Estafa electrónica: ¿su banco debe responder?

Un domingo en la noche salieron cinco transferencias de la cuenta de una clienta, desde un celular que ella nunca había usado. Al reclamar, le respondieron que los sistemas no fueron vulnerados y que se usaron su usuario y su clave. Durante años, esa respuesta bastó. Desde el 22 de abril de 2026, cuando se publicó la Ley 10889, por sí sola ya no basta.

¿Qué significa que la entidad responde sin culpa?

La Ley 10889 reformó el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor (Ley 7472). Ahora las entidades financieras supervisadas, públicas o privadas, responden por los daños y perjuicios que cause la sustracción de dinero de las cuentas o la custodia inadecuada de los fondos, cuando la comete un tercero que el titular no autorizó, sin importar el mecanismo utilizado (artículo 1 de la Ley 10889).

Esto se conoce como responsabilidad objetiva: usted no tiene que demostrar que su banco cometió un error. La entidad responde porque presta un servicio riesgoso y se beneficia de él. Da igual si el estafador usó una página falsa, una llamada o el duplicado de su chip.

La regla alcanza a bancos públicos y privados, financieras no bancarias, mutuales y cooperativas de ahorro y crédito, entre otras entidades supervisadas (artículo 2 de la Ley 10889 y artículo 117 de la Ley 7558). La Ley 7472 es de orden público: ninguna cláusula del contrato puede quitarle esta protección (artículo 72).

¿Cuándo puede liberarse la entidad?

El artículo 35 la libera si demuestra una causa de exoneración prevista en la ley. No le sirve alegar que el culpable fue el estafador: ese es justamente el caso que la ley cubre.

Su reclamo solo puede rechazarse con pruebas propias y específicas del caso que demuestren alguna de estas situaciones (artículo 3, inciso b):

Autofraude: el cliente actuó a propósito para engañar a la entidad y obtener un beneficio.
Dolo: una conducta deliberada para cometer un acto ilícito, sabiendo que lo es.
Transferencia entre cuentas del mismo titular.

Y antes de analizar lo que hizo el cliente, la entidad debe demostrar que sus sistemas no fueron vulnerados y que cumple los controles de la Superintendencia General de Entidades Financieras (Sugef), como pedir confirmación antes de ejecutar una transacción atípica (artículo 3, inciso a). El reglamento de la Sugef sobre estafas informáticas (Acuerdo SUGEF 5-26, vigente desde el 19 de setiembre de 2026) desarrolla esos controles (artículo 12) y exige probar que se cumplieron para poder rechazar (artículo 9).

El descuido sin intención, como darle un código a quien llamó haciéndose pasar por el banco, no aparece entre las causas de rechazo ante la entidad. En un juicio es distinto: si la víctima colaboró con el fraude por imprudencia o impericia, la entidad podría quedar liberada. Le corresponde al juez valorarlo caso por caso.

¿Quién tiene que probar qué?

La Ley 10889 agregó al artículo 298 de la Ley General de la Administración Pública y al artículo 41.1 del Código Procesal Civil una regla: en los fraudes electrónicos, ante la administración y ante los tribunales, la carga de la prueba se invierte a favor de la persona consumidora (artículos 6 y 7).

En la práctica, la entidad guarda los registros de cada ingreso (dispositivo, red, claves, alertas) y le toca presentarlos. Usted aporta lo que tiene: los movimientos que no reconoce y la denuncia.

¿Cómo se resolvía antes?

El artículo 35 original ya se aplicaba a los bancos, con resultados que dependían de la prueba. En la sentencia 090-2012, el Tribunal Contencioso Administrativo, Sección Cuarta, condenó a un banco a devolver ¢3.700.000 a un cliente que digitó todos los números de su tarjeta de claves en una página que parecía la del banco. Los sistemas no fueron vulnerados, pero las transferencias no eran habituales, algunas venían del extranjero y el banco, que sabía de un virus en circulación, no avisó a sus clientes.

En cambio, en la resolución 08357-2025 ese tribunal le dio la razón a un banco del Estado: el representante de una asociación entregó su token y sus contraseñas en una llamada falsa, y en una tarde de sábado salieron veintitrés transferencias. Para el tribunal, los controles del banco funcionaron y el daño le era ajeno.

Si el banco debía detectar movimientos tan inusuales es algo que hoy tiene reglas expresas. Esas sentencias explican el origen del criterio, no cómo se aplicará la ley nueva.

Recomendaciones prácticas

No dé por cerrado el caso si solo le dicen que los sistemas no fueron vulnerados: ese es apenas el primer paso de la investigación.
Cuente los hechos tal como ocurrieron, aunque lo hayan engañado para dar un código. Ser engañado no es dolo; fingir una estafa sí es delito (artículo 9 de la Ley 10889).
Exija que un rechazo venga con su prueba técnica (artículo 3) y guarde sus propias pruebas.
Actúe rápido. Los primeros pasos están en nuestro artículo sobre qué hacer en las primeras horas.

¿Necesita ayuda?

Cada caso depende de cómo ocurrió la sustracción y de la prueba disponible. En Murillo y Guzmán podemos revisar el suyo y acompañarle en el reclamo o en un juicio. Agende una consulta.

Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto. Si desea analizar su situación, agende una consulta.