TSDJ BOG SC - 11001 3199 001 2013 00613 02-(24-02-2015)-1

OFYPVZ 2013 00613 02 1

TRIBUNAL SUPERIOR DE BOGOTÁ SALA SÉPTIMA DE DECISIÓN CIVIL 11001 3199 001 2013 00613 02

Continuación audiencia pública, proceso VERBAL (acción de protección al consumidor financiero) de Grupo Aplired S.A.S contra Helm Bank S.A., art. 434 del C. de P. C. En Bogotá D. C., el día 24 de febrero de dos mil quince, a la hora señalada en auto de 11 de febrero del año en curso, el Magistrado Sustanciador OSCAR FERNANDO YAYA PEÑA , en asocio del Magistrado GAMAL MOHAMMAND OTHMAN ATSHAN RUBIANO, integrante de esta Sala de Decisión, reanuda la audiencia pública que regula el artículo 434 del C. de P.C. iniciada el pasado 11 de febrero. Se deja constancia que el Magistrado MARCO ANTONIO ÁLVAREZ GÓMEZ se encuentra en permiso, por lo que no comparece a esta audiencia, la cual se llevará a cabo en el despacho del Magistrado Sustanciador, debido a la falta de disponibilidad de salas para el día de hoy. Compareció la apoderada de la sociedad demandante MARCELA ROJAS VILLA-ROEL identificada con la cédula de ciudadanía No. 52150.521 de Bogotá y T.P. 90.303 del C. S. de la

MARCELA ROJAS VILLA-ROEL identificada con la cédula de ciudadanía No. 52150.521 de Bogotá y T.P. 90.303 del C. S. de la J., y MARIANA GUTSOL MARÍN SÁNCHEZ, identificado con C.C. 52936.497 de Bogotá y T.P. 161.536 del C. S. de la J, a quien se le reconoce personería como apoderada de la sociedad demandada, de conformidad con el poder que allegó para el efecto. A continuación se profiere el siguiente fallo:OFYPVZ 2013 00613 02 2

ANTECEDENTES

1. LA DEMANDA. En ejercicio de la acción de protección al consumidor financiero prevista en el artículo 57 de la Ley 1480 de 2011, pidió la parte actora que, por el “incumplimiento de las obligaciones contenidas en el contrato de cuenta corriente celebrado entre Helm Bank y Grupo Aplired” se declare que aquel “es civilmente responsable del fraude cometido a la cuenta corriente No. 026011866 al permitir la ejecución de 12 transacciones fraudulentas mediante las que se extrajo la suma de $390.750.000” y que, en consecuencia, “se condene a la demandada al reintegro de la suma de $352.129.860”, junto con “el interés bancario corriente calculado desde el 16 de mayo de 2013, hasta el momento en que se produzca el reintegro total de la suma hurtada fraudulentamente”.

“el interés bancario corriente calculado desde el 16 de mayo de 2013, hasta el momento en que se produzca el reintegro total de la suma hurtada fraudulentamente”. En síntesis, relató la libelista que “en el 2011 celebró, por intermedio de su representante legal Ali Villafranca Fanyten, un contrato de cuenta corriente con el Helm Bank”, por cuya virtud “se activaron dos TOKENS1 : el No. 133721639 que correspondía al señor Villafranca Fanyten y el No. 133721882 asignado a Liliana Ospina Lozano, quien es la contadora de Aplired” y que el 14 de mayo del 2013, el señor Villafranca Fanyten, tras haber recibido un correo electrónico “de absoluta similitud con correos anteriormente remitidos por el Helm Bank, en el que se le informaba que la cuenta empresarial había vencido”, ingresó al “ link indicado en dicho correo, para acceder de manera segura al portal web del banco y reactivar así la cuenta (…) y allí suministró únicamente el NIT de la empresa, su documento de identidad y la clave de acceso al portal (…) reservándose el número de TOKEN”.

1 Dispositivo electrónico que cada minuto arroja un código de seguridad aleatorio que, según se lo informó Helm Bank, “era indispensable para realizar cualquier tipo de transacción”.OFYPVZ 2013 00613 02 3 Añadió que “el 15 de mayo de 2013, entre las 10:39 a.m. y las 12:15 p.m., el señor Villafranca recibió (a la dirección de correo

transacción”.OFYPVZ 2013 00613 02 3 Añadió que “el 15 de mayo de 2013, entre las 10:39 a.m. y las 12:15 p.m., el señor Villafranca recibió (a la dirección de correo electrónica ali.co@aplired.com) un total de 9 mensajes de datos de transelect@bancodecrédito.com.co en los que se le informaba de la creación de 9 lotes para el pago de facturas (…), pero por ser día de quincena y asumiendo que la contadora podía estar realizando operaciones de pago, no se alarmó”; que “a las 13:48 del mismo 15 de mayo, Helm Bank envió 8 correos electrónicos en los que se informaba que ‘el pago las facturas ha iniciado el proceso de validación de datos y fondos. Le recordamos que esta transacción está sujeta a verificación. Para confirmar la operación realizada, verifique el resultado de la transacción diez minutos después de la realizada la última operación’”; que “el señor Villafranca se da cuenta del fraude cuando recibe un correo electrónico que dice ‘transacción negada’ y le informa el monto que, dada su cuantía, le llama poderosamente la atención (…) por lo que el 16 de mayo de 2013 se comunicó con la señora Sahira Lozano –Gerente Comercial del Helm Bank-, quien ese mismo día realizó el bloque preventivo de la cuenta” , pero que “el bloqueo fue muy tarde y no sirvió para nada, pues ya había sido hurtada la suma de $390.750.000”.

Comercial del Helm Bank-, quien ese mismo día realizó el bloque preventivo de la cuenta” , pero que “el bloqueo fue muy tarde y no sirvió para nada, pues ya había sido hurtada la suma de $390.750.000”. Acotó, finalmente, que “entre finales de mayo de 2013 y la presentación de la demanda, Helm Bank informó sobre la recuperación de la suma total de $40229.384” y que “el 27 de mayo de 2013 los funcionarios de la demandada nos informaron que el estafado había sido el señor Villafranca y no el Helm Bank, por lo que la entidad bancaria no iba a responder por el retiro fraudulento de los fondos”.

2. LA CONTESTACIÓN. Helm Bank excepcionó “culpa de la sociedad demandante" y "hecho de un tercero".OFYPVZ 2013 00613 02 4

Alegó que “la demandante no atendió los protocolos de seguridad que le brindó el banco, pues no asignó direcciones IP, tampoco otorgó un token al usuario usado para realizar las operaciones y, contra toda advertencia, utilizó un link que recibió por correo electrónico para acceder a un sitio web fraudulento que imitaba el portal del banco al cual entregó la información vital que facilitó la comisión de los hechos. Adem ás, cuando se le informó sobre las primeras transacciones efectuadas, dio por hecho que

estaban autorizadas y no se tomó el trabajo de verificarlas, lo que permitió que se consumaran y no se lograran detener, salvo unas pocas reversadas gracias a la ayuda de Bancolombia”. Agregó que “los dineros fueron hurtados por desconocidos, quienes ante el descuido de la demandante, inducida por el error de que estaba en la página oficial del Banco, aprovecharon la información suministrada para perpetrar el fraude”.

3. LA SENTENCIA RECURRIDA. El fallador de primera instancia desestimó las pretensiones. Sostuvo que “el representante legal de Aplired suministró (a un tercero) el NIT de la empresa, su documento de identidad y la clave de acceso al portal, conducta que resulta contraria no solo a lo acordado por las partes, sino también a los deberes de autoprotección del consumidor financiero, lo que incidió de manera determinante sobre la causación del daño”; que “era responsabilidad del administrador del servicio de internet -en este caso el representante legal de la demandante- (y no del banco demandado) asignar los TOKENS a los funcionarios de su entera confianza” y que “no se comparte la manifestación de que dicha circunstancia no se le inform ó al administrador, pues obra la constancia de la capacitación que aquel recibió, y además se observa que (antes de los hechos que guardan relación con este litigio) Aplired accedía (alOFYPVZ 2013 00613 02 5 portal virtual) con el usuario que no tenía token (el No.

los hechos que guardan relación con este litigio) Aplired accedía (alOFYPVZ 2013 00613 02 5 portal virtual) con el usuario que no tenía token (el No. 20630845)”. Añadió que “ninguna de las 9 operaciones efectuadas excedió el límite de $50000.000 fijado por el administrador al configurar el módulo de pagos a terceros” y que “el Banco remitió al representante legal de la demandante (a un correo al que ya se habían dirigido mensajes de datos relacionados con operaciones no reclamadas) comunicaciones informando sobre el inicio del proceso de validación de datos y fondos, por lo que en este caso resultaba indiferente si se trataba de operaciones inusuales, ya que el silencio o la conducta omisiva de la demandante validó las operaciones que se pretendieron confirmar”.

4. LA APELACIÓN. El demandante retomó sus argumentos primigenios. Enfatizó en que "la Superintendencia Financiera no analizó cual era el perfil transaccional del cliente con anterioridad al fraude, ni tuvo en cuenta lo afirmado por el representante legal de la sociedad demandante, en su interrogatorio de parte, cuando manifestó que al ingresar a la página de internet fraudulenta, únicamente dio su usuario y password, pero nunca su token"; que "la cuenta corriente de Grupo Aplired siempre estuvo vulnerable por la irresponsabilidad

página de internet fraudulenta, únicamente dio su usuario y password, pero nunca su token"; que "la cuenta corriente de Grupo Aplired siempre estuvo vulnerable por la irresponsabilidad de Helm Bank, al no advertir e informar que uno de sus usuarios podía realizar cualquier tipo de transacción sin token"; que "el juzgador de primera instancia no tuvo en cuenta lo fácil que resultaba el procedimiento de creación de lotes para pago de facturas por parte de Helm Bank"; que “no hubo una validación previa con el banco, ni una inscripción de dichas facturas, o la solicitud de la presentación de un formato para crear los lotes" y que "el banco no obró con la diligencia debida, estableciendo más límites de seguridad para que estas tres actividades tuvieran unOFYPVZ 2013 00613 02 6 control previo y una validación con su cliente, en un término razonable o prudencial".

CONSIDERACIONES

1. Verificada la ausencia de irregularidades que comprometan la validez de la actuación, anuncia la Sala que confirmará el fallo apelado, principalmente, porque la causación del resultado dañoso en que se fincó el reclamo indemnizatorio en estudio, resulta atribuible, únicamente, a la parte demandante, por haber desatendido en repetidas oportunidades, los deberes de cuidado y diligencia que le correspondían asumir como consumidor financiero.

estudio, resulta atribuible, únicamente, a la parte demandante, por haber desatendido en repetidas oportunidades, los deberes de cuidado y diligencia que le correspondían asumir como consumidor financiero.

2. Dado que la acción de protección al consumidor que aquí se incoó tiene como propósito obtener una condena de tipo patrimonial, fincada en la responsabilidad contractual que el Grupo Aplired le atribuyó a su contraparte, bien puede tenerse por cierto que el éxito de las pretensiones esgrimidas por aquel estaba condicionado a que se demostrara, con todo vigor, la concurrencia de los presupuestos que dicha responsabilidad requiere, vale decir,

(i) el incumplimiento de una obligación de naturaleza contractual; (ii) la existencia de un daño sufrido por la parte actora y (iii) una relación de causalidad entre estos dos elementos (C. S. de J. Sent. de marzo 14 de 1996).

3. Aquí, el material probatorio recaudado no demuestra el “incumplimiento contractual” que la demandante le atribuyó a su contradictor, respecto de las obligaciones de seguridad e información derivadas del negocio jurídico de cuenta corriente bancaria que ellos celebraron. De hecho, esas probanzas llevan a colegir que, en cuanto atañe a los hechos que guardan relaciónOFYPVZ 2013 00613 02 7 con este litigio, Helm Bank cumplió los reseñados deberes de conducta, con la diligencia y prontitud propias de un profesional en la actividad financiera, sin que quepa decir lo mismo de Aplired,

con este litigio, Helm Bank cumplió los reseñados deberes de conducta, con la diligencia y prontitud propias de un profesional en la actividad financiera, sin que quepa decir lo mismo de Aplired, quien terminó por desatender las advertencias, recomendaciones y distintos protocolos de seguridad y verificación establecidos por el banco para las transferencias electrónicas, lo que permitió la extracción fraudulenta de la que se queja la demandante. 3.1 Reconoció Aplired en su declaración de parte 2 , que frecuentemente Helm Bank enviaba a sus clientes correos electrónicos con recomendaciones para efectuar transacciones bancarias (presenciales o virtuales), en forma segura. Algunas de las documentales que se adosaron a la demanda, reportan que entre finales de abril y principios de mayo de 2013 (apenas unos días antes de haberse verificado la sustracción de fondos de la cuenta corriente de Aplired, lo que aconteció el 15 de mayo del mismo año), Helm Bank envió a los usuarios de sus productos financieros (incluido el aquí demandante3 ), un correo electrónico en los siguientes términos: “ siempre tenga en cuenta que el Helm no solicita la clave transaccional al iniciar la sesión de su banca online y tampoco los datos personales, financieros, actualización de datos, activación de productos, desbloqueos, ni realiza activaciones via SMS o con correos electrónicos a través de links” . También en la misma

financieros, actualización de datos, activación de productos, desbloqueos, ni realiza activaciones via SMS o con correos electrónicos a través de links” . También en la misma oportunidad el banco impartió algunas directrices con igual propósito esto, es, “cambiar periódicamente sus claves; no realice transacciones bancarias desde computadores públicos; nunca ingrese a la banca online a través de enlaces en correos electrónicos y cuando ingrese a www.grupohelm.com verifique siempre que aparezca un candado al lado de la dirección” (fl.

2 Fl. 169 (minuto 10:20:09 en adelante). 3 fl. 81OFYPVZ 2013 00613 02 8 80), recomendaciones estas que también fueron dispuestas en el portal virtual del banco (fl. 237). Sin embargo, el usuario financiero reconoció, en su demanda, que el 14 de mayo de 2013 su representante legal recibió un correo electrónico proveniente de la dirección notifico@grupohend.com, en el que se le manifestaba que “la cuenta empresarial había vencido el 13 de mayo de 2013 y que debía ingresar al link allí indicado para acceder de manera segura al portal web de Helm Bank” y que, “convencido que el correo electrónico era legítimo”, ingresó a dicho enlace con el propósito de

debía ingresar al link allí indicado para acceder de manera segura al portal web de Helm Bank” y que, “convencido que el correo electrónico era legítimo”, ingresó a dicho enlace con el propósito de “reactivar” la cuenta, y allí suministró “el NIT de la empresa, su documento de identidad y la clave de acceso al portal” (fl. 2). Fue entonces el usuario financiero, y no el banco, quien con su proceder terminó por entregar a terceros inescrupulosos la información indispensable para efectuar transacciones electrónicas a través del portal virtual del banco. Y es que el cuentahabiente desconoció no solo las repetidas y recomendaciones que le había hecho el demandado, sino también la cláusula quinta del “reglamento del servicio de internet y demás canales electrónicos de personas jurídicas” que él mismo suscribió el 4 de junio de 2012 (fl. 131, vto.), por cuya conformidad, “la totalidad de las claves que se generen para la utilización del servicio de internet son secretas, personales e intransferibles, por lo tanto el cliente, el administrador del sistema y los usuarios, se obligan a no divulgarlas, de manera que ningún tercero pueda hacer uso de las mismas y, por ende, las entidades no se responsabilizan del uso indebido de las claves por parte de personas autorizadas o no por el cliente” (fl. 130).OFYPVZ 2013 00613 02 9

responsabilizan del uso indebido de las claves por parte de personas autorizadas o no por el cliente” (fl. 130).OFYPVZ 2013 00613 02 9 Aunque lo anotado hasta aquí bastaría para confirmar la absolución que dispuso el juez a quo en favor del banco demandado por la sustracción de los fondos de la cuenta de Aplired que tuvo lugar el día siguiente a la fecha en que este último suministró a terceros su clave personal de acceso al portal virtual (pues fue, principalmente, ese proceder imprudente el que allanó el camino para que terceros sustrajeran el dinero de la demandante), no sobra poner de relieve otras contingencias que, por igual, impedían conceder las pretensiones. 3.2 Al sustentar su apelación, la actora insistió en que “el banco no obró con la diligencia debida, estableciendo más límites de seguridad para que (el proceso de “pago a terceros” por vía electrónica) tuviera un control previo y una validación con su cliente, en un término razonable o prudencial". Tal planteamiento no es de recibo para el Tribunal, por cuanto la propia usuaria financiera reconoció en su demanda que el día y hora en que se empezaron a efectuar las susodichas transferencias electrónicas (entre las 10:39 a.m. y las 12:15 p.m.),

cuanto la propia usuaria financiera reconoció en su demanda que el día y hora en que se empezaron a efectuar las susodichas transferencias electrónicas (entre las 10:39 a.m. y las 12:15 p.m.), el señor Ali Villafranca Fanyten (representante legal de la parte actora) recibió y revisó nueve mensajes de datos que le había enviado Helm Bank para informarle sobre la creación de “nueve lotes para el pago de facturas”, pero que este no le dio ninguna importancia a dichos correos electrónicos, porque ‘asumió’ que “la contadora podía estar realizando operaciones de pago”, situación que se repitió, en forma casi idéntica, frente a los otros ocho mensajes de datos que (a las 13:48) también recibió (y revisó) el señor Villafranca Fanyten de parte del Banco, en los que se le indicaba que “el pago las facturas ha iniciado el proceso de validación de datos y fondos. Le recordamos que esta transacción está sujeta a verificación. Para confirmar la operación realizada,OFYPVZ 2013 00613 02 10 verifique el resultado de la transacción diez minutos después de la realizada la última operación” (fls. 3 y 4). En ese escenario, para lo que incumbe a este litigio es irrelevante que el demandado hubiera enviado los referidos correos

realizada la última operación” (fls. 3 y 4). En ese escenario, para lo que incumbe a este litigio es irrelevante que el demandado hubiera enviado los referidos correos de alerta a una cuenta de correo electrónico distinta de la que inicialmente había suministrado Aplired, como “dirección de contacto” (tema al que insistentemente se aludió en la demanda y en el memorial de apelación). Ya se advirtió que la recurrente admitió desde el inicio de este litigio que, por conducto de su representante legal, ella recibió y revisó las antedichas comunicaciones en el momento mismo en que le fueron enviadas y también confesó que deliberadamente las ignoró sin efectuar las verificaciones correspondientes, proceder que, por supuesto, tampoco acompasa con los deberes mínimos de prudencia y diligencia que son de esperar en un comerciante como Aplired (ver fl. 29). 3.3 Tampoco le asiste razón a la censura en cuanto quiso inculpar a su contraparte por haber dejado de asignar un “token” al “usuario” que se utilizó para realizar las transacciones que aquí interesan, y por no advertir que se podrían efectuar transferencias sin el uso de ese dispositivo. En el “anexo al reglamento del servicio de internet y demás canales electrónicos”, se especificó que los referidos adminículos eran mecanismos “adicionales” y “voluntarios” de seguridad que,

En el “anexo al reglamento del servicio de internet y demás canales electrónicos”, se especificó que los referidos adminículos eran mecanismos “adicionales” y “voluntarios” de seguridad que, únicamente en caso de ser activados por solicitud del cliente, resultarían indispensables para realizar operaciones electrónicas (fl. 161), debiéndose añadir que fue, precisamente, por decisión de Aplired que sólo a dos de las tres “personas” que “manejaban la cuenta” se les asignó el susodicho Token (ver literal c fl. 14 y fl. 157).OFYPVZ 2013 00613 02 11 Por ende, si para la época de ocurrencia de los hechos irregulares que dieron origen a este litigio, era posible que uno de los “usuarios” habilitados para realizar transferencias electrónicas las acometiera sin que el sistema le solicitara el código aleatorio de seguridad suministrado por un Token, tal contingencia resulta atribuible únicamente a la víctima (quien, se insiste, tan sólo solicitó dos de esos dispositivos). Cual si fuera poco, aquí se demostró que por aquel entonces, el banco instruyó a Aplired sobre la forma de funcionamiento de los Tokens y las implicaciones de su no implementación y, además, que Helm Bank estuvo presto a suministrar la información que requiriera, en materia de seguridad informativa, la aquí accionante4 (quien ni

implicaciones de su no implementación y, además, que Helm Bank estuvo presto a suministrar la información que requiriera, en materia de seguridad informativa, la aquí accionante4 (quien ni sugirió ni probó que para esa época reclamó al banco alguna suerte de asesoría a estos respectos). 3.4 Ahora, contrario a lo que sostuvo la censura, la Sala no observa que la entidad financiera hubiera “abandonado” a Aplired en la etapa que prosiguió a la extracción de los fondos de la cuenta corriente de aquella. De hecho, la misma actora reconoció que “entre finales del mes de mayo de 2013 hasta la fecha de presentación de la demanda (22 de octubre de 2013), el Helm Bank a través del señor Omar Bergaño gerente de la sucursal de la Universidad Javeriana informó en 4 oportunidades y de manera telefónica la recuperación total de $40229.384, la que se vio reflejada en los reintegros que aparecen en los extractos bancarios de los meses de mayo, junio, julio y agosto de 2013” (fl. 6).

RECAPITULACIÓN: Vistas en su conjunto, las probanzas que obran en la foliatura muestran que Helm Bank atendió en forma oportuna y diligente los deberes que le asistían como

4 Ver folios 80 y 161OFYPVZ 2013 00613 02 12 profesional de la actividad bancaria: alertó a la usuaria financiera

forma oportuna y diligente los deberes que le asistían como

4 Ver folios 80 y 161OFYPVZ 2013 00613 02 12 profesional de la actividad bancaria: alertó a la usuaria financiera sobre la proliferación de esa estirpe de actividades defraudatorias en los portales virtuales; le suministró mecanismos eficaces de prevención; la instruyó sobre el uso de los dispositivos de seguridad “Tokens” que, a la postre, no fueron utilizados debidamente por la parte actora; notificó oportunamente al administrador de la cuenta corriente bancaria sobre la creación de los lotes de pago y, después, sobre la verificación de las operaciones financieras y, además, acometió las gestiones que tuvo a su alcance para recuperar parte del dinero que le fue sustraído a Aplired (lo que permitió la devolución de más de 40 millones de pesos). La Sala refrendará, entonces, el fallo apelado, por cuanto había lugar a acoger la excepción de “culpa de la sociedad demandante”. DECISIÓN En mérito de lo expuesto, el Tribunal Superior de Bogotá, Sala de Decisión Civil, administrando justicia en nombre de la República y por autoridad de la Ley, CONFIRMA la sentencia que el 23 de julio de 2014 dictó la Delegatura para Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia,

República y por autoridad de la Ley, CONFIRMA la sentencia que el 23 de julio de 2014 dictó la Delegatura para Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia, en el proceso verbal promovido por Grupo Aplired S.A.S contra Helm Bank. Costas de segunda instancia, a cargo de la parte vencida. Liquídense por la secretaría de este Tribunal, incluyendo, como agencias en derecho, la suma de $2000.000, según lo estima el Magistrado Sustanciador. Cumplido, devuélvase el expediente al juzgado de origen. Las partes quedan notificadas en estrados. No siendo otro el objeto de esta audiencia, se da por terminada la misma. La presente acta se firma como aparece, una vez leída yOFYPVZ 2013 00613 02 13 aprobada por quienes en ella intervinieron. De ella expídanse copias con destino y a cargo de los interesados, si estos lo consideran pertinente. Los Magistrados,

OSCAR FERNANDO YAYA PEÑA

GAMAL MOHAMMAND OTHMAN ATSHAN RUBIANO

MARCO ANTONIO ÁLVAREZ GÓMEZ

(en permiso) La apoderada judicial de la demandante, MARCELA ROJAS VILLA-ROEL La apoderada judicial de la sociedad demandada,

MARIANA GUTSOL MARÍN SÁNCHEZ