Ley 2573
Ley 2573 de 2026 si es fraude no se paga y como reclamar en Colombia
Que dice la Ley 2573 de 2026, cuando aplica si es fraude no se paga, pasos para suspender cobros y reportes en Datacredito y plazos de 10 15 y 20 dias.
TL;DR — 45 segundos
- La Ley 2573 de 2026 (19 de mayo de 2026) protege a víctimas de suplantación: si demuestra fraude, el banco y comercios deben suspender cobros y reportes en Datacrédito mientras la justicia decide.
- No es automático: debe avisar a la entidad, aportar prueba sumaria y denunciar ante Fiscalía en 20 días hábiles.
- Si el banco incumplió protocolos de seguridad, debe devolver el dinero o eliminar la deuda y no puede esperar permiso del titular de la cuenta receptora para reversar.
- Rige desde el 19 de noviembre de 2026, salvo el artículo 5 parágrafos 1 y 2 vigentes desde el 19 de mayo de 2026 para devolución por fallas del banco. Crea la marca “Víctima de Falsedad Personal” que no baja su puntaje.
- Ojo: si la justicia dice que no hubo suplantación, el cobro vuelve con intereses. Denuncia falsa tiene consecuencias penales.
Caso ilustrativo: los datos son ficticios. Usted recibe una llamada que suplanta a su banco, le piden validar su identidad en un enlace y minutos después ve un débito por PSE a una cuenta que no reconoce. Al reclamar, el banco responde que usted entregó los datos voluntariamente.
Casos como este se repiten a diario en Bogotá, Medellín, Cali y Yopal. Hasta ahora la discusión era la misma: el banco decía “fue culpa del cliente” y la víctima tenía que pelear meses para que le creyeran. La Ley 2573 cambia esa lógica.
En este artículo encontrarás:
- Qué dice exactamente la Ley 2573 y desde cuándo puedes usarla
- Qué significa “si es fraude no se paga” y qué no significa
- Los dos tipos de suplantación que cubre y cómo se prueba cada uno
- Paso a paso para suspender cobros y reportes en centrales de riesgo
- Qué le puede exigir al banco y qué pasa si no cumple
- Plazos de 10, 15 y 20 días que no puedes dejar pasar
- Cuándo sí se quita el reporte en Datacrédito y cuándo no
- Errores que hacen perder la protección
Qué es la Ley 2573 y desde cuándo aplica
La Ley Estatutaria 2573 fue sancionada el 19 de mayo de 2026 y publicada en el Diario Oficial No. 53.496 del 20 de mayo de 2026 Alcaldía de Bogotá. Su objeto es claro: obligar a operadores de telecomunicaciones, entidades financieras y crediticias y comercios a adoptar medidas para proteger a personas suplantadas de reportes negativos y cobros por obligaciones que no contrataron DAPRE.
La ley rige desde el 19 de noviembre de 2026 (Art. 13). Excepción ya vigente: los parágrafos 1 y 2 del artículo 5 rigen desde el 19 de mayo de 2026 —si se verifica que la entidad incumplió protocolos de seguridad y usted pidió corrección como víctima, la entidad debe devolver el dinero o eliminar la deuda sin congelar fondos ni esperar autorización de la cuenta receptora Alcaldía de Bogotá.
No deroga las normas anteriores. Se articula con la Ley 1266 de 2008 (habeas data financiero), la Ley 1581 de 2012 (protección de datos) y la Ley 2157 de 2021 (que modificó plazos de habeas data). Lo nuevo es que invierte la carga: ya no tienes que probar que no fuiste usted con una montaña de papeles, sino que el banco debe entregar los documentos con los que aprobó el producto y demostrar que sí verificó su identidad.
Si es fraude no se paga: qué significa realmente
“Si es fraude no se paga” no es un eslogan. Es la consecuencia de dos reglas que trae la ley.
Primero, la suspensión inmediata. Una vez informas que fuiste suplantado, el operador o banco debe suspender de manera inmediata el cobro del bien o servicio, incluyendo intereses, gastos de cobranza y todo lo que se haya generado. Lo dice el artículo 8: la suspensión es desde que avisas, no desde que denuncien.
Segundo, la exoneración definitiva si la justicia confirma el fraude. El artículo 9 establece que si la autoridad judicial comprueba la suplantación por falsedad personal y delitos conexos, quedas exonerado y desvinculado de cualquier cobro y reporte negativo. La entidad podrá constituirse como víctima en el proceso penal, pero ya no contra ti.
¿Y si no hubo fraude? También lo dice claro. Si el juez concluye que sí fuiste usted quien adquirió el producto, la entidad puede reanudar el cobro con todos los intereses como si nunca se hubiera suspendido y restablecer el reporte. Y se advierte: quien haga una denuncia falsa puede incurrir en responsabilidad penal.
Un punto que cambia mucho la práctica: si se verifica que el banco incumplió protocolos de seguridad y usted pediste corrección como víctima, la entidad debe suspender la cobranza y corregir el reporte, y además devolver el dinero o eliminar la acreencia defraudada. En ese caso no puede congelar los recursos ni decir que necesita permiso del titular de la cuenta a donde se fue la plata para reversar.
Qué tipos de suplantación cubre
La ley distingue dos formas que explican casi todos los casos que vemos en SK.
Suplantación digital. Hacerse pasar por usted usando programas informáticos, páginas falsas, correos, ingeniería social o mensajes de texto. Aquí entran vishing (la llamada del falso asesor), smishing (SMS con link de puntos o paquete retenido), pharming (página clonada de su banco, de pico y placa o de Movistar) y control remoto del celular (te hacen instalar una app y manejan su teléfono).
Suplantación física o documental. Hacerse pasar por usted con documentos, datos personales o tarjetas que no son suyas. Aquí entran los créditos abiertos a su nombre que nunca pidió, las compras no reconocidas en otra ciudad y los casos donde usan su cédula para sacar un teléfono o un electrodoméstico a cuotas.
Están definidas en el artículo 3, numerales 5 y 6; los tipos de suplantación, en el artículo 4. Si le vaciaron la cuenta con fallas del banco (Art. 5 par. 2, ya vigente) o le abrieron un crédito a su nombre (Arts. 8 y 9, desde el 19 de noviembre de 2026), está dentro del supuesto de la ley.
Paso a paso para activar la protección (hazlo en orden)
Este es el flujo que pide la ley en los artículos 6, 7 y 8. No lo inviertas.
1. Avisa de inmediato al banco o comercio donde apareció la deuda. No esperes a tener la denuncia. El aviso dispara la suspensión inmediata. Hazlo por canal oficial, pide radicado y guarda el número. Si fue PSE o Nequi, avisa también a la entidad receptora.
2. Aporta prueba sumaria de que no fuiste tú. No es prueba plena. Lleva su cédula, explica qué pasó, cuándo y por qué canal, y aporta lo que tengas: pantallazos del SMS, link, comprobante de la transferencia, extracto donde se ve el débito, certificación de su operador si hubo SIM swapping. La entidad debe cotejar esos papeles con los que usaron para aprobar el producto.
3. Pide copia de los documentos con los que aprobaron el producto. La ley obliga a la entidad a entregarte copia de la información y documentos aportados para la aprobación. Bajo ninguna circunstancia puede negarse. Esto es clave para probar discrepancias de firma, foto o biometría.
4. Denuncia ante Fiscalía o Policía por falsedad personal y conexos. Tiene 20 días hábiles contados desde que la entidad le comunica que debes hacerlo. Lleva el radicado del banco y la prueba sumaria. Guarda el denuncio con SPOA.
5. Allega la denuncia a la entidad dentro de esos 20 días. Con eso se mantiene la suspensión hasta que haya pronunciamiento judicial que cierre la actuación penal. Si no la presentas a tiempo, la entidad puede reanudar el cobro y reportar.
Mientras todo esto pasa, la entidad también debe hacer su investigación interna, reportar a la DIAN para evitar efectos tributarios a su nombre y no volver a cobrarte hasta que haya decisión judicial.
Si quieres ver el flujo completo de un reclamo tradicional, le sirve de base nuestra guía de fraude bancario qué hacer en las primeras 24 horas, que explica el reclamo ante el banco y la queja ante la SFC en 15 días hábiles.
Qué debe hacer el banco y qué pasa si no cumple
No es solo suspender. El artículo 5 lista diez obligaciones. Las que más le importan como víctima son estas:
- Dar trámite en 10 días hábiles tras radicar su solicitud.
- Suspender cobros y reportes de inmediato al ser informado.
- Entregarte los documentos de aprobación.
- Reportar a la DIAN para que usted no sufra efectos tributarios (Art. 5 num. 8).
- No puede dejar de responder. La elusión de respuesta genera silencio positivo en los términos de la Ley 2157 de 2021, es decir, se entiende resuelto a su favor.
El parágrafo 2 del artículo 5 es el que tiene dientes. Si verificas que la entidad incumplió lineamientos y protocolos de seguridad y usted pediste corrección como víctima, la consecuencia es doble: suspensión de cobranza y corrección del reporte, más devolución oportuna del dinero o eliminación de la deuda. Y añade de forma expresa que no puede congelar la plata ni decir que necesita autorización del titular de la cuenta receptora para reversar.
En la práctica esto presiona a los bancos a mejorar biometría, multifactor, monitoreo transaccional y trazabilidad. Como explica el análisis de Ustariz Abogados, la discusión ya no será solo si hay una deuda, sino si se validó bien la identidad Ustariz Abogados.
Qué cambia frente al reclamo tradicional
| Antes (sin Ley 2573) | Ahora (con Ley 2573 desde noviembre 2026) |
|---|---|
| Tú cargabas con probar que no fuiste usted | Aplica carga dinámica: quien esté en mejores condiciones prueba, el banco debe entregar documentos de aprobación |
| El banco podía seguir cobrando mientras le respondía | Debe suspender cobros e intereses de inmediato al ser informado |
| El reporte en Datacrédito seguía mientras peleabas | Debe corregir y poner marca Víctima de Falsedad Personal que no baja score |
| La denuncia era útil pero no suspendía por sí sola | La denuncia dentro de 20 días mantiene la suspensión hasta decisión judicial |
| La devolución dependía de negociación | Si incumplió protocolos, debe devolver o eliminar acreencia sin esperar permiso de cuenta receptora |
Datacrédito y la marca Víctima de Falsedad Personal
El artículo 7 modifica el artículo 16 de la Ley 1266. Cuando manifiestas ser víctima de falsedad personal y pides corrección ante la fuente con soportes, la fuente tiene 10 días hábiles para cotejar los documentos usados para adquirir la obligación contra los que usted aportaste. Si hay discrepancias, debe pedir la modificación del dato negativo, del score y de cualquier otro dato, y poner en su registro la leyenda “Víctima de Falsedad Personal”.
Esa leyenda no es un reporte negativo, no baja su calificación y no puede usarse para negarte crédito. Solo sirve para que hagan verificación intensificada de identidad y no le vuelvan a suplantar. La fuente además debe denunciar la posible estafa de la que pudo ser víctima.
Si la petición no se responde en 15 días hábiles (prorrogables 8 más), opera el silencio positivo. Y todo reporte debe hacerse sin exigirte requisitos adicionales más allá de la prueba sumaria.
Ojo: no todo reporte se puede quitar. Si la deuda es tuya y la mora es real, la ley no le borra. La 2573 solo aplica cuando hay suplantación y falsedad personal. Decirlo con claridad filtra a quien simplemente debe y no ha pagado.
¿Y si el banco dice que fue mi culpa?
Es la frase que más nos llega: “el banco dice que yo entregué la clave”. Antes eso cerraba la puerta. Ahora no.
Con la Ley 2573, que usted hayas digitado la clave bajo engaño no exime automáticamente al banco de revisar si su autenticación fue débil, si no alertó a tiempo, si no tenía doble factor o si no detectó un PSE a una cuenta recién creada. El banco debe probar que sí cumplió protocolos.
Si la entidad alega culpa tuya pero no entrega los logs de validación, la comparación de documentos o la trazabilidad de la operación, está incumpliendo el deber de probar quien está en mejores condiciones. Eso, sumado a su solicitud de corrección, activa la sanción del parágrafo 2 del artículo 5: suspensión, corrección y devolución.
No significa que siempre ganes. Significa que la pelea ya no es “tu palabra contra la del banco”, sino si el banco puede demostrar que le identificó bien.
Plazos que no puedes olvidar
Guárdalos en el celular:
- 10 días hábiles: el banco debe dar trámite a su solicitud y la fuente debe cotejar documentos para Datacrédito.
- 15 días hábiles (prorrogables 8 más): término para resolver peticiones o reclamos bajo habeas data. Si no responden, silencio positivo.
- 20 días hábiles: plazo para poner la denuncia en Fiscalía y allegarla a la entidad desde que le avisan que debes hacerlo. Si no lo haces, pueden reanudar cobro y reporte.
La suspensión dura hasta pronunciamiento judicial que ponga fin a la actuación penal. Mientras esté suspendida, no corre prescripción para el cobro a favor de la entidad.
Errores que hacen que le nieguen la suspensión
- Avisar solo por teléfono sin radicado escrito.
- No pedir la copia de los documentos de aprobación.
- Llevar denuncia por hurto y no por falsedad personal y delitos conexos. La ley pide falsedad personal.
- Dejar pasar los 20 días sin allegar el denuncio a la entidad.
- Mezclar reclamos: si fueron tres créditos suplantados, haz tres radicados, uno por cada obligación.
- Pensar que la marca Víctima de Falsedad Personal le limpia otras deudas reales. No lo hace.
Preguntas frecuentes
¿La Ley 2573 ya está vigente? Fue sancionada el 19 de mayo de 2026. Rige desde el 19 de noviembre de 2026, salvo los parágrafos 1 y 2 del artículo 5 vigentes desde el 19 de mayo de 2026 para devolución por fallas de seguridad del banco.
¿Si es fraude no pago nunca más? Si la justicia confirma la suplantación, quedas exonerado de esa deuda. Si concluye que sí fuiste tú, el cobro y el reporte vuelven con intereses.
¿Necesito abogado para usar la ley? No es obligatorio para radicar, pero sí ayuda para armar la prueba sumaria, redactar la reclamación sin decir frases que usen en su contra y controlar los plazos de 10, 15 y 20 días.
¿Me borran todo Datacrédito? No. Solo la obligación que fue fruto de suplantación y que logres probar con cotejo de documentos. Las deudas que sí son tuyas siguen con su regla normal: hasta 4 años de permanencia y el doble de la mora, con máximo legal.
¿Qué pasa con la plata que se llevaron por PSE o Nequi? Si se verifica incumplimiento de protocolos y pediste corrección, el banco debe devolver oportunamente y no puede decir que necesita permiso del titular de la cuenta receptora.
Qué hacer hoy mismo
Si le suplantaron para abrirte un crédito o vaciarte la cuenta, haz esto en orden y guarda todo por escrito.
- Radica hoy el aviso de suplantación en el banco o comercio y pide copia de los documentos de aprobación. Usa como checklist nuestra guía de fraude bancario qué hacer para la reclamación en 15 días ante la SFC si le niegan.
- Controla los 20 días para denunciar por falsedad personal en Fiscalía y allegar el SPOA a la entidad. Sin eso se cae la suspensión.
- Si ya le reportaron, pide a la fuente la corrección con prueba sumaria y exige la marca Víctima de Falsedad Personal que no afecta su score.
En SK Soluciones revisamos su caso con esos documentos y le decimos si la Ley 2573 le aplica o si el camino es el reclamo tradicional por fallas de seguridad del banco…
¿Le pasó por vishing, phishing, cambiazo o SIM swapping? Cuéntenos por el formulario de asesoría inicial qué canal usaron, cuánto le debitaron y qué respondió el banco.