Ley aprobada por el Congreso que da 20 días para activar la nueva ruta contra la suplantación

Recibir una llamada para cobrar un crédito que nunca se solicitó, descubrir una línea de telefonía abierta por un desconocido o encontrar una compra financiada a nombre propio son situaciones que pueden afectar el bolsillo y el historial crediticio de cualquier ciudadano.

La Ley Estatutaria 2573 de 2026, promulgada el 19 de mayo, creó una nueva ruta para atender estos casos y elevó las responsabilidades de bancos, operadores de telecomunicaciones, entidades crediticias y comercios que ofrecen financiación. La norma busca que las víctimas puedan detener los cobros mientras se investiga la posible suplantación y que las empresas respondan por la forma en que verificaron la identidad del solicitante.

El cambio central es que ya no basta con afirmar que una persona aceptó un crédito, activó un servicio o realizó una compra. Las entidades deberán demostrar qué controles aplicaron antes de aprobar la operación.

“Las empresas deben validar la identidad antes de autorizar cualquier producto o crédito y conservar las pruebas de ese proceso. Si no pueden demostrar que la persona realizó la solicitud, pueden perder el derecho a cobrar y tendrán que asumir la pérdida”, explica Santiago Montoya, CEO de AUCO y experto en validación de identidad y firma electrónica.

Cinco claves para frenar el cobro de un producto o servicio que no solicitó

1. Avise inmediatamente a la entidad y solicite la suspensión del cobro. Si aparece una obligación que no reconoce, comuníquese con el banco, operador de telefonía o comercio, informe que puede tratarse de un caso de falsedad personal y pida que se detengan los cobros, intereses y gastos de cobranza mientras se revisa la situación.

La recomendación es no pagar la obligación “mientras se aclara”, pues el desembolso podría interpretarse como una aceptación de la operación, aunque la persona no la haya realizado.

2. Deje constancia de todas las actuaciones. El reclamo no debe limitarse a una llamada telefónica. Solicite un número de radicado, registre la fecha de la comunicación y pida copia de los documentos, contratos y soportes utilizados para aprobar el producto.

También es conveniente guardar correos electrónicos, mensajes, extractos, capturas de pantalla y cualquier respuesta enviada por la empresa. Esta trazabilidad será fundamental si la entidad no resuelve el caso o si la víctima debe acudir posteriormente a una autoridad administrativa o judicial.

3. Presente la denuncia dentro del plazo establecido. La persona afectada deberá denunciar el posible caso de falsedad personal ante la Fiscalía General de la Nación o la Policía dentro de los 20 días hábiles siguientes a la suspensión del cobro.

El plazo es determinante. Si la denuncia no se presenta oportunamente, la entidad podría reanudar el cobro e incluir los intereses causados, salvo que durante la revisión haya encontrado pruebas o indicios suficientes de que la operación fue fraudulenta.

Por eso, además de presentar la denuncia, el ciudadano debe conservar el número de noticia criminal o la constancia expedida por la autoridad y entregarla a la entidad que suspendió el cobro.

4. Solicite la marcación como “Víctima de Falsedad Personal”. Esta alerta no tiene el mismo efecto que un reporte negativo tradicional en una central de riesgo. Mientras el reporte por mora parte de la existencia de una obligación adquirida y no pagada, la marcación advierte que puede existir una operación fraudulenta realizada mediante suplantación.

Su finalidad es evitar que el ciudadano sea castigado en su puntaje crediticio mientras las entidades y las autoridades determinan qué ocurrió y quién realizó realmente la solicitud.

5. Exija que la empresa demuestre cómo verificó su identidad. Con la aplicación de la carga dinámica de la prueba, la entidad que aprobó el producto está en una mejor posición para demostrar cuáles controles utilizó durante la vinculación del cliente.

Las empresas deberán conservar un expediente que permita reconstruir la operación. Allí pueden incluirse el cotejo del documento, las validaciones biométricas, la prueba de vida, la fecha y hora de la solicitud, la dirección IP, el dispositivo utilizado, la geolocalización, el consentimiento, la firma electrónica y los diferentes pasos del proceso digital.

MinTIC y el Comando Conjunto Cibernético, a través de ColCERT, han advertido sobre la evolución de las amenazas digitales y la utilización de herramientas de inteligencia artificial para crear engaños cada vez más convincentes. De acuerdo con sus reportes, el fraude representó el 79,83 por ciento de los incidentes registrados durante los dos últimos años, principalmente por modalidades como el phishing y el uso no autorizado de cuentas de correo electrónico.

Los registros también muestran que julio, agosto y septiembre han concentrado históricamente una elevada cantidad de reportes, una señal para que ciudadanos y empresas refuercen sus controles durante el segundo semestre.

“La validación de identidad no puede reducirse a pedir una fotografía de la cédula. Se debe comprobar que el documento sea auténtico, que la imagen haya sido capturada en tiempo real, que los datos coincidan y que la persona que realiza el trámite esté presente. Esto permite detectar fotocopias, documentos manipulados o imágenes creadas mediante inteligencia artificial”, señala Montoya.

La implementación de la ley también impone tareas a las empresas. Antes de noviembre deberán revisar sus procesos de vinculación de clientes, reforzar los mecanismos biométricos y las pruebas de vida, capacitar a sus equipos de servicio al cliente y áreas jurídicas, y documentar cada aprobación de crédito, servicio o producto financiado.

Para los ciudadanos, las medidas preventivas siguen siendo esenciales: no enviar fotografías de la cédula, selfies, contraseñas o códigos de seguridad por WhatsApp; evitar enlaces recibidos desde números desconocidos; confirmar siempre los canales oficiales; consultar periódicamente el historial crediticio y conservar los comprobantes de cada trámite.

Con la nueva ruta, la responsabilidad ya no recae exclusivamente sobre la persona suplantada. Quien venda, financie o active un servicio deberá acreditar que verificó correctamente la identidad del solicitante, responder oportunamente ante los reclamos y corregir los efectos económicos y crediticios cuando no pueda demostrar que la operación fue legítima.