Fraude mediante tarjetas de crédito o débito en Colombia: delitos, penas y defensa

Un cambiazo de tarjeta en un cajero automático. Una clonación de banda magnética que se usa en compras ficticias en establecimientos de comercio. Una serie de transferencias hechas desde la cuenta de una empresa por alguien que suplantó al usuario ante el sistema de autenticación del banco. Son escenarios distintos, pero todos caben en el mismo bloque normativo: el Título VII BIS del Código Penal, incorporado por la Ley 1273 de 2009.

En este artículo, Estudio Penal Abogados explica qué delito se comete en un fraude con tarjeta de crédito o débito, cuáles son los elementos exactos del hurto por medios informáticos (artículo 269I) y de la transferencia no consentida de activos (artículo 269J), cuál es la pena real de cada uno, cómo ha resuelto estos casos la Sala de Casación Penal, qué puede hacer usted, sea como víctima o como investigado, y qué protecciones creó la Ley 2573 de 2026 para quien queda con deudas y reportes negativos por una suplantación de identidad.

¿Qué delito se comete en un fraude con tarjeta de crédito o débito?

Cuando el dinero sale de una cuenta mediante transferencias, retiros o compras no autorizadas, el delito que la Fiscalía suele imputar es el hurto por medios informáticos y semejantes, previsto en el artículo 269I del Código Penal. No es una figura autónoma: es una modalidad calificada del hurto de toda la vida.

Texto vigente del artículo 269I del Código Penal

Artículo 269I. Hurto por medios informáticos y semejantes. El que, superando medidas de seguridad informáticas, realice la conducta señalada en el artículo 239 manipulando un sistema informático, una red de sistema electrónico, telemático u otro medio semejante, o suplantando a un usuario ante los sistemas de autenticación y de autorización establecidos, incurrirá en las penas señaladas en el artículo 240 de este Código.

Ley 599 de 2000, art. 269I, adicionado por el art. 1.º de la Ley 1273 de 2009. Texto vigente.

Léalo despacio, porque cada palabra decide la tipicidad. El tipo penal exige tres cosas al mismo tiempo: superar medidas de seguridad informáticas, ejecutar el apoderamiento del artículo 239 —el hurto— y hacerlo por uno de dos caminos alternativos: manipulando un sistema informático o una red electrónica, telemática o semejante, o suplantando a un usuario ante los sistemas de autenticación y autorización establecidos.

Esa segunda modalidad, la suplantación ante los sistemas de autenticación, es precisamente la que se presenta en la mayoría de los fraudes con tarjeta: quien tiene el plástico clonado y la clave se presenta ante el cajero o ante la plataforma como si fuera el titular.

Los ingredientes normativos según la Corte Suprema

La Sala de Casación Penal ha descrito la estructura de este delito con precisión. Se trata de un tipo que no se sostiene solo: reenvía al hurto para la conducta y al hurto calificado para la pena.

«Se trata de un tipo subordinado y compuesto porque no consagra la conducta reprochada, el objeto material, ni la sanción correspondiente, sino que reenvía al tipo base de hurto del artículo 239 de la Ley 599 de 2000, y a la norma que lo califica, artículo 240 ídem, para determinar la sanción imponible.»

CSJ SP2148-2025, 12 nov. 2025, rad. 60414, M.P. Hugo Quintero Bernate

Sobre el elemento que más pesa en la defensa —la superación de las seguridades informáticas—, la Corte lo identificó como el mecanismo específico de desapoderamiento que caracteriza al tipo:

«…estructura una modalidad o mecanismo específico de desapoderamiento de la cosa mueble ajena, a saber, superar las seguridades informáticas mediante i) la manipulación del sistema informático, la red de sistema electrónico, telemático u otro semejante o ii) la suplantación de una persona ante los sistemas de autenticación y de autorización establecidos.»

CSJ SP14302-2016, 5 oct. 2016, rad. 41517, M.P. Luis Guillermo Salazar Otero

La consecuencia práctica es directa. Si en el caso concreto no se acredita que el autor superó una medida de seguridad informática, la conducta no encaja en el artículo 269I: habrá que examinarla bajo el hurto (artículos 239 y 240) o bajo la estafa (artículo 246), con penas y consecuencias procesales distintas. Esa discusión no es teórica: cambia el marco punitivo y, con él, el acceso a subrogados.

El bien jurídico es doble

El artículo 269I está ubicado en el título que protege la información y los datos, pero la Corte ha sostenido que su objeto de protección es más amplio. Lo dijo en la decisión que fijó la línea sobre este delito:

«…el tipo penal de hurto por medios informáticos y semejantes no solo está circunscrito al ámbito de punibles contra la información y los datos, sino, esencialmente a la esfera de los lesivos del patrimonio económico…»

CSJ SP1245-2015, 11 feb. 2015, rad. 42.724, M.P. Eyder Patiño Cabrera

Esa calificación no es un adorno dogmático. De ella dependen consecuencias muy concretas para el procesado, como se verá más adelante al hablar de la rebaja por reparación integral.

¿Cuál es la pena del hurto por medios informáticos?

El artículo 269I no fija pena propia. Remite al artículo 240 del Código Penal, cuyo primer inciso sanciona el hurto calificado con prisión de seis (6) a catorce (14) años. Así lo precisó la Sala:

«…sancionar el hurto por medios informáticos y semejantes con la punición que el legislador previó para el hurto calificado que, conforme al primer inciso del artículo 240 ídem, oscila entre 6 y 14 años de prisión.»

CSJ SP2148-2025, 12 nov. 2025, rad. 60414, M.P. Hugo Quintero Bernate

Ese rango puede subir. La Corte ha admitido que la remisión al artículo 240 no impide aplicar las circunstancias de agravación del artículo 241 del Código Penal, que aumentan la pena de la mitad a las tres cuartas partes:

«…nada obsta para que cuando intervengan dos o más personas en la ejecución de un tipo de esta especie, se aplique la circunstancia de mayor punibilidad del numeral 10 del artículo 241 del Código Penal, referida, precisamente, a obrar en coparticipación criminal…»

CSJ SP2148-2025, 12 nov. 2025, rad. 60414, M.P. Hugo Quintero Bernate

Existe además el catálogo propio del Título VII BIS: el artículo 269H aumenta las penas de la mitad a las tres cuartas partes cuando la conducta recae sobre redes o sistemas del sector financiero, cuando la comete un servidor público en ejercicio de sus funciones, cuando se aprovecha la confianza depositada por quien tiene un vínculo contractual con el titular de la información, o cuando se obtiene provecho para sí o para un tercero, entre otros supuestos. Verificar que la Fiscalía no esté valorando dos veces la misma circunstancia es uno de los primeros controles de la defensa.

¿Qué es la transferencia no consentida de activos (artículo 269J)?

Es el otro tipo penal que aparece con frecuencia en estos casos. Su redacción es distinta y sus exigencias también.

Artículo 269J. Transferencia no consentida de activos. El que, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consiga la transferencia no consentida de cualquier activo en perjuicio de un tercero, siempre que la conducta no constituya delito sancionado con pena más grave, incurrirá en pena de prisión de cuarenta y ocho (48) a ciento veinte (120) meses y en multa de 200 a 1.500 salarios mínimos legales mensuales vigentes. La misma sanción se le impondrá a quien fabrique, introduzca, posea o facilite programa de computador destinado a la comisión del delito descrito en el inciso anterior, o de una estafa. Si la conducta descrita en los dos incisos anteriores tuviere una cuantía superior a 200 salarios mínimos legales mensuales, la sanción allí señalada se incrementará en la mitad.

Ley 599 de 2000, art. 269J, adicionado por el art. 1.º de la Ley 1273 de 2009. Texto vigente.

Tres elementos merecen atención. Primero, el ánimo de lucro: es un ingrediente subjetivo expreso, que debe probarse. Segundo, el medio: manipulación informática o artificio semejante, sin que el tipo exija superar medida de seguridad alguna. Tercero, y decisivo, la cláusula de subsidiariedad: el delito solo se aplica «siempre que la conducta no constituya delito sancionado con pena más grave».

¿Cuándo se aplica el 269I y cuándo el 269J?

Esa cláusula resuelve el concurso aparente que se plantea en casi todo fraude con tarjeta. Si concurren los elementos del hurto por medios informáticos —cuya pena va de 6 a 14 años— la conducta se subsume allí y desplaza al artículo 269J, cuyo tope es de 120 meses. El artículo 269J opera, entonces, cuando falta alguno de los ingredientes del 269I, señaladamente la superación de las medidas de seguridad informáticas.

El origen legislativo confirma esa lectura. Al reconstruir el trámite de la Ley 1273 de 2009, la Corte recordó que el hurto por medios informáticos buscaba «completar las descripciones típicas contenidas en los artículos 239 y siguientes del Código Penal», mientras que la transferencia no consentida de activos, en cambio, «busca variar la estafa clásica por la figura de la estafa electrónica» (CSJ SP1245-2015, rad. 42.724). Son, por tanto, respuestas a problemas distintos: uno es hurto; el otro, estafa.

¿Investigado o víctima de un fraude bancario? Hable con un abogado penalista →

Casos reales: cómo ha resuelto la Corte Suprema el fraude con tarjetas

Cambiazo de tarjeta en cajeros automáticos — SP2107-2022

Dos procesados abordaban a los usuarios en distintos cajeros automáticos, les ofrecían ayuda o les advertían que la transacción no había terminado, y los inducían a insertar de nuevo la tarjeta débito, que era sustituida por otra. Observaban la clave digitada y, con ese material, superaban las medidas de seguridad informática y suplantaban al usuario ante el sistema de autenticación y autorización, para retirar el dinero. La Fiscalía documentó once víctimas.

Los dos aceptaron cargos por el procedimiento abreviado de la Ley 1826 de 2017. La Corte Suprema casó parcialmente la sentencia por un error de dosificación en el concurso: la pena no podía superar el doble de la fijada para el delito más grave. Tras aplicar el descuento del 50 % por aceptación de cargos, las penas quedaron en 72 y 67,5 meses de prisión. CSJ SP2107-2022, 15 jun. 2022, casación 58109, M.P. Fabio Ospitia Garzón.

La lección es de técnica, no de fondo: incluso con allanamiento a cargos, la dosificación del concurso admite control y puede reducir años de prisión.

Manipulación del cajero y retiro posterior — SP2148-2025

El procesado alteró el cajero automático de una entidad bancaria para retener el plástico de la víctima. Con esa tarjeta se extrajeron después $660.000 de la cuenta. Fue condenado en dos instancias por hurto por medios informáticos o semejantes agravado.

La Corte examinó de oficio la posible vulneración de garantías y no casó el fallo. Encontró que la circunstancia de agravación por coparticipación criminal había sido deducida correctamente desde la exposición fáctica de la acusación, y que tanto el procesado como su defensa la conocieron y pudieron controvertirla. CSJ SP2148-2025, 12 nov. 2025, rad. 60414, M.P. Hugo Quintero Bernate.

Clonación de tarjetas y compras ficticias — SP1245-2015

Una organización se dedicaba a copiar la información de las bandas magnéticas de tarjetas de crédito, grabarla en plásticos falsos y utilizarlos en establecimientos de comercio cuyos administradores participaban del acuerdo a cambio de un porcentaje de la transacción. Se documentaron compras ficticias por varios millones de pesos. El procesado fue condenado por hurto por medios informáticos y semejantes agravado, en concurso con concierto para delinquir y falsedad en documento privado.

La Corte casó parcialmente el fallo para reconocerle la rebaja por reparación integral del artículo 269 del Código Penal, que las instancias le habían negado por considerar que ese beneficio no cobija los delitos del Título VII BIS. El razonamiento de la Sala fue que el artículo 269I está

«…en definitiva subordinado al tipo base de hurto -en tanto, stricto sensu, constituye una modalidad más de ese clásico punible- y a la pena del hurto calificado.»

CSJ SP1245-2015, 11 feb. 2015, rad. 42.724, M.P. Eyder Patiño Cabrera

La pena bajó a 59 meses y 12 días. La Sala añadió una precisión valiosa para la defensa: esa misma analogía no puede usarse en contra del procesado para excluirlo de los subrogados como si hubiera sido condenado por hurto calificado, «pues la analogía en malam partem está proscrita en materia penal». En ese caso, aun así, la suspensión condicional y la domiciliaria se negaron por razones objetivas del monto de la pena.

Suplantación ante un fondo de pensiones — SP157-2023

Varias personas abrieron cuentas de ahorro en dos entidades bancarias con cédulas falsas, a nombre de titulares de un fondo de pensiones voluntarias. Esas cuentas se asociaron a los productos de las personas suplantadas y desde allí se hicieron transferencias sucesivas, siempre por montos que no dispararan los controles, con retiro del efectivo el mismo día.

La Corte confirmó la condena por hurto por medios informáticos. Consideró que la apertura de las cuentas con documentos falsos era un aporte sustancial al plan criminal y configuraba coautoría funcional, aunque no se hubiera probado quién ejecutó materialmente cada transferencia. CSJ SP157-2023, 26 abr. 2023, rad. 57319, M.P. Luis Antonio Hernández Barbosa.

El fallo cierra con una observación que conviene tener presente cuando la víctima es una empresa o una entidad financiera:

«Los principales coautores del plan, que seguramente conocían a la perfección la vulnerabilidad del sistema bancario y que probablemente hacían o hacen parte de la misma entidad, no fueron investigados.»

CSJ SP157-2023, 26 abr. 2023, rad. 57319, M.P. Luis Antonio Hernández Barbosa

¿Qué otros delitos concurren en un fraude con tarjetas?

El fraude con tarjeta rara vez se imputa solo. Estos son los tipos penales que suelen acompañarlo, con su numeración exacta:

• Acceso abusivo a un sistema informático (art. 269A): acceder sin autorización o por fuera de lo acordado a un sistema informático, protegido o no. Prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Interceptación de datos informáticos (art. 269C): interceptar datos sin orden judicial previa, en su origen, destino o dentro del sistema. Prisión de 36 a 72 meses.
• Violación de datos personales (art. 269F): obtener, compilar, sustraer, vender, interceptar o emplear códigos y datos personales sin estar facultado. Prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Suplantación de sitios web para capturar datos personales (art. 269G): el llamado phishing. Incluye modificar el sistema de resolución de nombres de dominio para que el usuario entre a una IP distinta creyendo que accede a su banco. Prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV, agravada de una tercera parte a la mitad si se reclutaron víctimas en la cadena del delito.
• Hurto (arts. 239 y 240): cuando el autor obtiene el plástico directamente de la víctima, con o sin violencia.
• Falsedad en documento privado (art. 289): por los soportes y comprobantes falsos, como ocurrió en CSJ SP1245-2015, rad. 42.724.

¿Qué puede hacer la víctima de un fraude con tarjeta?

La víctima —persona natural o empresa— tiene dos frentes simultáneos, y conviene abrirlos a la vez, no uno después del otro.

1. La reclamación ante la entidad

El primer frente es la reclamación ante el banco o la entidad emisora, que debe presentarse por escrito y con la fundamentación completa. Si la respuesta no satisface al consumidor, están disponibles dos canales adicionales: el Defensor del Consumidor Financiero de la propia entidad y la Superintendencia Financiera de Colombia, que es la autoridad de supervisión del sector.

El éxito de esa reclamación depende casi siempre de la evidencia que se logre fijar en las primeras horas: extractos, hora exacta y canal de cada operación, mensajes recibidos, constancia del bloqueo de la tarjeta y toda comunicación con la entidad. Ese mismo material será después la base de la denuncia penal. Y si el fraude consistió en que un tercero obtuvo productos o servicios a su nombre, la reclamación se apoya además en el régimen especial de la Ley 2573 de 2026, que se explica más adelante.

2. La denuncia penal y su valor económico

El segundo frente es la denuncia ante la Fiscalía General de la Nación. Muchas víctimas la descartan por creer que solo sirve para castigar. Es un error de cálculo: en los delitos contra el patrimonio económico el proceso penal contiene incentivos legales muy fuertes para que el dinero regrese.

El artículo 269 del Código Penal ordena al juez disminuir la pena de la mitad a las tres cuartas partes si, antes de la sentencia de primera o única instancia, el responsable restituye el objeto material del delito o su valor e indemniza los perjuicios. Y la Corte Suprema confirmó que ese beneficio sí cobija el hurto por medios informáticos (CSJ SP1245-2015, rad. 42.724). Es la palanca de negociación más eficaz que tiene una víctima patrimonial.

A ello se suma que reparar los daños ocasionados con el delito es una obligación legal del condenado que obtiene la suspensión condicional de la ejecución de la pena (artículo 65, numeral 3, del Código Penal) y un requisito para la prisión domiciliaria (artículo 38B, numeral 4, literal b). La Corte lo describió como

«…un deber que opera por ministerio de la ley, no por imposición judicial…»

CSJ SP216-2023, 7 jun. 2023, rad. 56.584, M.P. Myriam Ávila Roldán

Si usted representa a una empresa afectada por un fraude de cuantía, contáctenos aquí para estructurar la denuncia y la representación de víctimas desde el primer día.

¿Qué cambia con la Ley 2573 de 2026 si lo suplantaron para adquirir productos a su nombre?

Hay una modalidad de fraude bancario en la que el dinero no sale de la cuenta de la víctima: sale a su nombre. Un tercero usa sus datos personales, su documento o una tarjeta que no le pertenece para obtener créditos, tarjetas, líneas móviles u otros productos, y la persona suplantada termina con cobros que nunca contrajo y con reportes negativos en las centrales de riesgo.

Para ese escenario, el Congreso expidió la Ley Estatutaria 2573 del 19 de mayo de 2026. La ley impone deberes a los operadores de telecomunicaciones, a las entidades financieras y crediticias y a los demás establecimientos comerciales con esa competencia, para proteger a las personas suplantadas frente al cobro de obligaciones y frente a los reportes negativos ante los operadores de información.

Los deberes de la entidad frente a la persona suplantada

Cuando la persona suplantada informa que ha sido víctima de esta conducta, la entidad debe suspender de manera inmediata el cobro del bien o servicio, incluidos los intereses y los gastos de cobranza que se hubieren generado (artículo 8). Debe además tramitar las solicitudes y quejas dentro de los 10 días hábiles siguientes a su radicación, y entregar a la persona, si lo solicita, copia de la información y los documentos que se aportaron para aprobar el producto: la ley prohíbe negar esa entrega (artículo 5).

La ley también consagra el principio de carga dinámica de la prueba: en materia de suplantación, prueba la parte que está en mejores condiciones de hacerlo, y por eso los operadores y las entidades deben entregar la información y los documentos que recibieron para la aprobación del bien o servicio (artículo 2). Cuando exista denuncia de falsedad personal, el reporte a los operadores de información debe marcarse como víctima de falsedad personal, sin que esa marcación impacte la puntuación de la presunta víctima. Y la entidad debe investigar la posible participación de sus propios funcionarios en la suplantación (artículo 5), una previsión que coincide con lo que la Corte Suprema observó en CSJ SP157-2023, rad. 57319 sobre coautores dentro de la propia entidad.

Las cargas de la persona suplantada y el plazo de los 20 días

La protección tiene contrapartidas. La persona suplantada debe informar a la entidad tan pronto conozca el hecho, aportar la prueba sumaria de la suplantación, realizar la prueba de validación de identidad que la entidad establezca y denunciar ante la Fiscalía General de la Nación o la Policía Nacional el delito de falsedad personal y sus conexos (artículo 6). Si la suplantación fue mediante perfiles digitales falsos, la denuncia o reclamación debe presentarse también ante la plataforma.

El plazo central está en el artículo 8: comunicada la suspensión del cobro, la persona cuenta con 20 días hábiles para interponer la denuncia y allegar los soportes a la entidad. Si no lo hace, la entidad puede reanudar el cobro con los intereses y gastos causados desde la suspensión, y efectuar el reporte ante los operadores de información. Hay una excepción: si la propia entidad, al verificar la reclamación, encuentra elementos que evidencian la suplantación, debe liberar a la persona de la carga de denunciar y exonerarla del cobro (artículo 10). Lo que la entidad no puede hacer es concluir que no existió suplantación: esa decisión queda reservada a las autoridades judiciales.

La marca «Víctima de Falsedad Personal» y el silencio favorable

La ley modificó el régimen de habeas data financiero de la Ley 1266 de 2008 (artículo 7). Presentada la solicitud de corrección con sus soportes, la fuente tiene 10 días hábiles para cotejar los documentos con los que se adquirió la obligación disputada frente a los aportados por el titular, que se tienen como prueba sumaria de la falsedad, y para pedir la modificación del dato negativo y del puntaje crediticio. En el registro se incluye la leyenda «Víctima de Falsedad Personal», que no puede tenerse como reporte negativo ni ser causal de disminución en la calificación de riesgo: su única función es intensificar la verificación de identidad del titular hacia el futuro.

Las peticiones y reclamos deben resolverse en 15 días hábiles, prorrogables por 8 más. Si en ese lapso no hay resolución, la solicitud se entiende resuelta favorablemente para todos los efectos legales, y el incumplimiento puede denunciarse ante la Superintendencia de Industria y Comercio o la Superintendencia Financiera, según el caso.

El desenlace depende del proceso penal

Suspendido el cobro, la entidad debe esperar el pronunciamiento judicial que ponga fin a la actuación penal (artículo 9). Si las autoridades judiciales comprueban la suplantación, la persona queda exonerada y desvinculada de cualquier cobro y reporte negativo, y la entidad puede constituirse como víctima en el proceso penal. Si se establece que no hubo suplantación y que quien la alegaba sí adquirió el bien o servicio, la entidad puede reanudar el cobro con todos los intereses causados, el término de prescripción de sus acciones de cobro solo empieza a correr desde la firmeza de esa decisión, y quien alegó la suplantación responde penalmente por la falsa denuncia.

La ley prevé incluso el archivo por autor no identificado: en ese caso la Fiscalía debe indicar si la falsedad personal efectivamente ocurrió, para que la persona suplantada no quede expuesta a nuevos cobros o reportes por las obligaciones contraídas por el delincuente.

Desde cuándo rige

La Ley 2573 de 2026 fue promulgada el 19 de mayo de 2026 y su artículo 13 difirió su entrada en vigencia a los 6 meses siguientes a la promulgación, de modo que el régimen completo rige desde noviembre de 2026. Dos piezas quedaron vigentes desde la promulgación misma: los parágrafos 1.º y 2.º del artículo 5. El primero ordena a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera, con el Ministerio de Tecnologías de la Información y las Comunicaciones, reglamentar los protocolos de atención de los reportes de posible suplantación. El segundo ya es exigible: si la entidad incumplió los lineamientos y protocolos de seguridad expedidos por las autoridades competentes y el titular solicitó la corrección manifestando ser víctima de suplantación, hay lugar a la suspensión de la cobranza, a la modificación del reporte y a la devolución oportuna de los dineros defraudados, sin que la entidad pueda esperar la autorización del titular de la cuenta receptora para reversar la transacción.

¿Y si a usted lo investigan por un fraude con tarjeta?

Si usted es empleado de una entidad financiera, comerciante vinculado a una operación cuestionada o titular de una cuenta por la que pasaron fondos, puede terminar imputado sin haber ejecutado la maniobra. Estos son los ejes de defensa que la jurisprudencia deja abiertos:

1. ¿Se probó la superación de una medida de seguridad informática? Sin ese ingrediente normativo no hay artículo 269I. La calificación tendría que desplazarse al hurto o a la estafa, con un marco punitivo distinto.
2. ¿Cuál es el aporte concreto que se le atribuye? En CSJ SP157-2023, rad. 57319 la condena se sostuvo porque el aporte era esencial al plan. Donde el aporte es marginal o ajeno al designio criminal, la coautoría funcional no se estructura.
3. ¿Hay doble valoración de agravantes? Entre el artículo 241 y el artículo 269H puede producirse una duplicidad que debe controlarse.
4. ¿Es viable la reparación integral? El artículo 269 del Código Penal permite una rebaja de la mitad a las tres cuartas partes si la restitución e indemnización ocurren antes de la sentencia de primera instancia. Es, con frecuencia, la decisión más rentable del proceso.
5. No declare sin asesoría. El derecho a guardar silencio es una garantía constitucional, y en estos casos las versiones informales ante el área de seguridad del banco suelen terminar en el expediente.

Consultar con un abogado penalista →

Preguntas frecuentes sobre el fraude con tarjetas de crédito o débito