Fraude bancario y la reciente reforma al mercado de capitales, por Luca Martino y Marco Antonio Orellana

Por su parte, la ley alcanza también a las empresas fintech, y en ellas, como en la banca, decide el factor de autenticación. En agosto, la Corte de Santiago condenó a una usuaria a devolverle a Mercado Pago lo reclamado, porque las operaciones se hicieron desde su teléfono, desbloqueado con su rostro, y aplicó la presunción legal del artículo 5 ter letra h), que exige que uno de los factores sea de inherencia. Semanas después, rechazó una demanda de BancoEstado con operaciones validadas sólo con claves y coordenadas o una clave digital, porque ese registro es compatible con el phishing, “cuyo riesgo pertenece al giro del emisor”.14

Hay, además, una tendencia reciente. Los usuarios ya no se conforman con la restitución y piden también indemnización de perjuicios. En abril, la Corte Suprema dejó firme, en sede civil, una condena de $20 millones por daño moral contra un banco.15 En agosto, la Corte de Santiago confirmó el rechazo de la demanda de consumo de una empresa que pedía además el costo de financiar su falta de liquidez, porque la Ley 20.009 es “el cauce exclusivo y excluyente” para adjudicar la pérdida y esos perjuicios sólo pueden pedirse en su procedimiento.16 Para esa Corte, todo se discute en el mismo juicio que examina el dolo o la culpa grave del usuario.

La paradoja legislativa actual

Justo cuando los tribunales empezaban a exigirles más a los emisores, el Ejecutivo propone exigirles más a los clientes. La reforma al mercado de capitales ingresada el 9 de septiembre (Mensaje 166-374) sustituye la culpa grave por la culpa leve y presume esa culpa cuando la operación se hizo con autenticación reforzada. Se tramita con suma urgencia, y diputados oficialistas ya anunciaron su rechazo a ese capítulo.17

La reforma tiene un argumento importante, porque la culpa grave sería casi imposible de probar y, según sus defensores, eso abre la puerta al autofraude. La Asociación de Bancos lo respaldó ante la Comisión de Hacienda el 29 de septiembre, con el dato de que el fraude triplica el nivel previo a 2020.18 Es un problema real y de magnitud, pero desde 2024 la ley ya presume la culpa en hipótesis pensadas para el autofraude, como las transferencias entre cuentas propias o de parientes, mientras que una presunción general alcanza también a la víctima. Y con un factor de inherencia la pérdida sí se traslada, como en Mercado Pago. Sebastián Aguayo, tras revisar la jurisprudencia de policía local, atribuye los malos resultados de los emisores a que sus investigaciones “son deficientes”.19 Subir el estándar del usuario, por lo demás, no descongestionaría los juzgados. Hoy se demanda incluso por $700 mil, en juicios de dos o tres años, y quien litiga en ellos anticipa “muchísimos juicios” más.20

Además, en el Decreto 473 exento, de diciembre de 2025, el Estado mantuvo el umbral de restitución en 35 UF porque las pérdidas venían bajando y aún no existía “una trayectoria suficientemente extensa” con las nuevas normas.21 Es cierto que el Banco Central informó que la tasa de fraude volvió a subir en el primer semestre de 2026.22 Pero cuesta entender que la cautela que el decreto aplicó a un número no valga también para la regla que reparte la responsabilidad.

A ello se suma el calendario planificado. La autenticación reforzada que exige la Norma de Carácter General 538 de la Comisión para el Mercado Financiero es obligatoria desde agosto de 2026, y acepta como factor de posesión la clave de un solo uso que llega al teléfono.23 La presunción se levantaría sobre una exigencia con dos meses de vigencia y sobre un factor que el vishing (phishing a través de llamadas de voz) sabe capturar. En ese sentido, la lógica del proyecto es confusa o al menos insuficiente, porque en la estafa moderna es la propia víctima quien, engañada, entrega el código o aprueba la operación. El usuario diligente y engañado tendría que probar su diligencia frente a un sistema cuyo funcionamiento interno no controla.

El problema es también técnico, porque el actual artículo 5 ter reserva la presunción legal para la operación autenticada con un factor de inherencia y deja la que descansa sólo en posesión o conocimiento como base de una presunción judicial.24 Y la opinión experta ya considera débil el SMS. El Centro Criptológico Nacional español recomienda migrar a autenticación resistente al phishing, como FIDO2 o las claves de acceso, y abandonar el SMS.25 El proyecto borra la distinción de la ley vigente y presume la negligencia del usuario justo sobre ese factor.

Lo que el mundo está haciendo

Desde octubre de 2024, el Reino Unido obliga a reembolsar a las víctimas de fraudes por engaño hasta £85.000, salvo negligencia grave, con el costo repartido entre el banco emisor y el receptor, y en el primer trimestre de 2026 se reembolsó cerca del 89% de lo reclamado. Singapur reparte las pérdidas por phishing entre bancos, empresas de telecomunicaciones y consumidor según quién incumplió sus deberes. La Unión Europea avanza hacia el reembolso íntegro en fraudes de suplantación, con verificación obligatoria del beneficiario.26

Los tres se acercan a la idea del caso BRAC, según la cual el riesgo debe recaer en quien está en mejor posición de controlarlo. Singapur deja además una lección, porque el vishing y el SMS falso viajan por redes de telecomunicaciones, y la Mesa Nacional contra Fraude Financiero Transnacional constituida en agosto no incluye a las compañías telefónicas.27

Se dirá que vigilar cada cuenta choca con la protección de datos, pero es una confusión aparente. La Ley 19.628 reformada por la Ley 21.719 admitirá tratar datos para un interés legítimo que no afecte los derechos del titular, y la regla europea de la que proviene reconoce como tal la prevención del fraude estrictamente necesaria. El artículo 8 bis de la ley chilena exigirá, a su vez, explicación y revisión humana de las decisiones automatizadas.28

Una posible solución

Sobre esa base, si el legislador decide subir el estándar del usuario, debería hacerlo al menos con contrapesos. Primero, que la presunción no opere cuando la autenticación descansó sólo en conocimiento o posesión, como ya distingue el artículo 5 ter. Segundo, que el emisor sólo pueda invocarla si acredita haber cumplido los deberes de monitoreo y límites del artículo 6. Tercero, que la pérdida se reparta en toda la cadena, porque la repetición que el proyecto le da al emisor contra otros actores de pagos no menciona a las telecomunicaciones ni alivia al usuario.17 Y, por último, que el estándar se revise en un plazo fijo según la evolución del fraude.

La pregunta de fondo no es si el cliente fue un buen padre de familia, sino cómo se reparte la pérdida entre el usuario y los actores institucionales que pudieron evitarla y no lo hicieron. El representante de la pequeña empresa de Antofagasta digitó los códigos porque alguien diseñó la llamada justamente con ese objetivo, y el banco no advirtió lo inusual de transferencias rápidas a destinatarios desconocidos. Mientras la ley siga preguntando sólo por el cliente, seguiremos castigando a la víctima por un riesgo que otros controlaban mejor.

Luca Martino Abogado, especializado en Derecho y Tecnologías, con trayectoria como Investigador Independiente en la materia. Diplomado en Seguridad y Protección de datos, Facultad de Ingeniería, Pontificia Universidad Católica.

Marco Antonio Orellana Nunes es abogado de la Pontificia Universidad Católica, especializado en Derecho Corporativo, Tecnología y Legaltech. Investigador Invependiente.