La ciberdelinqüència lligada al SIM swapping ja no és un problema que es limiti als bancs. Una recent sentència a Espanya ha posat el focus també a les operadores de telefonia, a les quals la justícia comença a exigir un nivell de seguretat molt més alt quan els seus processos faciliten un frau financer.
En un entorn en què les finances personals es gestionen gairebé completament des del mòbil , la decisió del Jutjat de Primera Instància número 44 de Madrid suposa un avís clar: si una portabilitat o un duplicat de SIM es tramita sense controls adequats i això permet buidar comptes bancaris, la companyia telefònica pot acabar pagant la factura al costat del banc.
Què ha passat en el cas de Madrid: falsa portabilitat i robatori de més de 4.000 euros
El cas analitzat pel jutjat madrileny arrenca amb una falsa portabilitat de Movistar Lowi (marca de Vodafone) que el titular de la línia no va demanar mai. Un tercer va aconseguir que s'emetés un duplicat de la targeta SIM de l'afectat i s'activés en una nova línia al seu nom, sense que ningú no comprovés de manera fiable la seva identitat.
Amb la línia ja controlada pels delinqüents, aquests van poder rebre els SMS i codis de verificació necessaris per operar a la banca en línia de WiZink. Van canviar les credencials d'accés, van sol·licitar claus noves i van fer diverses disposicions mitjançant dues targetes de crèdit vinculades al client.
En total, es van arribar a carregar operacions no autoritzades per un import de 4.047,91 euros , canalitzades a través de tres moviments diferents. El client es trobava de viatge a l'estranger quan tot va passar, de manera que ni tan sols tenia accés a la seva línia original, que havia quedat a les mans dels estafadors.
L'afectat va detectar moviments aliens en altres comptes i va avisar tant la policia com les entitats implicades ( recuperació de fons ). WiZink, en un primer moment, va arribar a tornar els càrrecs, però els va tornar a repercutir després al·legant que es tractava d'una estafa de tercers, deslligant la seva pròpia responsabilitat.
Davant d'aquesta situació, l'Associació d'Usuaris Financers (Asufin) va assumir la defensa del consumidor i va demandar tant WiZink com Vodafone-Lowi, argumentant que el frau s'havia produït per errors greus de seguretat en la portabilitat i en l'autenticació de pagaments . La magistrada els va acabar donant la raó en tots els seus punts.
Per què la justícia assenyala les operadores: controls d'identitat “realment laxos”
Un dels elements més cridaners de la resolució és la contundència amb què el jutjat critica els protocols de Lowi. La sentència considera provat que la companyia no exigia identificació efectiva en tramitar la portabilitat ni en enviar el duplicat de la SIM , més enllà de facilitar una adreça postal a què remetre la targeta, un problema lligat a fallades en la verificació d'operadores.
La jutgessa parla de requisits “realment laxos” en comparació amb altres teleoperadores i subratlla que, a la pràctica, qualsevol persona podia rebre la nova SIM al domicili indicat , sense acreditar ser el titular de la línia. Per al tribunal això suposa una “enorme falta de seguretat” en un moment en què els mòbils són la clau d'accés a la banca digital.
A l'argumentació es recorda, a més, que Vodafone acumula un historial de sancions per suplantacions d'identitat i duplicats fraudulents . L'Agència Espanyola de Protecció de Dades (AEPD) ja va imposar a la companyia una multa de quatre milions d'euros per permetre emissions de SIM a nom de tercers que van acabar en diversos fraus bancaris.
En aquest nou cas, el jutjat entén que hi ha un nexe causal directe entre la negligència de l'operadora i l'èxit del frau . Sense aquesta portabilitat tramitada sense garanties, raona la magistrada, no s'hauria pogut agafar el control de la línia, interceptar els codis SMS ni accedir a la banca en línia del client.
La sentència també recorda que, malgrat conèixer des de fa anys la proliferació de SIM swapping , no s'havien adoptat mesures suficients per blindar el procés de portabilitat i emissió de duplicats, cosa que agreuja la valoració de la conducta de l'operadora.
Responsabilitat de WiZink: errors en l'autenticació reforçada de pagaments
El banc tampoc no surt ben parat. El jutjat considera que WiZink va incomplir les obligacions d' autenticació reforçada , posant en relleu la importància de l' autenticació per selfies . La normativa de serveis de pagament a la Unió Europea exigeix combinar diversos elements de seguretat independents (coneixement, possessió i biometria, per exemple).
En concret, la resolució destaca que l'entitat no va detectar que l'element de possessió havia estat compromès : el terminal que validava les operacions ja no estava en mans del titular legítim, sinó de l'estafador que havia duplicat la SIM. Tot i això, el sistema va permetre canviar claus i executar disposicions sense activar alarmes efectives.
La sentència crida l'atenció, a més, sobre la facilitat amb què es van poder modificar les credencials només amb dades com el DNI de l'afectat, cosa que, combinada amb la usurpació de la línia mòbil, va obrir un camí pràcticament lliure per als ciberdelinqüents.
Als ulls del tribunal, WiZink no va acreditar que les operacions s'haguessin executat amb un nivell de seguretat adequat ni va aportar la documentació tècnica que se li requeria sobre sistemes d'autenticació, dispositius utilitzats o traces internes dels accessos. Aquesta absència de proves juga en contra.
La jutgessa estableix que tant la portabilitat insegura com la manca de controls robustos en els pagaments són concausa del dany , i que per això no és procedent repartir percentatges de culpa. Les dues entitats han de respondre en bloc pel perjudici que hagi patit el client.
Condemna solidària: bancs i telecos, al mateix vaixell davant del SIM swapping
La decisió del Jutjat de Primera Instància 44 de Madrid no es limita a tornar els diners estafats. Declara que WiZink i Vodafone-Lowi són solidàriament responsables del frau, de manera que qualsevol de les dues pot ser obligada a pagar la totalitat de la quantitat, més interessos legals i costes, i després reclamar internament a l'altra si ho estima oportú.
La resolució insisteix que “ sense portabilitat no hi hagués hagut accés a WiZink i sense l' incompliment de WiZink no s'haurien produït les disposicions”. És a dir, les dues actuacions negligents són indispensables perquè l'estafa es materialitzés.
Per Asufin, aquest element és clau perquè trenca amb la idea que només la banca ha d'assumir els “marrons” judicials en matèria de fraus digitals. Fa temps que l'associació defensa que, en un sistema financer 100% digitalitzat, tots els intermediaris tecnològics que participen a la cadena de pagaments han de compartir la responsabilitat quan la seva actuació obre la porta al delicte.
La sentència també posa en valor la conducta de l'afectat: el jutjat entén que el client va actuar amb diligència, no va ser imprudent amb les seves dades i va comunicar el frau així que va tenir indicis, cosa que descarta qualsevol intent d'imputar-li part de la culpa.
Tot i que la sentència és recurrible en apel·lació en el termini de vint dies, el seu abast simbòlic és evident: marca un precedent rellevant en la lluita contra el SIM swapping a Espanya i llança un missatge clar a bancs i operadores de telecomunicacions sobre l'obligació de reforçar els seus sistemes.
Un problema en expansió: sancions a Digi, Orange i O2 per errors similars
El cas de WiZink i Vodafone-Lowi no és un fet aïllat. Paral·lelament a aquesta sentència, l'AEPD ha anat teixint un historial de sancions contra diverses telecos per deficiències greus en els seus processos de verificació d'identitat i en la gestió de falses portabilitats.
Entre les resolucions més recents destaca una multa de 200.000 euros a Digi per un cas de SIM swapping en què un tercer va aconseguir un duplicat de SIM sense que la companyia comprovés correctament qui era el sol·licitant. L'esquema va ser molt semblant: amb la línia al seu nom, el delinqüent va poder accedir a la banca en línia de la víctima i operar al seu lloc.
A aquesta sanció se suma una altra de 150.000 euros a la mateixa operadora per una infracció greu del Reglament General de Protecció de Dades. En aquest expedient, es va donar d'alta un contracte fraudulent i, posteriorment, es va incloure indegudament la persona afectada en fitxers de morositat per un deute que mai no havia contret.
Orange també ha estat sota el focus. L'Audiència Nacional va confirmar que la companyia va vulnerar la normativa de protecció de dades en emetre duplicats de SIM sense verificar de manera adequada la identitat del sol·licitant en incidents ocorreguts entre el 2019 i el 2020. Encara que l'AEPD va imposar inicialment una sanció de 700.000 euros, la justícia la va reduir a 300.000 . quioscs d'autoservei i va endurir els seus protocols d'activació.
Per part seva, O2 va registrar el 2023 el primer cas d'eSIM swapping detectat per l'AEPD. En aquest incident, els atacants van canviar el correu electrònic de contacte del client i van sol·licitar un duplicat virtual de la línia. Com que es tracta d'una eSIM, l'activació es va fer de forma remota, sense necessitat de targeta física, aprofitant l'escassa robustesa dels procediments de validació per prendre el control total del nombre i, amb ell, dels serveis associats.
Resposta institucional: del Fòrum de Bones Pràctiques a la brigada antifrau
La successió de fraus i sancions ha acabat de col·locar el SIM swapping a l'agenda política i regulatòria . Asufin, que ha portat bona part d'aquests casos davant dels tribunals, forma part del Fòrum de Bones Pràctiques Financeres creat pel Ministeri d'Economia, Comerç i Empresa el 2022.
Des d'aquesta plataforma, l'associació pressiona perquè el frau financer es consideri un dels problemes més urgents per als consumidors i per coordinar mesures amb el nou control d'Hisenda . L?objectiu és que bancs, telecos i autoritats coordinen mesures concretes, tant preventives com de compensació a les víctimes.
Després de l?última sessió d?aquest fòrum, celebrada el 10 de desembre, el ministre d?Economia, Carlos Cuerpo, va anunciar la posada en marxa d?una brigada antifrau especialitzada en delictes financers digitals . Aquesta unitat comptarà amb la participació directa del sector de les telecomunicacions, assumint que el problema ja no es pot abordar només des de l'òptica bancària.
La sentència del jutjat madrileny encaixa de ple en aquesta estratègia: reforça la idea que la seguretat de dades i comunicacions és una obligació legal i no pas un element accessori del servei. Si els protocols fallen, el cost econòmic del delicte pot recaure de forma directa a les companyies.
Per als usuaris, aquests passos suposen un avenç en la protecció davant d'unes estafes cada cop més sofisticades. L'expectativa és que, davant el risc d'assumir indemnitzacions i multes milionàries, noves tècniques contra el frau i millores tecnològiques impulsin bancs i telecos a elevar els estàndards de seguretat i reaccionar amb més agilitat quan es denuncien operacions sospitoses.
Tot aquest moviment judicial i regulatori dibuixa un escenari en què el SIM swapping deixa de ser un frau “orfe” de responsables clars per convertir-se en un problema compartit per tot l'ecosistema digital: des de l'operadora que gestiona la línia fins a l'entitat que autoritza els pagaments, passant pels supervisors públics que marquen les regles del joc; i, encara que encara queda camí per recórrer, les últimes resolucions assenyalen que qui no blindi els seus processos tindrà cada vegada menys marge per mirar cap a una altra banda quan un client veu buidat el compte després d'un simple duplicat de SIM.
