¿Justicia o Pandora? Lo que nadie dice sobre la nueva ley de estafas bancarias

Costa Rica acaba de dar un paso legislativo que, según sus impulsores, hará justicia a miles de personas estafadas. El expediente 23.908, aprobado en primer debate con 15 votos a favor, obliga a las entidades financieras a responder económicamente cuando sus clientes sean víctimas de fraudes electrónicos, invierte la carga de la prueba a favor del afectado y le da al banco un plazo de 120 días naturales para investigar antes de devolver los fondos. Suena razonable. Suena justo. Pero ¿lo es del todo?

La pregunta no es si las víctimas merecen protección, porque por supuesto que sí. La pregunta más incómoda es si esta ley, tal como quedó redactada, es la mejor forma de darla.

Una confianza que no debería negociarse

Quienes confiamos nuestros ahorros a un banco no lo hacemos ingenuamente. Lo hacemos con la expectativa razonada de que esa institución custodia nuestros activos bajo mecanismos que, si bien no eliminan el riesgo, sí garantizan que un ciberdelincuente tendrá que enfrentarse a obstáculos de altura antes de vulnerar nuestra cuenta. No pedimos invulnerabilidad total. Pedimos diligencia real, sistemas robustos y, cuando algo falla, responsabilidad proporcional.

Eso es exactamente lo que la nueva ley intenta codificar. Y en ese espíritu, la iniciativa tiene mérito. Las cifras que la motivaron no son menores: más de 13.000 víctimas de estafas informáticas en 2025, un promedio de 38 casos por día, y el 26% de los hogares costarricenses que han enfrentado algún intento de fraude digital. El fenómeno es real, creciente y, hasta ahora, el sistema dejaba sola a la víctima frente a una institución con todos los recursos jurídicos.

La decisión salomónica que no llegó

Sin embargo, aquí es donde el análisis se complica. Una decisión verdaderamente salomónica habría buscado el equilibrio entre proteger al cliente legítimo y no abrir puertas que después no podamos cerrar. Y hay una puerta en particular que esta ley parece haber dejado entreabierta: la del auto-fraude.

La norma sí contempla el auto-fraude como excepción a la responsabilidad bancaria, nuestro código penal, en el artículo 216, establece penas de prisión de hasta diez años para quien simule una estafa para obtener un beneficio económico. Pero la Asociación Bancaria Costarricense señaló algo técnicamente relevante: la figura de la culpa grave, ese descuido inexcusable del cliente que facilita el fraude no quedó incorporada. Esa omisión no es menor. Sin ese matiz, el sistema queda expuesto a zonas grises difíciles de resolver.

Bienvenidos a la era del auto-fraude

Aquí viene la hipótesis que pocos están dispuestos a decir en voz alta: esta ley puede convertirse en un imán para el fraude de primera parte, o first-party fraud, que ocurre cuando es el propio cliente quien engaña al banco. Desconocer una compra que sí realizó, reportar una tarjeta como robada cuando no lo fue, abusar del mecanismo de devolución, o pedir créditos sin intención de pagarlos.

No es una hipótesis descabellada. En muchos sistemas bancarios del mundo, el auto-fraude representa entre el 30% y el 40% de las pérdidas totales por fraude en tarjetas, superando incluso al fraude externo. Lo que en otros países tardó años en escalar, en Costa Rica podría acelerarse si los incentivos legales quedan mal calibrados.

El sector bancario ya anunció su reacción: créditos más caros, mayores comisiones y tasas de interés al alza para compensar el mayor riesgo regulatorio. ¿Pagará la mayoría honesta los excesos de una minoría oportunista? Todo apunta a que sí.

Las puertas que abre este proyecto

Más allá del auto-fraude, esta ley abre otras preguntas que el mercado y el sistema judicial tendrán que responder pronto. ¿Qué estándar de ciberseguridad deberá demostrar un banco para eximirse de responsabilidad? ¿Quién define si sus protocolos eran "suficientemente robustos"? ¿Cómo se investigará la delgada línea entre una víctima genuina y alguien que actuó con negligencia grave al compartir sus claves?

La ley plantea el fortalecimiento de los mecanismos de seguridad informática dentro del sistema financiero, un objetivo necesario en la era digital. Sin embargo, el esquema de supervisión deja interrogantes: la participación de una instancia técnica independiente en los protocolos de atención fue descartada en el texto final, lo que podría generar un vacío en la verificación objetiva de los reclamos.

Lo que los bancos deben hacer ahora, les guste o no

Si el sector financiero quiere sobrevivir a este nuevo escenario, y tiene la obligación de hacerlo la respuesta no puede ser solo subir tasas. Necesitarán invertir en analítica avanzada capaz de identificar patrones típicos de auto-fraude: clientes con historial repetido de disputas, reportes de robo que coinciden sospechosamente con compras recientes, cambios bruscos en el comportamiento financiero. La inteligencia artificial no es optativa aquí; es la primera línea de defensa.

Además, la autenticación biométrica, el 3D Secure 2.0 para pagos en línea, y el device fingerprinting dejan de ser diferenciadores de marca para convertirse en evidencia jurídica. Cada transacción autenticada por el cliente es, en el nuevo marco legal, una defensa del banco en un eventual litigio.

Igual de urgente es la educación financiera. Buena parte de los casos de "fraude amistoso", ese en que el cliente desconoce un cargo que en realidad hizo su hijo adolescente, no son malicia sino desinformación. Notificaciones en tiempo real, historiales de compra claros y campañas que expliquen qué constituye fraude real son inversiones que reducen el ruido antes de que se convierta en reclamos formales.

El veredicto aún está abierto

¿Fue esta la mejor decisión? Depende de cómo se mida. Para las 13.000 personas estafadas el año pasado, es un avance innegable. Para el sistema financiero que debe ahora demostrar su diligencia o pagar, es un cambio de paradigma que exigirá inversiones reales. Y para quienes venimos observando el ecosistema del fraude digital, es también una señal de alerta: cuando los incentivos para simular una víctima superan el riesgo de ser descubierto, el sistema se corrompe por dentro.

La balanza se movió. Si lo hizo hacia el lugar correcto, lo sabremos en dos o tres años, cuando los datos de auto-fraude en Costa Rica cuenten su propia historia.

Las opiniones expresadas son de carácter personal.

Referencias

Asamblea Legislativa de la República de Costa Rica. (2026, 2 de marzo). Protección a las personas consumidoras en la custodia de su dinero que administra cualquier entidad financiera en Costa Rica, ya sea pública o privada, autorizada para este fin, Expediente N.º 23.908 [Redacción final, Cuarta Legislatura, Segundo Período de Sesiones Ordinarias]. https://d1qqtien6gys07.cloudfront.net/wp-content/uploads/2026/03/Dictamen_23908REDACCION-FINAL.pdf