El vacío legal que explotan los bancos cuando le niegan su dinero — y lo que usted puede hacer
Dos clientes de Bancolombia publicaron en redes sociales cartas idénticas en estructura: diagnósticos técnicos distintos, misma conclusión, cero evidencia. La Superfinanciera confirmó a MuchoHacker.lol que eso es legalmente posible. Sin embargo, acá un camino para refutarlo.
El 23 de enero de 2026, Juan Pablo Socarrás Yani publicó en X una carta de Bancolombia que acumuló más de 583.000 visualizaciones en pocas horas. El banco le comunicaba que su caso era “desfavorable” y que no era posible devolverle su dinero. La causa del fraude, según la entidad: un malware instalado en su equipo.
Ese mismo día, otro usuario identificado como @IdeaWilcho publicó una carta diferente. Mismo formato, mismo cierre, misma frase sobre la responsabilidad del titular. Esta vez el diagnóstico era distinto: ingeniería social. Los delincuentes lo habrían engañado mediante llamadas, mensajes de texto o sitios web falsos.
Dos casos. Dos causas técnicas distintas. Una sola respuesta.
La plantilla que el banco no explica
Las dos cartas comparten una estructura que vale la pena examinar con cuidado.
Primero, el banco anuncia un diagnóstico técnico preciso — malware en un caso, ingeniería social en el otro — sin presentar ninguna evidencia de cómo llegó a esa conclusión. No hay fecha ni hora del acceso fraudulento. No hay referencia al dispositivo involucrado. No hay dirección IP desde donde se ejecutó la transacción cuestionada.
Segundo, ese diagnóstico se convierte en el fundamento para trasladar toda la responsabilidad al usuario. “Como titular, eres quien tiene la responsabilidad sobre el uso y manejo de tus datos”, dice la carta. Tercero, el banco cierra con consejos de seguridad, como si la víctima fuera el problema por resolver.
Varios usuarios que respondieron a ambos trinos señalaron haber recibido comunicaciones con el mismo lenguaje. “Siempre mandan el mismo correo, de corte y pegue cambiando el nombre de la víctima”, escribió una usuaria identificada como @LaAgutiPaca.
Lo que confirmó la Superfinanciera
El pasado 6 de febrero, MuchoHacker.lol radicó un derecho de petición ante la Superintendencia Financiera de Colombia para preguntar directamente si los bancos están obligados a entregar información técnica cuando niegan una reclamación por fraude digital.
La respuesta, firmada por la Delegatura para el Consumidor Financiero fechada el 20 de marzo de 2026, confirma dos cosas que parecen contradictorias pero coexisten en la normativa vigente.
Por un lado, la SFC indicó que las entidades financieras deberían realizar investigaciones técnicas serias y fundamentar sus conclusiones en información verificable. Las respuestas genéricas, sin explicación de fondo, no serían admisibles según los principios de la Ley 1328 de 2009 y la Circular Básica Jurídica (C.E. 006 de 2025)
Por otro lado, los bancos pueden negarse a entregar esa evidencia técnica al consumidor cuando su “entrega puede estar limitada por razones asociadas a la seguridad de los sistemas informáticos de la entidad, la reserva bancaria, la protección de datos de terceros, el riesgo de exponer información que pueda comproemter los mecanismos de prevención del fraude de la entidad, entre otros”.
En términos concretos: el banco puede concluir que hubo malware o ingeniería social, conservar los registros técnicos que respaldan esa conclusión, y negarse a mostrárselos al afectado. Todo eso es legalmente posible bajo la normativa colombiana vigente.
Ante las evidentes interpretaciones que puede tener la Ley, que en algunos casos puede ser contradictoria la Superfinanciera también concluye:
“Es claro que la entidad no puede limitarse a dar respuestas genéricas o sin explicación, ni ampararse en la reserva de la información para omitir una respuesta clara y de fondo sobre su situación particular”. Superfinanciera.
El dato clave: La IP que hizo la transacción
Cada vez que usted se conecta a internet — desde su casa, su celular o su oficina — su dispositivo recibe una dirección IP. Es un número único que identifica desde dónde se hizo esa conexión. Cuando usted entra a su aplicación bancaria, el banco registra esa dirección automáticamente.
Usted puede consultar su propia IP en cualquier momento escribiendo ‘cuál es mi IP’ en Google. El número que aparece es el que su banco habría registrado si usted hubiera hecho esa transacción desde ese lugar, en ese momento.
Cuando usted reporta una transacción que no realizó, la dirección IP desde donde se ejecutó esa operación es la evidencia más directa para determinar quién estuvo detrás.
Si esa IP corresponde a un lugar o dispositivo que usted nunca ha usado para acceder a su banco, hay una base concreta para demostrar que otra persona operó su cuenta. Usted no estaría en ninguna parte de esa transacción.
Hay excepciones. En algunos casos, los atacantes logran instalar programas maliciosos en el computador de la víctima y operan desde ahí, usando la misma conexión del afectado. En esos escenarios, la IP sí coincidiría con la del cliente. Sin embargo, según los casos que han llegado a MuchoHacker.lol, esos ataques son poco frecuentes. La mayoría de los fraudes reportados apuntan a fallas en los sistemas de seguridad — tanto del banco como del cliente — que permitieron el acceso desde una ubicación completamente ajena al titular. Incluso hemos tenido denuncias donde no tenemos explicación técnica de cómo se hizo el fraude. Simplemente la plata desapareció un día y nadie sabe qué pasó.
Todas las entidades financieras tienen el dato de la IP. La Circular Básica Jurídica las obliga a conservar los registros de cada operación — incluyendo la dirección IP de origen — por al menos dos años.
Lo que la normativa no establece con claridad es si esa IP, que corresponde a una transacción del propio titular, es un dato personal al que el afectado puede acceder invocando la Ley 1581 de 2012. Ese vacío es el que permite que la asimetría se mantenga: el banco tiene la prueba, el cliente no puede exigirla formalmente, y la decisión queda blindada frente a cualquier cuestionamiento.
MuchoHacker.lol radicará próximamente una consulta ante la Superintendencia de Industria y Comercio (SIC), autoridad colombiana de protección de datos, para obtener una respuesta y saber con certeza sí desde la Ley de protección de datos la IP es un dato personal y por consiguiente se tiene derecho a saberlo a pesar de las limitaciones y trabas que pueda argumentar un banco.
Proponemos este camino para recuperar su dinero
Si usted recibió una carta similar, la normativa vigente y la jurisprudencia colombiana le ofrecen varias rutas. Ninguna es rápida. Todas requieren documentación. Pero son reales. Es muy importante tener en cuenta que en MuchoHacker.lol no somos abogados, somos periodistas haciendo un trabajo de interés público basado en evidencias. Nuestra experiencia sumado a nuestro trabajo de reportería nos lleva a concluir que este es un camino que pueden seguir las miles de personas en Colombia afectadas por fraudes digitales. No es la verdad absoluta y diferentes personas pueden opinar diferente. No obstante, acá dejamos una ruta:
Paso 1: Exija el soporte técnico por escrito
Antes de escalar a cualquier instancia, radique un derecho de petición directamente ante el banco. Solicite de forma explícita el informe técnico completo de la investigación interna, incluyendo la dirección IP desde donde se realizó la transacción disputada, el identificador del dispositivo desde el que se ejecutó la operación, los registros de acceso al canal digital (fecha, hora, canal utilizado) y el vector de ataque identificado, (malware, ingeniería social, etc)
El banco tiene 15 días hábiles para responder un derecho de petición. Si su diagnóstico fue “malware”, pero no puede indicar qué tipo, en qué dispositivo ni cómo lo detectaron sin acceder a su equipo, esa respuesta vacía es en sí misma es un argumento a su favor.
Fundamento normativo: artículo 23 de la Constitución Política, Ley 1755 de 2015 (derecho de petición), y el deber de investigación técnica verificable establecido en la Circular Básica Jurídica C.E. 006 de 2025.
Paso 2: Solicite sus datos personales bajo Ley 1581
Simultáneamente, radique una solicitud de acceso a datos personales invocando la Ley 1581 de 2012 y el Decreto 1377 de 2013. Pida específicamente todos los registros asociados a su cuenta que correspondan a la fecha y hora de la transacción disputada, incluyendo dirección IP, dispositivo, canal y geolocalización si existe.
El banco tiene 10 días hábiles para responder. Si niega la entrega, debe justificar por qué esa información específica no puede ser entregada al propio titular. Esa negativa documentada es evidencia útil para los pasos siguientes.
** NO conocemos el primer caso en Colombia donde una persona solicte estos datos amparado en la Ley de Protección de datos. Este pasó surge luego de la respuesta que nos entregó la Superfinanciera.
Paso 3: Acuda al Defensor del Consumidor Financiero
Si la respuesta del banco no es satisfactoria, presente su caso ante el Defensor del Consumidor Financiero de la entidad. Este funcionario es independiente del banco y puede solicitar directamente los soportes técnicos de la investigación interna.
Para este paso lleve: la carta original de respuesta del banco, el derecho de petición radicado y la respuesta recibida, la solicitud bajo Ley 1581 y su respuesta, y cualquier evidencia propia que pueda aportar (extractos, capturas, historial de ubicación del dispositivo).
Paso 4: Radique queja formal ante la Superfinanciera
La SFC confirmó a MuchoHacker.lol que puede requerir a las entidades financieras para que aporten la evidencia técnica que respalda sus conclusiones y verificar si la respuesta dada al consumidor se basó en información real y comprobable.
Una queja formal ante la SFC activa ese mecanismo de supervisión. No garantiza la devolución del dinero, pero obliga al banco a justificar su decisión ante el regulador. Puede radicarse en www.superfinanciera.gov.co o mediante la línea de atención al ciudadano.
Paso 5: La vía judicial y la sentencia SC5176-2020
Si las instancias anteriores no resultan, existe una ruta judicial respaldada por jurisprudencia de la Corte Suprema de Justicia.
La sentencia SC5176-2020 establece que las entidades financieras son responsables de garantizar la seguridad de las operaciones realizadas a través de sus canales electrónicos. Según esta interpretación, si el fraude ocurrió a través de los sistemas del banco — y no por una acción directa y demostrable del cliente — la responsabilidad recae sobre la entidad.
La carga de la prueba es clave: si el banco afirma que el fraude fue posible porque el cliente tenía malware o fue víctima de ingeniería social, le corresponde al banco demostrarlo técnicamente. Una conclusión sin evidencia verificable no cumple ese estándar.
Según las diferentes interetaciones de las diferentes normas que regulan esta actividad, palabras más, palabras menos, si no existe una acción directa y demostrable del cliente que haya facilitado el delito, el banco debe responder por la pérdida de cualquier transacción electrónica fraudulenta, ya que el usuario no tiene el deber de soportar los riesgos técnicos de la plataforma que el banco le ofrece
La jurisprudencia colombiana ya ha reconocido el peso de este argumento. En la sentencia SC18614-2016, la Corte Suprema de Justicia — con ponencia del magistrado Ariel Salazar Ramírez — falló a favor de una empresa cuya cuenta bancaria fue vaciada mediante transferencias fraudulentas.
Uno de los argumentos centrales fue precisamente la dirección IP: las transacciones no se originaron desde las conexiones habituales del cliente, y el banco no detectó ni alertó sobre esa anomalía.
La Corte determinó que el banco estaba llamado a responder porque el fraude utilizó su propio portal de internet, cuya seguridad es responsabilidad de la entidad. También señaló que la entidad nunca implementó medidas básicas como restringir operaciones a direcciones IP conocidas o activar mecanismos para detectar transacciones inusuales.
Ese precedente es relevante para cualquier afectado que pueda demostrar que la transacción que no reconoce se originó desde una IP que no es la suya. No garantiza el resultado, pero establece que la IP es un argumento jurídicamente válido ante un juez colombiano.
Para esta vía se recomienda consultar con un abogado especializado en derecho del consumidor financiero. Algunas litigantes han logrado la devolución del dinero por esta ruta, según testimonios publicados en respuesta al caso viral de Socarrás.
Lo que falta por resolver
La Superfinanciera reconoció en su respuesta a MuchoHacker.lol que no existe “un listado taxativo” de la información mínima que un banco debe entregar cuando niega una reclamación. Eso significa que el estándar queda en manos de cada entidad.
Mientras ese vacío no se cierre con regulación específica, miles de colombianos continuarán recibiendo cartas genéricas con diagnósticos técnicos no verificables — y sin una ruta clara para contradecirlos.
La consulta pendiente ante la SIC sobre la IP como dato personal bajo Ley 1581 podría ser el primer paso para cerrar esa brecha. MuchoHacker.lol publicará la respuesta cuando esté disponible.
MuchoHacker.lol NO contactó a Bancolombia para solicitar su posición frente a este reportaje porque nunca responde nuestras peticiones periodísticas concretas. Si la entidad quiere hacer claridad sobre el tema puede enviarnos un correo o publicar su posición en los comentarios.
Precisión técnica:
Una aclaración importante: en Colombia, la mayoría de conexiones domésticas no tienen una dirección IP fija. Eso significa que la IP desde la que usted se conecta hoy puede ser diferente a la de la semana pasada. El banco no podría comparar su IP habitual con la de la transacción fraudulenta como si fueran números fijos e inmutables.
Sin embargo, eso no elimina el argumento — lo complejiza. Lo que sí permanece constante es el rango de IPs asignado por su operador de telefonía o internet a su línea. Un banco con registros históricos de sus conexiones podría identificar si la transacción se originó desde un proveedor o una región completamente distinta a la suya.
Hay otro elemento: la IP de una conexión doméstica en un momento específico es información que queda registrada en los sistemas del operador de telecomunicaciones — Claro, Movistar, ETB, Tigo, entre otros. Esa información podría considerarse un dato personal bajo la Ley 1581 de 2012, lo que significa que acceder a ella sin autorización del titular o sin orden judicial podría tener implicaciones legales.
Esto abre una pregunta adicional que MuchoHacker.lol también incluirá en la consulta a la SIC.
