Juan Antonio Matiz Monroy — Abogado, Universidad de los Andes · Especialista en Derecho Penal, Universidad Sergio Arboleda · T.P. 294.746 del C.S.J.
Alguien usó su nombre, sus documentos o su información bancaria para obtener un crédito que usted nunca solicitó. O encontró un perfil en redes sociales con sus fotos y su nombre contactando a sus conocidos. O recibió una alerta de su banco por una transacción que usted no realizó. En Colombia, este tipo de fraude afecta a cientos de personas cada año —muchas de las cuales descubren la suplantación cuando el daño ya está hecho: deudas a su nombre, historial crediticio afectado, cuentas vaciadas, reputación en entredicho.
La mayoría no sabe exactamente qué hacer ni ante quién acudir. Y esa demora tiene consecuencias: cada hora que pasa sin actuar puede ampliar el daño patrimonial y hacer más difícil la reparación.
Si ya ocurrió, tiene derechos concretos, herramientas jurídicas y un camino para denunciar y buscar reparación. Si aún no ha ocurrido, hay medidas preventivas que reducen significativamente su exposición. Este artículo cubre ambas situaciones.
¿Qué es la suplantación de identidad digital?
La suplantación de identidad digital ocurre cuando una tercera persona usa su nombre, documento de identidad, datos personales o información digital —sin su consentimiento— para cometer fraude, acceder a servicios financieros o causar daño a su patrimonio o reputación.
Puede ocurrir de formas muy distintas: desde el uso de su cédula para solicitar un crédito, hasta la creación de perfiles falsos en redes sociales con sus fotografías; desde el vaciamiento de su cuenta bancaria mediante phishing, hasta la clonación de su tarjeta SIM para interceptar los códigos de verificación de sus aplicaciones. En todos los casos, alguien está usando lo que es suyo sin su autorización, y la ley colombiana tipifica esas conductas como delitos.
Lo que diferencia a la suplantación de identidad de otros fraudes es que el daño es doble: el daño patrimonial inmediato (dinero perdido, deudas a su nombre) y el daño reputacional de largo plazo (historial crediticio afectado, registros que persisten aunque el fraude haya sido denunciado).
El CAI Virtual de la Policía Nacional recibe y canaliza las denuncias por delitos informáticos en Colombia y publica periódicamente sus balances. El SIM swapping y el phishing bancario son, en la práctica de la firma, las modalidades que con más frecuencia derivan en fraudes patrimoniales de cuantía significativa.
Tipos más frecuentes de suplantación de identidad en Colombia
Fraude bancario y financiero. Uso de sus datos para solicitar créditos, tarjetas o productos financieros; transacciones no autorizadas desde sus cuentas; acceso a su banca en línea mediante ingeniería social. Esta modalidad puede dejar a la víctima con deudas a su nombre que desconoce hasta que aparecen en las centrales de riesgo o llega una notificación de cobro.
SIM swapping (clonación de SIM). El victimario convence al operador de telecomunicaciones de que es el titular de la línea y obtiene un duplicado del SIM. Con ese duplicado, recibe todos los mensajes —incluidos los códigos OTP de verificación de las aplicaciones bancarias— y puede vaciar las cuentas sin que el titular tenga señal. Es la modalidad de mayor crecimiento en Colombia en los últimos años.
Suplantación en redes sociales. Creación de perfiles falsos con su nombre y fotografías para contactar personas de su entorno con fines extorsivos, de estafa o de daño reputacional. En algunos casos se usan para extorsionar a la víctima amenazando con publicar información o imágenes comprometedoras.
Uso fraudulento de documentos. Presentación de su cédula (original o falsificada) o documentos con sus datos para contratar servicios, firmar arrendamientos, realizar operaciones notariales o acceder a entidades del Estado. Puede pasar desapercibido durante meses hasta que la víctima recibe una notificación de una obligación o contrato que nunca suscribió.
Phishing y vishing. Engaños por correo electrónico, mensaje de texto o llamada telefónica para obtener claves, números de tarjeta o códigos de verificación. La sofisticación de estas comunicaciones ha aumentado: muchas se presentan con logos reales de bancos, usan números de teléfono falsificados y emplean argumentos de urgencia para que la víctima actúe sin reflexionar.
La mayoría de los fraudes por suplantación usan la urgencia como herramienta principal: “su cuenta está en riesgo”, “tiene una transacción sospechosa”, “necesita verificar ahora”. Esa urgencia artificial tiene un propósito: impedir que usted piense con calma. Los bancos colombianos nunca le pedirán claves completas, tokens o contraseñas por teléfono, correo o mensaje. Si recibe una comunicación de ese tipo, cuelgue y llame directamente al número oficial de su entidad.
Marco legal: qué delitos se configuran
La suplantación de identidad y el fraude digital están tipificados en Colombia principalmente en la Ley 1273 de 2009, que adicionó al Código Penal los delitos informáticos. Los más relevantes en casos de suplantación:
Artículo 269G (Suplantación de sitios web). Tipifica la creación de sitios web, páginas electrónicas o perfiles falsos para capturar datos personales, financieros o contraseñas de terceros.
Artículo 269J (Transferencia no consentida de activos). Sanciona a quien mediante acceso abusivo a sistemas informáticos o mediante engaño obtenga provecho económico sin autorización del titular. Penas de 48 a 120 meses de prisión y multa de 200 a 1.500 salarios mínimos.
Artículo 269F (Violación de datos personales). Sanciona con 48 a 96 meses de prisión a quien, sin autorización, obtenga, compile, sustraiga, venda o divulgue datos personales. Es el tipo aplicable cuando sus datos fueron extraídos de una base y usados para defraudarlo. Artículo 269I (Hurto por medios informáticos). Aplica cuando el victimario supera medidas de seguridad informáticas o suplanta a un usuario para apoderarse de su dinero.
Artículo 296 del Código Penal (Falsedad personal). Sanciona a quien suplante a otra persona o se atribuya un nombre o una calidad con efectos jurídicos. Cuando el victimario emplea una cédula o un documento adulterado, aplican además el artículo 289 (falsedad en documento privado) y el artículo 291 (uso de documento público falso).
Para la víctima, estos tipos penales son fundamentales porque la reconocen como parte en el proceso penal, le otorgan el derecho a participar en la investigación, a aportar pruebas y a buscar la reparación de los daños causados dentro del proceso o por vía civil.
La Superintendencia Financiera de Colombia ha establecido que las entidades del sector tienen la obligación de implementar sistemas de seguridad adecuados para proteger a sus clientes. Cuando el fraude ocurre por deficiencias en esos sistemas —por ejemplo, un SIM swapping que fue posible por controles insuficientes del operador o del banco—, la entidad puede tener responsabilidad civil extracontractual frente a la víctima. La procedencia de esta reclamación depende de que se acredite el nexo entre la falla del control y el daño; la carga probatoria recae sobre quien reclama.
Expedida el 19 de mayo de 2026 y con entrada en vigencia el 19 de noviembre de 2026, esta ley protege a quien, tras ser suplantado, figura con reportes negativos o cobros que no originó. Obliga a los operadores de telecomunicaciones y a las entidades financieras y crediticias a adoptar medidas de protección, con dos efectos centrales para la víctima:
Al informarse la suplantación, la fuente debe incorporar en el registro la leyenda «Víctima de Falsedad Personal» y actualizar el dato dentro de los diez (10) días hábiles siguientes, en modificación a la Ley 1266 de 2008. Y una vez las autoridades judiciales comprueban la suplantación —por falsedad personal (artículo 296 del Código Penal) y delitos conexos—, la persona suplantada queda exonerada y desvinculada de cualquier cobro y reporte negativo asociado.
Acreditar la suplantación ante la autoridad judicial es el paso que activa esta protección: de ahí el valor de una denuncia técnicamente sustentada.
Si ya ocurrió: qué hacer en las primeras horas
El tiempo importa más de lo que parece en los fraudes por suplantación. Estas son las acciones inmediatas:
1. Bloquee sus cuentas y tarjetas de inmediato. Llame al banco y solicite el bloqueo preventivo de todas sus cuentas y tarjetas. No espere a entender completamente qué pasó: actúe primero, investigue después. La mayoría de los bancos tienen líneas de atención disponibles las 24 horas para este tipo de emergencias.
2. Contacte a su operador móvil si sospecha SIM swapping. Si su teléfono perdió señal sin razón aparente, o si recibió mensajes sobre cambios en su SIM que no solicitó, contacte a su operador inmediatamente para verificar el estado del SIM y solicitar el bloqueo del duplicado.
3. Cambie contraseñas desde un dispositivo limpio. Desde un dispositivo que no haya estado expuesto —otro teléfono, un computador diferente—, cambie las contraseñas de su correo electrónico y de las cuentas más críticas. El correo es el punto de control de casi todas las demás cuentas: asegúrelo primero.
4. Solicite reportes de crédito en DataCrédito y TransUnion. Verifique si hay créditos, tarjetas o servicios solicitados a su nombre que no reconoce. Puede hacerlo en las plataformas en línea de ambas entidades. Esto le dará el panorama del daño potencial.
5. Documente todo. Tome capturas de pantalla de transacciones no reconocidas, mensajes sospechosos, perfiles falsos o cualquier evidencia del fraude. Registre fechas, horas y montos. Esa documentación será indispensable tanto para la denuncia como para cualquier reclamación ante la entidad financiera.
6. Consulte con un abogado antes de hacer declaraciones. Especialmente si el fraude involucra montos significativos, si ya recibió notificaciones de cobro por deudas que no reconoce, o si la suplantación puede haber derivado en acciones legales contra usted.
El instinto de muchas personas es esperar a entender completamente qué pasó antes de actuar. En fraudes digitales, esa demora puede ser costosa: el daño patrimonial puede extenderse en las horas que tarda en activarse. Actúe sobre lo que sabe ahora y documente el resto. La claridad puede venir después; la ventana para limitar el daño, no.
Cómo denunciar y qué esperar del proceso
La denuncia por suplantación de identidad y delitos informáticos puede presentarse ante:
La Fiscalía General de la Nación (en cualquier seccional o a través de la plataforma en línea de denuncia). Es la vía principal para iniciar la investigación penal.
El Centro Cibernético Policial (CCP) de la Policía Nacional, especializado en delitos informáticos. Puede recibir la denuncia y realizar rastreos técnicos para identificar al victimario.
La Superintendencia Financiera, cuando el fraude involucra una entidad del sector financiero. Esta vía es complementaria a la denuncia penal y permite escalar la reclamación contra el banco o la entidad.
La denuncia debe incluir: una descripción detallada de los hechos (fechas, montos, canales utilizados); la evidencia documental recopilada (pantallazos, movimientos bancarios, comunicaciones); e identificación de las cuentas o entidades involucradas si las conoce.
El proceso penal por delitos informáticos puede ser largo y técnico. La Fiscalía debe establecer la identidad del victimario —lo que puede requerir cooperación de plataformas, bancos y operadores de telecomunicaciones—, lo que puede tomar semanas o meses. La denuncia temprana, con evidencia bien documentada, es el factor más determinante para que la investigación avance.
Si el fraude involucró a una entidad bancaria, tiene derecho a presentar una reclamación directa. La Superfinanciera establece plazos para que las entidades respondan. Si la respuesta es negativa o insatisfactoria, puede escalar ante la Superfinanciera o iniciar una acción de responsabilidad civil extracontractual. La representación por un abogado en este proceso puede ser determinante para obtener una reparación real.
Sus derechos como víctima de suplantación de identidad
El ordenamiento colombiano reconoce derechos concretos a las víctimas de suplantación de identidad y fraude digital:
Derecho a ser reconocido como víctima en el proceso penal y a recibir atención, orientación y acceso a la información del caso (Ley 906 de 2004). Esto incluye el derecho a conocer el estado de la investigación y a ser notificado de las decisiones relevantes.
Derecho a la reparación del daño patrimonial. La reparación puede buscarse dentro del proceso penal (incidente de reparación integral) o mediante una acción civil independiente contra el victimario y, si aplica, contra la entidad financiera cuyas deficiencias de seguridad posibilitaron el fraude.
Derecho a la corrección de su historial crediticio cuando el fraude generó créditos o reportes a su nombre. El Habeas Data financiero (Ley 1266/2008) le permite solicitar la supresión o corrección de esa información ante las centrales de riesgo y ante las entidades que realizaron los reportes.
Derecho a solicitar la eliminación de perfiles falsos creados con su identidad en redes sociales, invocando el Habeas Data y las políticas de cada plataforma.
Derecho a exigir responsabilidad a la entidad financiera cuando el fraude fue posible por deficiencias en sus sistemas de seguridad, verificación de identidad o controles internos.
Si ya fue víctima de suplantación o sospecha que puede estarlo, el tiempo entre el fraude y la acción jurídica es determinante tanto para la investigación como para la reparación. Una evaluación inicial permite establecer qué ocurrió, qué derechos le asisten y qué acciones son prioritarias en su caso específico.
Medidas preventivas: reduzca su exposición antes de que ocurra
Para quienes aún no han sido víctimas pero quieren reducir su riesgo:
Active la autenticación de dos factores con aplicación autenticadora. El segundo factor por SMS es vulnerable al SIM swapping. Una aplicación autenticadora (Google Authenticator, Authy, Microsoft Authenticator) genera los códigos directamente en el dispositivo, sin depender de la red móvil, y es significativamente más segura.
Use contraseñas únicas y robustas para cada cuenta. Cuando una contraseña se compromete, afecta múltiples cuentas si es reutilizada. Un gestor de contraseñas (Bitwarden, 1Password) elimina la necesidad de memorizar decenas de claves y reduce este riesgo.
Sea escéptico ante comunicaciones inesperadas. Los bancos nunca le pedirán claves completas, tokens o contraseñas por teléfono, correo o mensaje. Ante cualquier comunicación de ese tipo, cuelgue o no responda, y contacte directamente a la entidad usando el número oficial del reverso de su tarjeta o el sitio oficial.
Monitoree periódicamente su historial crediticio. Solicite reportes en DataCrédito y TransUnion al menos una vez al año para detectar solicitudes de crédito que no reconozca. Ambas plataformas tienen opciones de consulta con cierta periodicidad gratuita.
Limite la información personal que comparte en línea. Fecha de nacimiento exacta, número de cédula, dirección, número de celular y nombre de familiares cercanos son los datos más frecuentemente usados en fraudes de suplantación. Menos información pública significa menor exposición.
Solicite restricciones adicionales a su operador móvil. Puede pedir que activen controles adicionales para cualquier solicitud de cambio o duplicado de SIM asociado a su línea.
El SIM swapping ha crecido significativamente en Colombia. Señales de alerta: su teléfono pierde señal de forma inexplicable; recibe mensajes de confirmación de cambios en su línea que no solicitó; no puede hacer o recibir llamadas aunque haya cobertura. Si experimenta cualquiera de estas señales, contacte a su operador inmediatamente desde otro teléfono y cambie las claves de sus cuentas bancarias desde un dispositivo diferente.
De la consulta a la representación: la ruta de la víctima de suplantación
Descubrir que alguien usó su identidad —para abrir un crédito, firmar un contrato o cometer un fraude— genera una mezcla de urgencia y desconcierto. Saber qué hacer primero, y en qué orden, marca la diferencia.
El acompañamiento a la víctima de suplantación se estructura en cuatro momentos; la consulta inicial permite ubicar el suyo.
Etapa 1 — Diagnóstico y contención. En la consulta inicial se identifican los delitos configurados, las entidades involucradas y los reportes o cobros que ya estén afectándole, para priorizar las acciones más urgentes.
Etapa 2 — Denuncia y solicitudes ante las entidades. Se estructura la denuncia penal y se elevan las solicitudes a bancos y operadores de información, incluida la inclusión de la leyenda «Víctima de Falsedad Personal» prevista en la Ley 2573 de 2026.
Etapa 3 — Representación como víctima. Durante la investigación, la representación permite hacer seguimiento a las actuaciones de la Fiscalía, recibir las notificaciones y solicitar las medidas que correspondan.
Etapa 4 — Reparación y saneamiento de reportes. Comprobada judicialmente la suplantación, se gestiona la exoneración de los cobros y la eliminación de los reportes negativos asociados.
Cuanto antes se documente la suplantación y se notifique a las entidades, mayor es la posibilidad de contener el daño patrimonial y detener nuevos movimientos.
¿Fue víctima de suplantación o teme estarlo? La consulta inicial es el primer paso para ordenar la respuesta.
Preguntas frecuentes sobre suplantación de identidad digital en Colombia
¿Puedo responsabilizar al banco si el fraude ocurrió a través de su plataforma?
En muchos casos, sí. La Superfinanciera exige a las entidades financieras implementar sistemas de seguridad adecuados para proteger a sus clientes. Cuando el fraude fue posible por deficiencias en esos controles —verificación de identidad insuficiente, ausencia de alertas tempranas, fallas en los sistemas de autenticación—, la entidad puede tener responsabilidad civil extracontractual. Esta reclamación puede gestionarse directamente ante el banco, ante la Superfinanciera, o mediante acción legal con el acompañamiento de un abogado.
¿Qué pasa con los créditos que solicitaron a mi nombre sin mi autorización?
Debe actuar en dos frentes: denunciar ante la Fiscalía (para iniciar la investigación penal) y presentar reclamación formal ante la entidad financiera que otorgó el crédito, aportando evidencia de que no fue usted quien lo solicitó. Paralelamente, solicite a DataCrédito y TransUnion la corrección del reporte negativo a su nombre. La denuncia temprana y la documentación son los factores más determinantes para el resultado.
¿Cuánto tiempo tarda una investigación por fraude informático en Colombia?
Las investigaciones por delitos informáticos son técnicamente complejas: requieren solicitar información a plataformas digitales, bancos y operadores de telecomunicaciones, que a su vez tienen procesos internos propios. El proceso puede tomar varios meses. La denuncia temprana, con evidencia bien organizada, es el factor más importante. La representación de un abogado que haga seguimiento activo al proceso también hace una diferencia real.
¿Puedo denunciar aunque no sepa quién me suplantó?
Sí, y debe hacerlo. La denuncia no requiere conocer la identidad del victimario: establecerla es precisamente uno de los objetivos de la investigación penal. Lo que importa es documentar los hechos con la mayor precisión posible: qué ocurrió, cuándo, qué montos están involucrados, qué evidencia tiene y ante qué entidades se realizaron las operaciones.
¿Qué es el SIM swapping y cómo sé si me lo hicieron?
El SIM swapping ocurre cuando alguien convence a su operador de que es usted y obtiene un duplicado de su SIM. Con ese SIM activo en otro dispositivo, recibe todos sus mensajes, incluidos los códigos OTP de sus aplicaciones bancarias. Las señales de alerta son: su teléfono pierde señal repentinamente sin problema de cobertura; recibe mensajes de confirmación de cambios en su línea que no solicitó; no puede hacer ni recibir llamadas. Si sospecha que ocurrió, llame a su operador inmediatamente desde otro teléfono y cambie sus claves bancarias desde un dispositivo diferente.
¿Puedo pedir que eliminen los perfiles falsos creados con mi nombre y mis fotos?
Sí. Todas las grandes plataformas (Instagram, Facebook, X, TikTok, LinkedIn) tienen procedimientos para reportar y eliminar perfiles que usurpan la identidad de otra persona. El proceso requiere presentar su documentación de identidad y la evidencia del perfil falso. Adicionalmente, puede invocar el Habeas Data (Ley 1581/2012) mediante solicitud formal. Si la plataforma no responde adecuadamente, puede escalar ante la SIC o interponer tutela.
¿El seguro del banco cubre el fraude por suplantación?
Depende del producto y del contrato específico. Algunos productos financieros incluyen seguros contra fraude, pero con exclusiones importantes —por ejemplo, si la entidad considera que el cliente entregó las claves voluntariamente, aunque haya sido mediante engaño. Revise las condiciones de su contrato antes de hacer la reclamación. Si el banco rechaza la cobertura o la reclamación directa, consulte con un abogado para evaluar si la decisión es jurídicamente sostenible.
Referencias normativas y jurisprudenciales
Normativa
Colombia. Constitución Política de Colombia, arts. 15, 29 y 90.
Colombia. Ley 1273 de 2009, «Por medio de la cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado denominado de la protección de la información y de los datos». Diario Oficial No. 47.223.
Colombia. Ley 1581 de 2012, «Por la cual se dictan disposiciones generales para la protección de datos personales». Diario Oficial No. 48.587.
Colombia. Ley 1266 de 2008, «Por la cual se dictan las disposiciones generales del hábeas data». Diario Oficial No. 47.219.
Colombia. Ley 906 de 2004, Código de Procedimiento Penal, arts. 132-137 (derechos de las víctimas).
Normativa sectorial
SUPERINTENDENCIA FINANCIERA DE COLOMBIA. Circular Básica Jurídica (Circular Externa 029 de 2014), Parte I, Tít. II, Cap. I, sobre requerimientos mínimos de seguridad y calidad en el manejo de la información a través de medios y canales de distribución de productos y servicios.
COMISIÓN DE REGULACIÓN DE COMUNICACIONES (CRC). Regulación sobre portabilidad numérica y prevención del SIM swapping en Colombia. 2023-2024.
Jurisprudencia
CORTE CONSTITUCIONAL. Sentencia T-020 de 2014. Exp. T-4.033.635 (27, enero, 2014). M.P. Luis Guillermo Guerrero Pérez. Habeas Data y supresión de información en bases de datos.
SUPERINTENDENCIA FINANCIERA. Concepto 2023054321. Responsabilidad de las entidades financieras frente a fraudes por suplantación de identidad en canales digitales.