Ang cybercrime na nauugnay sa pagpapalit ng SIM ay hindi na isang problema na limitado lamang sa mga bangko. Isang kamakailang desisyon sa Espanya ang nagbigay-diin din sa mga operator ng telepono, kung saan hinihingi na ngayon ng mga korte ang mas mataas na antas ng seguridad mula sa kanila kapag ang kanilang mga proseso ay nagpapadali sa pandaraya sa pananalapi.
Sa isang kapaligiran kung saan ang personal na pananalapi ay halos ganap na pinamamahalaan sa pamamagitan ng mobile phone , ang desisyon ng Court of First Instance number 44 ng Madrid ay nagsisilbing malinaw na babala: kung ang isang portability o isang duplicate na SIM card ay pinoproseso nang walang sapat na kontrol at pinapayagan nitong maalisan ng laman ang mga bank account, maaaring ang kompanya ng telepono ang magbabayad ng singil kasama ng bangko.
Ano ang nangyari sa kaso sa Madrid: kakayahang dalhin ang pekeng numero at pagnanakaw ng mahigit 4.000 euro
Ang kasong sinusuri ng korte sa Madrid ay nagsisimula sa isang mapanlinlang na paglilipat ng numero mula sa Movistar patungong Lowi (isang tatak ng Vodafone) na hindi kailanman hiniling ng may-ari ng linya. Isang ikatlong partido ang nakapag-isyu ng duplicate na SIM card sa apektadong partido at nakapag-activate sa isang bagong linya sa kanilang pangalan, nang walang sinumang mapagkakatiwalaang nag-verify ng kanilang pagkakakilanlan.
Dahil nasa kontrol na ng mga kriminal ang linya, natanggap na nila ang mga SMS message at verification code na kinakailangan para ma-access ang online banking ng WiZink. Binago nila ang login credentials, humingi ng mga bagong password, at gumawa ng ilang transaksyon gamit ang dalawang credit card na naka-link sa customer.
Sa kabuuan, ang mga hindi awtorisadong transaksyon na nagkakahalaga ng €4.047,91 ay sinisingil sa pamamagitan ng tatlong magkakahiwalay na transaksyon. Ang kostumer ay naglalakbay sa ibang bansa nang mangyari ang insidente at samakatuwid ay wala siyang access sa kanilang orihinal na linya ng telepono, na kinuha na ng mga manloloko.
Nakakita ang apektadong partido ng mga hindi awtorisadong transaksyon sa ibang mga account at ipinaalam ito sa pulisya at sa mga sangkot na entidad ( pagbawi ng pondo ). Sa simula, ibinalik ng WiZink ang mga singil, ngunit kalaunan ay ibinalik ang mga ito, na inaangkin na ito ay isang scam ng ikatlong partido at itinatanggi ang responsibilidad.
Bilang tugon sa sitwasyong ito, ang Association of Financial Users (Asufin) ang nagdepensa sa mamimili at kinasuhan ang WiZink at Vodafone-Lowi, na nangangatwiran na ang pandaraya ay naganap dahil sa malubhang depekto sa seguridad sa pagdadala ng numero at pagpapatotoo ng pagbabayad . Sa huli, ang hukom ay nagpasiya pabor sa kanila sa lahat ng punto.
Bakit itinuturo ng mga korte ang mga operator: "talagang maluwag" na pagsusuri ng pagkakakilanlan
Isa sa mga pinakakapansin-pansing elemento ng desisyon ay ang puwersa ng pagpuna ng korte sa mga protokol ni Lowi. Itinuturing ng hatol na napatunayan na hindi hinihingi ng kumpanya ang epektibong pagkakakilanlan kapag pinoproseso ang portability ng numero o kapag nagpapadala ng kapalit na SIM card , bukod sa pagbibigay ng postal address kung saan dapat ipadala ang card—isang problemang nauugnay sa mga pagkabigo sa beripikasyon ng operator.
Inilarawan ng hukom ang mga kinakailangan bilang "talagang maluwag" kumpara sa ibang mga operator ng telecom at binigyang-diin na, sa pagsasagawa, maaaring matanggap ng sinuman ang bagong SIM card sa ibinigay na address , nang hindi kinakailangang patunayan na sila ang may-ari ng account. Itinuring ito ng korte na isang "malaking depekto sa seguridad" sa panahong ang mga mobile phone ang susi sa pag-access sa online banking.
Itinuturo rin ng argumento na ang Vodafone ay may kasaysayan ng mga parusa para sa pagnanakaw ng pagkakakilanlan at mapanlinlang na pagdoble ng SIM card . Pinagmulta na ng Spanish Data Protection Agency (AEPD) ang kumpanya ng apat na milyong euro dahil sa pagpapahintulot sa pag-isyu ng SIM card sa pangalan ng mga ikatlong partido, na nagresulta sa iba't ibang pandaraya sa bangko.
Sa bagong kasong ito, nauunawaan ng korte na mayroong direktang sanhi at bunga sa pagitan ng kapabayaan ng operator at ng tagumpay ng pandaraya . Dahil sa hukom, kung wala ang proseso ng paglilipat ng numero na walang garantiya, hindi sana posible na kontrolin ang linya, maharang ang mga SMS code, o ma-access ang online banking ng customer.
Binanggit din sa desisyon na, sa kabila ng maraming taon nang kaalaman tungkol sa paglaganap ng pagpapalit ng SIM , hindi pa naisagawa ang sapat na mga hakbang upang pangalagaan ang proseso ng pagdadala at ang pag-isyu ng mga duplikadong SIM, na nagpapalala sa pagtatasa ng pag-uugali ng operator.
Responsibilidad ng WiZink: mga pagkabigo sa malakas na pagpapatotoo ng pagbabayad
Hindi rin maganda ang kalagayan ng bangko. Itinuturing ng korte na nabigo ang WiZink na sumunod sa mahigpit na mga kinakailangan sa pagpapatotoo ng customer , na binibigyang-diin ang kahalagahan ng pagpapatotoo ng selfie . Ang mga regulasyon sa mga serbisyo sa pagbabayad sa European Union ay nangangailangan ng pagsasama-sama ng ilang independiyenteng elemento ng seguridad (kaalaman, pagmamay-ari, at biometrics, halimbawa).
Partikular na itinatampok ng desisyon na nabigo ang bangko na matukoy na ang elementong "pagmamay-ari" ay nakompromiso : ang terminal na nag-validate ng mga transaksyon ay wala na sa kamay ng lehitimong may-ari, kundi sa manloloko na nagdoble ng SIM card. Sa kabila nito, pinayagan ng sistema ang mga pagbabago sa password at mga transaksyon na maisagawa nang hindi nagti-trigger ng anumang epektibong mga alerto.
Binibigyang-pansin din ng desisyon kung gaano kadaling baguhin ang mga kredensyal gamit lamang ang datos tulad ng ID card ng apektadong tao, isang bagay na, kasama ng pag-agaw sa linya ng mobile, ay nagbukas ng halos libreng landas para sa mga cybercriminal.
Sa pananaw ng korte, nabigo ang WiZink na maipakita na ang mga transaksyon ay isinagawa nang may sapat na antas ng seguridad, ni hindi nito naibigay ang kinakailangang teknikal na dokumentasyon tungkol sa mga sistema ng pagpapatotoo, mga device na ginamit, o mga internal access log. Ang kakulangan ng ebidensyang ito ay laban sa kanila.
Nagpasya ang hukom na ang hindi ligtas na pagdadala ng numero at ang kawalan ng matibay na kontrol sa pagbabayad ay mga salik na nag-ambag sa pinsala , at samakatuwid, hindi nararapat na maghati-hati ng sisi. Ang parehong entidad ay dapat na magkasamang managot para sa pinsalang dinanas ng customer.
Magkasamang pagkondena: ang mga bangko at telekomunikasyon, ay nasa iisang sitwasyon hinggil sa pagpapalit ng SIM
Ang desisyon ng Court of First Instance No. 44 ng Madrid ay hindi lamang basta nag-uutos ng pagbabalik ng nalokong pera. Idinedeklara nito na ang WiZink at Vodafone-Lowi ay magkasamang mananagot para sa pandaraya, ibig sabihin ay maaaring pilitin ang alinmang kumpanya na bayaran ang buong halaga, kasama ang legal na interes at mga gastos, at pagkatapos ay maghain ng kahilingan sa loob ng korte laban sa isa pa kung sa tingin nito ay naaangkop.
Binibigyang-diin ng desisyon na “ kung walang kakayahang dalhin, walang access sa WiZink, at kung wala ang paglabag sa kontrata ng WiZink, hindi sana naisakatuparan ang mga probisyon.” Sa madaling salita, ang parehong kapabayaan ay mahalaga para maisagawa ang pandaraya.
Para kay Asufin, ang elementong ito ay mahalaga dahil salungat ito sa ideya na tanging mga bangko lamang ang dapat managot sa mga legal na pasanin ng digital fraud. Matagal nang ikinakatuwiran ng asosasyon na, sa isang ganap na digitalisadong sistemang pinansyal, lahat ng tagapamagitan sa teknolohiya na kasangkot sa kadena ng pagbabayad ay dapat magbahagi ng responsibilidad kapag ang kanilang mga aksyon ay nagbukas ng pinto sa krimen.
Itinatampok din ng desisyon ang pag-uugali ng apektadong partido: nauunawaan ng korte na ang kliyente ay kumilos nang masigasig, hindi naging pabaya sa kanyang datos , at iniulat ang pandaraya sa sandaling magkaroon siya ng anumang indikasyon, na nag-aalis ng anumang pagtatangka na iparatang sa kanya ang bahagi ng sisi.
Bagama't maaaring iapela ang desisyon sa loob ng dalawampung araw, malinaw ang simbolikong kahalagahan nito: nagtatakda ito ng isang mahalagang halimbawa sa paglaban sa pagpapalit ng SIM sa Espanya at nagpapadala ng malinaw na mensahe sa mga bangko at operator ng telekomunikasyon tungkol sa obligasyon na palakasin ang kanilang mga sistema.
Isang lumalaking problema: Pinagmulta ang Digi, Orange at O2 dahil sa mga katulad na pagkabigo
Ang kaso ng WiZink at Vodafone-Lowi ay hindi isang nakahiwalay na insidente. Kasabay ng desisyong ito, ang Spanish Data Protection Agency (AEPD) ay nagtitipon ng kasaysayan ng mga parusa laban sa ilang mga kumpanya ng telecom para sa mga malubhang kakulangan sa kanilang mga proseso ng pag-verify ng pagkakakilanlan at sa paghawak ng mga mapanlinlang na kahilingan sa paglipat ng numero.
Kabilang sa mga pinakahuling desisyon ay ang multang €200.000 na ipinataw laban sa Digi para sa isang kaso ng pagpapalit ng SIM kung saan ang isang ikatlong partido ay nakakuha ng duplicate na SIM card nang hindi wastong bineberipika ng kumpanya ang pagkakakilanlan ng aplikante. Halos magkapareho ang pamamaraan: dahil ang linya ay nakarehistro sa kanilang pangalan, nagawa ng salarin na ma-access ang online banking ng biktima at mapatakbo ang sistema sa kanilang lugar.
Ang multang ito ay karagdagan sa isa pang €150.000 na parusa na ipinataw sa parehong operator para sa isang malubhang paglabag sa Pangkalahatang Regulasyon sa Proteksyon ng Datos. Sa kasong iyon, isang mapanlinlang na kontrata ang nairehistro, at kasunod nito, ang apektadong indibidwal ay hindi wastong isinama sa mga database ng pangongolekta ng utang para sa isang utang na hindi pa nila natamo.
Masusing sinusuri rin ang Orange. Kinumpirma ng Pambansang Hukuman na nilabag ng kumpanya ang mga regulasyon sa proteksyon ng datos sa pamamagitan ng pag-isyu ng mga duplicate na SIM card nang hindi wastong bineberipika ang pagkakakilanlan ng aplikante sa mga insidenteng naganap sa pagitan ng 2019 at 2020. Bagama't sa simula ay nagpataw ang Spanish Data Protection Agency (AEPD) ng multang €700.000, ibinaba ito ng korte sa €300.000 bilang pagkilala sa mabilis na aksyon ng kumpanya, na kinabibilangan ng pag-alis ng mga self-service kiosk at paghigpit ng mga protocol ng pag-activate nito.
Sa bahagi nito, naitala ng O2 ang unang kaso ng eSIM swapping na natukoy ng Spanish Data Protection Agency (AEPD) noong 2023. Sa insidenteng ito, binago ng mga umaatake ang email address ng customer at humiling ng virtual na duplicate ng linya. Dahil ito ay isang eSIM, ang pag-activate ay isinagawa nang malayuan, nang hindi nangangailangan ng pisikal na card, sinasamantala ang mahinang mga pamamaraan ng pagpapatunay upang makakuha ng kumpletong kontrol sa numero at, dahil dito, sa mga kaugnay na serbisyo.
Tugon ng institusyon: mula sa Good Practices Forum hanggang sa anti-fraud brigade
Ang sunod-sunod na pandaraya at mga parusa ay sa wakas ay naglagay sa SIM swapping sa agendang pampulitika at pangregulasyon . Ang Asufin, na nagsampa ng marami sa mga kasong ito sa korte, ay bahagi ng Forum for Good Financial Practices na nilikha ng Ministry of Economy, Trade and Business noong 2022.
Mula sa platapormang ito, iginiit ng asosasyon na ang pandaraya sa pananalapi ay maituring na isa sa mga pinakamahalagang problema para sa mga mamimili at para sa mga koordinadong hakbang kasama ang mga bagong awtoridad sa buwis . Ang layunin ay para sa mga bangko, kumpanya ng telekomunikasyon, at mga awtoridad na mag-coordinate ng mga konkretong hakbang, kapwa pang-iwas at kompensasyon para sa mga biktima.
Kasunod ng huling sesyon ng forum na ito, na ginanap noong Disyembre 10, inanunsyo ng Ministro ng Ekonomiya, si Carlos Cuerpo, ang paglulunsad ng isang yunit laban sa pandaraya na dalubhasa sa mga digital na krimen sa pananalapi . Ang yunit na ito ay magkakaroon ng direktang partisipasyon ng sektor ng telekomunikasyon, na kinikilala na ang problema ay hindi na maaaring matugunan lamang mula sa pananaw ng pagbabangko.
Ang desisyon ng korte ng Madrid ay akmang-akma sa estratehiyang ito: pinatitibay nito ang ideya na ang seguridad ng datos at komunikasyon ay isang legal na obligasyon , hindi isang aksesorya sa serbisyo. Kung mabibigo ang mga protocol, ang gastos sa ekonomiya ng krimen ay maaaring direktang mapunta sa mga kumpanya.
Para sa mga gumagamit, ang mga hakbang na ito ay kumakatawan sa pag-unlad sa pagprotekta sa kanilang sarili laban sa lalong nagiging sopistikadong mga panloloko. Ang inaasahan ay, sa harap ng panganib na magbayad ng milyun-milyong kabayaran at multa, ang mga bagong pamamaraan laban sa pandaraya at mga pagpapabuti sa teknolohiya ay hihikayat sa mga bangko at mga kumpanya ng telecom na itaas ang kanilang mga pamantayan sa seguridad at mas mabilis na tumugon kapag may naiulat na mga kahina-hinalang transaksyon.
Ang lahat ng legal at regulatorikong aktibidad na ito ay nagpapakita ng isang larawan kung saan ang pagpapalit ng SIM ay hindi na isang "ulilang" pandaraya na walang malinaw na mga salarin at nagiging isang problemang pinagsasaluhan ng buong digital ecosystem: mula sa operator na namamahala sa linya hanggang sa entidad na nagpapahintulot sa mga pagbabayad, kabilang ang mga pampublikong regulator na nagtatakda ng mga patakaran ng laro; at, bagama't mayroon pa ring dapat tahakin, ipinapahiwatig ng mga pinakabagong desisyon na ang mga hindi nagse-secure ng kanilang mga proseso ay magkakaroon ng mas kaunting espasyo upang tumingin sa kabilang direksyon kapag ang account ng isang customer ay nawalan ng laman pagkatapos ng isang simpleng pagdoble ng SIM.
