Ciberseguridad en problemas: Caso Bancolombia

La promesa de seguridad que entrega una marca financiera no es solamente narrativa para promocionar ciberseguros; debe ser efectiva desde su origen, la gestión integral de riesgos, porque la tecnología comienza a tomar el control de la cotidianidad. De lo contrario, cuando la amenaza es latente y el cliente se siente desprotegido ante la ausencia de respuestas, y menos soluciones, se desvirtúa la promesa rompiendo la confianza y se contradice el propósito de la tecnología de facilitarnos la vida.

Desde esa perspectiva, la ciberseguridad en el sector financiero es también un tema de responsabilidad social corporativa porque la necesidad de bienestar integral del cliente está de por medio. No puede considerarse un reto tecnológico en donde el cliente hace parte de un ejercicio de ensayo y error, como al parecer sucede con Bancolombia, la entidad bancaria más grande del país, que en 2026 inició liderando la lista de bancos con más utilidades, con un aumento anual del 22,5%.

Innovación tecnológica vs. RSC

“El riesgo no se gestiona solo con protocolos, sino con personas, conversaciones en doble vía y responsabilidades compartidas” – Blog Bienestar y sostenibilidad de Bancolombia, 16 de enero de 2026.

La narrativa publicitaria de la RSC suele tener un tono de buenas intenciones con pocos resultados y menos coherencia. Resulta estéril cuando los hechos la confrontan desde una oferta de valor que se desdibuja en una gestión humana deficiente, mientras se prioriza el statu quo que trae consigo la innovación tecnológica, que no considera «conversaciones en doble vía y responsabilidades compartidas».

De hecho, las redes sociales se han convertido en el «muro de los lamentos» de clientes desesperados por la falta de respuestas efectivas de un chatbot, que después de lamentarlo muchísimo, invita a escribir por interno. En contadas ocasiones, y después de tediosos procesos legales, se resuelve el problema a su favor.

La ausencia de respuestas efectivas se evidenció a finales de febrero, con la caída general de la plataforma de Bancolombia, que por varios días dejó a millones de clientes sin acceso a sus recursos. En ningún caso se percibió la gestión integral «con personas». Aun hoy, las quejas para resolver problemas de saldos continúan en lista de espera, junto a casos de fraude que resultan repetitivos y con un patrón que no cambia: Bancolombia se lava las manos poniendo la responsabilidad en el cliente.

No obstante, en el clímax de la crisis, la entidad consiguió darle la vuelta a la problemática con un inesperado movimiento de solidaridad que surgió en las redes sociales. Algunos usuarios manifestaron su comprensión y solidaridad con el banco, provocando el efecto FOMO, que llevó también a la empresa privada a expresar su solidaridad, mientras se pasaba de millones de afectados que se han quedado sin dolientes.

De ese modo, la entidad se convirtió en la víctima de su propia problemática, pese a que el informe de la Superintendencia Financiera de Colombia, con corte a enero 31 de 2026, contaba 1.196. 734 quejas en su contra; el 66% del universo del sector bancario. 

Elaboración propia
Fuente de datos: Superintendencia Financiera de Colombia

Y es que a las recurrentes caídas de la plataforma, se suman los fraudes sistemáticos que han dejado expuesta a Bancolombia en cuanto al manejo de la información del cliente: la ciberdelincuencia tiene en su poder información privilegiada, sin que aún exista un pronunciamiento oficial por parte de la entidad, en contraste con los protocolos de seguridad de hace una década, que prácticamente han desaparecido.

Entre los argumentos de defensa en las redes sociales, estaba el de la proporcionalidad, porque el banco tiene más de 33 millones de clientes. Sin embargo, no justifica que la seguridad y tranquilidad del cliente no sea una prioridad, es decir, que no forme parte de los objetivos sociales y comerciales del grupo CIBEST. En cambio, la calidad de los servicios debería ser proporcional a las utilidades de la entidad.

Bancolombia abandonó su promesa de «dejarle el alma», para convertirse en una empresa «altamente innovadora», y que le concede el derecho a delegar el servicio al cliente a chatbots que no entienden de preguntas complejas, mientras que el talento humano, todavía disponible, no ofrece respuestas a corto plazo.

Las consecuencias: un goteo de desconfianza que amenaza con erosionar la credibilidad y confianza en la entidad; una invitación a considerar trasladar el dinero a otros bancos, como también sugieren en las redes sociales.

Conoce a tu cliente, fundamento de la seguridad

El término Know Your Customer (KYC) es un conjunto de  procedimientos obligatorios para las entidades financieras, y tiene el objetivo de garantizar operaciones seguras en tiempo real para prevenir el fraude, y cumpliendo normativas como SARLAFT y de protección del consumidor:

· Confirmación de identidad
· Validación de documentos
· Verificación biométrica
· Revisión en listas restrictivas y de riesgo
· Análisis de antecedentes transaccionales
· Evaluación de comportamiento o señales atípicas.

Con lo anterior, se infiere que Bancolombia no conoce a sus clientes. El alto índice de quejas por «Transacción no reconocida» deja claro que el proceso KYC no es relevante en su gestión de seguridad integral. 

No solamente entrega tarjetas de crédito y créditos por suplantación, y permite transacciones en línea de valores atípicos, sino que no verifica, y menos responde en tiempo real; el banco se toma hasta «68 días hábiles» para entregar una respuesta, que por lo general, no es positiva para el cliente.

Retroalimentación para conocer la problemática del cliente

La retroalimentación o feedback significa estar dispuesto a ver y escuchar, incluso aquello que va en contravía de nuestros intereses. Toda información es valiosa porque aporta para mejorar el desempeño y replantear el modelo de negocio en una era en que los cambios suceden de forma veloz, para adaptar el modelo de negocio a las necesidades objetivas del cliente, aun sobre las necesidades subjetivas. Sencillamente, se trata de mantener el polo a tierra.

La tecnología ha desarrollado valiosas herramientas potenciadas con IA, como Power BI o Tableau, que automatizan el análisis, proporcionando información específica en informes personalizados, fundamentales para la toma de decisiones. La herramienta es flexible, puede procesar datos complejos o sencillos, para obtener un panorama de la situación.

 

Con la información de la Superintendencia Financiera y tomando como referencia a Bancolombia, analicemos el siguiente ejercicio.

Elaboración propia
Fuente de datos: Superintendencia Financiera de Colombia

En la gráfica, que no considera el incidente de febrero de 2026, se evidencia que Bancolombia prácticamente posee el universo de las quejas por «Transacción no reconocida», con el 39,29%. También supera el universo de las quejas por operatividad del sector, representado en «Transacciones mal aplicadas» y en «Dificultad para realizar las transacciones bancarias», con el 10,28%.

Ahora bien, los datos recogen las reclamaciones de un periodo de tiempo extenso (13 meses), en el cual Bancolombia ha ignorado de forma sistemática la necesidad de seguridad del cliente. También hace irrelevante el argumento de la proporcionalidad, pues supera por mucho a las quejas contra bancos grandes como Davivienda o Colpatria. El mensaje no es positivo: el cliente ya no forma parte de la estrategia de Bancolombia, al menos no desde la perspectiva humana.

El cliente no es responsable de la vulnerabilidad tecnológica

La vulnerabilidad tecnológica se ha convertido en un problema endémico para el cliente bancario porque no solamente sufre las consecuencias en primera línea, también ha normalizado la problemática al punto de aceptarla como una «consecuencia lógica» del desarrollo tecnológico donde, de forma solidaria, pone su cuota de sacrificio.

Elaboración propia
Fuente de datos: Superintendencia Financiera de Colombia

La gráfica expone esa realidad. Se observa que los productos susceptibles de fraude son aquellos que procesan transacciones diarias: las cuentas de ahorro, los depósitos de bajo monto como Nequi y las tarjetas de crédito.

Por tanto, se deduce que es esencial la aplicación de la metodología KYC para este tipo de productos. Incluso, se hace necesario desarrollar una plataforma con un sistema de autenticación más robusto.

Pero aun con esta información, disponible para cualquier persona o empresa, los protocolos de seguridad de Bancolombia continúan siendo básicos, y dejan entrever que la seguridad de los recursos del cliente no ha sido prioridad para el banco en el último lustro.

En julio de 2023, un cliente consultó sus productos en la plataforma de la banca virtual de Bancolombia, y emergieron las siguientes ventanas:

Nada hacía pensar que fuera un fraude porque se encontraba en la web del banco, previamente verificada. Así que respondió en la primera ventana. Entonces emergió la siguiente solicitando rellenar los datos personales, y luego emergió la siguiente solicitando su clave dinámica. No era normal, porque no iba a realizar ninguna transacción.

No obstante, dudó porque residía en el exterior y supuso que el banco conocía el origen de sus movimientos, así que cerró la sucursal e ingresó verificando de nuevo la autenticidad de la página. De nuevo, emergieron las ventanas, y esta vez se aseguró de grabar la pantalla. Cerró de nuevo la sesión, pero ya no emergió ninguna ventana. Entonces tuvo la certeza de que era un fraude.

Envió la información a la cuenta de correo sospechoso de Bancolombia y se comunicó con el banco. El asesor le dijo que investigarían su caso, señalando que era positivo que no hubiera ingresado su clave dinámica; de lo contrario, habría perdido todo su dinero. Casi tres años después, no ha recibido ninguna respuesta acerca de su caso.

Introspección corporativa

El sector bancario debe entender que la RSC incluye asumir la responsabilidad que implica recibir en custodia los recursos que le confía el cliente, dispuesto a pagar por su administración. Pero el sector ha tomado ventaja de la normalización de una problemática de la cual el cliente no tiene el control, pues no tiene injerencia en la gestión interna de la entidad bancaria.

El sector bancario debe reconocer que no tiene fundamento trasladar las consecuencias de una deficiente gestión de seguridad al cliente, que además no conoce, al obligarle a responder por créditos que el banco ha concedido, ignorando el procedimiento de Know Your Customer (KYC).

La crisis por fraude continuado invita al sector financiero tradicional a reconocer que ha facilitado la llegada de los neobancos, que han encontrado útil y productivo escuchar al cliente. Su modelo de negocio se fundamenta en la promesa de que la tecnología facilitará su vida. Y pese a no contar con sucursales o atención física, entienden que la implementación de la tecnología no significa ignorar el factor humano.

Ser reconocido como el banco más grande del país no garantiza que su burocracia interna no le pase factura. Hoy, cientos ya abandonan el banco. Mañana serán miles, y más pronto que tarde, serán millones que habrán encontrado propuestas de valor coherentes con su necesidad objetiva: cuidar cada centavo de quien batalla diariamente por llegar a fin de mes.

¡Una feliz vida para todos!