de fondos. En noviembre de 2007, se detectaron transacciones fraudulentas a través del sistema OCCIRED, con transferencias a cuentas externas ubicadas en varias ciudades donde la entidad estatal no mantenía relaciones comerciales. El banco informó a la entidad sobre movimientos sospechosos solo después de consumada la sustracción y procedió a bloquear las cuentas al día siguiente. El banco alegó que el fraude se debió a la instalación física de un software malicioso (keylogger) en los equipos de la entidad estatal, que habría capturado las credenciales de acceso, y que la entidad incumplió su deber de custodia de dichas credenciales. Por su parte, la entidad demandante sostuvo que el banco incumplió las obligaciones contractuales y no garantizó la seguridad adecuada del sistema transaccional ni informó sobre los riesgos inherentes.

Consideraciones de la providencia

La Sala confirmó la responsabilidad contractual del banco, basándose en un régimen de responsabilidad objetiva aplicable a establecimientos bancarios en casos de fraudes electrónicos, según jurisprudencia consolidada. Se destacó que la carga probatoria para exonerar al banco recaía en demostrar la culpa exclusiva de la entidad demandante, lo cual no ocurrió. Se valoraron diversos medios probatorios: informes de la Fiscalía General de la Nación (FGN), experticios técnicos aportados por la entidad demandante y dictámenes periciales practicados en segunda instancia por peritos de la Policía Nacional. Los informes de la FGN acreditaron la presencia de un software malicioso con capacidad para capturar credenciales en los discos duros de los equipos de la entidad estatal antes de la fecha del fraude, y que las transacciones fraudulentas no se realizaron desde la red institucional. Sin embargo, los informes no lograron establecer con certeza que el software malicioso haya capturado efectivamente las claves, ni analizaron directamente el código fuente del sistema OCCIRED. Asimismo, se concluyó que el banco no cumplió con su deber de informar y capacitar adecuadamente a la entidad sobre los riesgos y medidas de seguridad necesarias para el uso de la plataforma, incluyendo la imposición de restricciones en horarios y direcciones IP. Un factor determinante en la producción del daño fue la omisión del banco al no adoptar medidas ante las múltiples señales de alerta, tales como el alto número de intentos de acceso fallidos, transacciones fuera del horario habitual y uso de direcciones IP no autorizadas, pese a ser un profesional de la intermediación financiera con un deber especial de seguridad. Respecto a la cuantía, se confirmó la condena al banco por un monto actualizado que asciende a más de dos mil doscientos setenta y dos millones de pesos, descontando un pago parcial efectuado por una tercera persona involucrada en el fraude. Se negó el reconocimiento de intereses de mora al considerar que la obligación de pago surgió con la sentencia. Finalmente, no se impusieron costas en esta instancia por ausencia de prueba de mala fe o temeridad procesal.

Importancia jurídica de la decisión

Esta sentencia reafirma el régimen de responsabilidad objetiva aplicable a los bancos en la custodia de fondos en cuentas corrientes y de ahorro frente a fraudes electrónicos, estableciendo que la institución financiera debe soportar los riesgos inherentes a su actividad profesional. Asimismo, subraya la importancia del deber de información y capacitación hacia los clientes sobre los riesgos tecnológicos y las medidas de seguridad que deben adoptar. La decisión también destaca el papel de la valoración probatoria conjunta, considerando la naturaleza y rigor de los medios técnicos y periciales en materia informática, y la necesidad de que las entidades financieras actúen con diligencia y prontitud ante indicios de operaciones anómalas para proteger los recursos de los usuarios. En suma, esta providencia contribuye a la consolidación del marco jurídico que regula la relación contractual entre entidades financieras y sus clientes en materia de seguridad y responsabilidad ante fraudes electrónicos, con un enfoque equilibrado que protege tanto los derechos de los usuarios como las exigencias de la actividad financiera profesional.Regístrate para ver el contenido completo