Sincronizaste un dispositivo, ingresaste a un enlace que parecía de tu banco y, al día siguiente, tu cuenta amaneció vacía. Reclamaste, y la respuesta fue la de siempre: el banco dice que es mi culpa por haber caído en el engaño, y por eso no te devuelve nada.
Esa frase se repite en miles de casos al año. Pero un fallo muy reciente de la Corte Suprema —de 10 de julio de 2026— la puso a prueba y llegó a la conclusión contraria: aunque el cliente haya picado el anzuelo, el banco tenía el deber de detectar y frenar esas operaciones, y no haberlo hecho lo obliga a responder. Si buscas el panorama general de tus derechos, está en nuestra página sobre indemnización por fraude bancario.
El caso: cuatro operaciones que el banco debió frenar
El fallo (Lezana con Banco Scotiabank, Rol N° 51.579-2024) parte como tantos otros. En marzo de 2020, el cliente recibió un correo con el logo y el formato del banco que le exigía «sincronizar el dispositivo de seguridad» bajo amenaza de bloqueo. Confiado, siguió las instrucciones. Al día siguiente descubrió cuatro operaciones que no reconocía.
Primero, un traspaso de $3.712.619 desde su tarjeta de crédito a la cuenta corriente, que infló artificialmente el saldo disponible. Enseguida, tres pagos de impuestos por un total de $17.389.624 a nombre de empresas con las que no tenía relación alguna. Los accesos vinieron de direcciones IP que no eran suyas, la aplicación de autenticación fue reinstalada en un teléfono no registrado, y el banco nunca le avisó de nada.
El Juzgado de Policía Local de Ñuñoa condenó al banco. La Corte de Apelaciones de Santiago lo absolvió, sosteniendo que el fraude ocurrió «por el actuar del denunciante». La Corte Suprema, conociendo un recurso de queja, dejó sin efecto esa absolución y confirmó la condena de primera instancia: 25 UTM de multa y la restitución de los $17.389.624, reajustados y con intereses.
«El banco dice que es mi culpa»: el argumento que la Corte desarmó
La Corte de Apelaciones había reprochado al cliente «haber entregado sus datos». La Corte Suprema corrigió eso en dos planos.
En los hechos, el cliente no entregó claves a nadie: solo sincronizó un dispositivo ante un correo de apariencia institucional, y el banco jamás probó que hubiese cedido sus credenciales a terceros. Y en el derecho, la conclusión es todavía más importante: aunque un tercero hubiese obtenido esas credenciales por medio del engaño, eso no libera al banco de su obligación de custodiar el dinero depositado. El descuido del usuario no borra el deber de seguridad de la entidad.
El deber que el banco no puede trasladarte: detectar el fraude
Aquí está el corazón del fallo, y la parte que casi nadie conoce. El banco no solo debe reaccionar cuando reclamas: tiene un deber previo y activo de vigilar tu cuenta. Ese deber nace del artículo 3 letra d) de la Ley N° 19.496, que consagra la seguridad en el consumo, y de la normativa de la Comisión para el Mercado Financiero sobre detección de patrones de fraude.
En términos simples, la regulación exige que los bancos tengan sistemas capaces de identificar, monitorear y detectar en el menor tiempo posible las operaciones con patrones de fraude, para abortarlas antes de que el dinero se mueva. La Corte fue enfática: frente a la sofisticación tecnológica, es la parte más fuerte de la relación —el banco— y no la más débil quien carga con este deber primario, que existe precisamente para precaver hasta la torpeza del usuario que no domina estas plataformas.
Las señales que el banco debió ver (y no vio)
La Corte razonó sobre indicios: hechos que, por sí solos, tenían que haber encendido las alertas del banco. En este caso eran evidentes:
- Un crédito otorgado de forma remota, sin que constara que el cliente lo hubiese pedido.
- Cuatro operaciones de alto monto en un lapso brevísimo, frente a un historial de movimientos menores.
- Accesos desde direcciones IP que el cliente nunca había usado.
- Operaciones ejecutadas de manera remota, sin la tarjeta de coordenadas.
- Cero notificaciones al correo seguro que el cliente tenía registrado.
De hecho, el tribunal observó que el banco fue objeto de dos fraudes encadenados: primero el crédito remoto sospechoso, y después el vaciamiento de la cuenta. Ambos debieron gatillar el sistema de seguridad. Ninguno lo hizo.
La carga de la prueba se invierte: ahora prueba el banco
Este es el giro decisivo. Aplicando el artículo 1698 del Código Civil, la Corte puso la carga de la prueba sobre el banco, porque es él quien se beneficia de haber cumplido sus obligaciones de seguridad. No basta con que el banco alegue tu negligencia: para eximirse, debe acreditar positivamente tres cosas.
- Que el fraude no se originó en debilidades de su propio resguardo de la información.
- Que, durante las operaciones, adoptó las medidas para verificar que respondían a tu patrón de conducta habitual.
- Que el daño se produjo exclusivamente por un «descuido grave capaz de superar las salvaguardas exigibles».
Ese último punto es clave y conviene subrayarlo: no cualquier imprudencia tuya libera al banco. Solo lo hace un descuido tan grave que atraviese las defensas que el banco, de todos modos, estaba obligado a mantener. Si esas defensas nunca operaron, el reproche recae sobre la entidad y no sobre ti. De ahí que la infracción a los artículos 23 y 24 de la Ley N° 19.496 quede configurada.
Por qué el informe del propio banco no lo salva (y a veces lo hunde)
Para defenderse, Scotiabank acompañó su propio informe de servicios forenses y las campañas de prevención de fraudes publicadas en su sitio web. La Corte resolvió que ese material no acredita el cumplimiento del deber de seguridad. Y fue más allá: ese mismo material demuestra que el banco conocía los patrones de fraude, lo que agrava su pasividad en lugar de excusarla.
La lección práctica es directa. Cuando el banco te muestra su «informe interno» o te dice «nosotros advertimos de estos fraudes en la web», eso no prueba que hizo su pega. Muchas veces prueba lo contrario: que sabía cómo operan estos fraudes y aun así dejó pasar operaciones que debió detener.
¿Sirve para mi caso hoy? La ley cambió, el criterio no
Un punto honesto: los hechos son de 2020, anteriores a las leyes N° 21.234 y N° 21.673 que reformaron el régimen de la Ley N° 20.009. Por eso la Corte no aplicó el mecanismo de restitución de esa ley, sino el deber de seguridad de la Ley del Consumidor, el artículo 1698 y la norma de la CMF.
Aun así, el criterio proyecta hacia adelante. El estándar del «descuido grave capaz de superar las salvaguardas exigibles» conversa directamente con el régimen vigente, que mantiene la carga de la prueba en el banco y reserva la exoneración a los casos de dolo o culpa grave del usuario. Si tu caso se rige por la Ley 20.009 actual, el camino de la restitución y de la indemnización lo explicamos en daño moral por fraude bancario; y si fue el banco el que te demandó a ti, revisa qué hacer cuando el banco te demanda por fraude.
Conviene añadir, por transparencia, que el fallo se adoptó con el voto en contra de un ministro, que veía el asunto como una discrepancia de interpretación y no como una falta grave. Es un recordatorio de que estos casos no se ganan solos: se ganan con buena prueba y una teoría del caso bien construida.
Qué hacer si el banco te echa la culpa
- No reconozcas «descuidos» por escrito ni por teléfono. Lo que digas a un ejecutivo o en una carta escrita con rabia puede volver como prueba en tu contra.
- Haz la denuncia y el reclamo formal, y guarda todo. La denuncia ante Carabineros, PDI o Fiscalía y el respaldo de tu reclamo al banco son antecedentes decisivos.
- Exige los registros del banco. Los oficios para que la entidad exhiba sus bitácoras de monitoreo, alertas y notificaciones apuntan a prueba que está en su poder, no en el tuyo.
- Recuerda que devolver la plata no cierra el tema. Quedan el daño moral y los perjuicios sufridos mientras el banco te trató como sospechoso.
En Indemnia somos abogados especialistas en derecho de daños y litigamos habitualmente casos de fraude bancario. Si el banco te está echando la culpa para no devolverte tu dinero, escríbenos: la primera evaluación es gratuita y confidencial.
Preguntas frecuentes
Caí en el phishing y el banco dice que es mi culpa. ¿Perdí mi derecho?
No necesariamente. La Corte Suprema estableció que haber caído en un engaño no libera al banco de su deber de detectar y frenar operaciones sospechosas. Aunque hayas sincronizado un dispositivo o seguido un enlace falso, el banco debe probar que cumplió su propia obligación de seguridad para eximirse.
¿El banco puede quedarse con mi plata solo porque entregué mis claves?
No. Tiene un deber propio de monitoreo que no se extingue por tu descuido, y si sostiene que actuaste con culpa grave, debe acreditarlo ante un juez. No puede decidirlo por su cuenta y retener tu dinero.
El banco me mostró su informe interno diciendo que todo estuvo bien. ¿Eso lo libera?
No. La Corte resolvió que el informe forense elaborado por el propio banco y las campañas de prevención de su web no acreditan el cumplimiento del deber de seguridad, y que incluso pueden volverse en su contra al demostrar que conocía los patrones de fraude.
El fraude fue antes de 2024. ¿Me sirve igual este fallo?
Sí. Aunque el caso se resolvió bajo el régimen anterior, el criterio de fondo —carga de la prueba en el banco y deber activo de detección— es plenamente consistente con la Ley 20.009 vigente.
Fuentes
- Corte Suprema, Segunda Sala, Rol N° 51.579-2024, sentencia de 10 de julio de 2026, Lezana con Banco Scotiabank: texto completo.
- Ley N° 19.496: artículo 3, artículo 23 y artículo 24, Biblioteca del Congreso Nacional.
- Código Civil, artículo 1698, Biblioteca del Congreso Nacional.
- Ley N° 20.009, Biblioteca del Congreso Nacional.
- Normativa de la Comisión para el Mercado Financiero sobre detección de patrones de fraude.
