Το κυβερνοέγκλημα που συνδέεται με την ανταλλαγή SIM δεν αποτελεί πλέον πρόβλημα που περιορίζεται στις τράπεζες. Μια πρόσφατη απόφαση στην Ισπανία έφερε επίσης στο προσκήνιο τους τηλεφωνικούς παρόχους, με τα δικαστήρια να απαιτούν πλέον πολύ υψηλότερο επίπεδο ασφάλειας από αυτούς, όταν οι διαδικασίες τους διευκολύνουν την οικονομική απάτη.
Σε ένα περιβάλλον όπου τα προσωπικά οικονομικά διαχειρίζονται σχεδόν εξ ολοκλήρου μέσω κινητού τηλεφώνου , η απόφαση του Πρωτοδικείου της Μαδρίτης με αριθμό 44 χρησιμεύει ως σαφής προειδοποίηση: εάν μια φορητότητα ή μια διπλότυπη κάρτα SIM υποβληθεί σε επεξεργασία χωρίς επαρκείς ελέγχους και αυτό επιτρέπει την εκκένωση τραπεζικών λογαριασμών, η τηλεφωνική εταιρεία μπορεί να καταλήξει να πληρώνει τον λογαριασμό μαζί με την τράπεζα.
Τι συνέβη στην υπόθεση της Μαδρίτης: πλαστή φορητότητα αριθμού και κλοπή άνω των 4.000 ευρώ
Η υπόθεση που εξετάζει το δικαστήριο της Μαδρίτης ξεκινά με μια δόλια μεταφορά αριθμού από την Movistar στην Lowi (μάρκα της Vodafone) την οποία ο κάτοχος της γραμμής δεν ζήτησε ποτέ. Ένα τρίτο μέρος κατάφερε να εκδώσει μια διπλότυπη κάρτα SIM στο εμπλεκόμενο μέρος και να την ενεργοποιήσει σε μια νέα γραμμή στο όνομά του, χωρίς κανείς να επαληθεύσει αξιόπιστα την ταυτότητά του.
Με τη γραμμή πλέον υπό τον έλεγχο των εγκληματιών, μπόρεσαν να λάβουν τα μηνύματα SMS και τους κωδικούς επαλήθευσης που ήταν απαραίτητα για την πρόσβαση στις ηλεκτρονικές τραπεζικές συναλλαγές της WiZink. Άλλαξαν τα διαπιστευτήρια σύνδεσης, ζήτησαν νέους κωδικούς πρόσβασης και πραγματοποίησαν αρκετές συναλλαγές χρησιμοποιώντας δύο πιστωτικές κάρτες που ήταν συνδεδεμένες με τον πελάτη.
Συνολικά, χρεώθηκαν μη εξουσιοδοτημένες συναλλαγές ύψους 4.047,91 € μέσω τριών ξεχωριστών συναλλαγών. Ο πελάτης ταξίδευε στο εξωτερικό όταν συνέβη το περιστατικό και ως εκ τούτου δεν είχε καν πρόσβαση στην αρχική τηλεφωνική του γραμμή, την οποία είχαν καταλάβει οι απατεώνες.
Το εμπλεκόμενο μέρος εντόπισε μη εξουσιοδοτημένες συναλλαγές σε άλλους λογαριασμούς και ειδοποίησε τόσο την αστυνομία όσο και τις εμπλεκόμενες οντότητες ( ανάκτηση χρημάτων ). Η WiZink αρχικά επέστρεψε τις χρεώσεις, αλλά αργότερα τις επανέφερε, ισχυριζόμενη ότι επρόκειτο για απάτη τρίτου μέρους και αποποιείται οποιασδήποτε ευθύνης.
Σε απάντηση σε αυτή την κατάσταση, ο Σύνδεσμος Χρηστών Χρηματοοικονομικών (Asufin) υπερασπίστηκε τον καταναλωτή και μήνυσε τόσο την WiZink όσο και την Vodafone-Lowi, υποστηρίζοντας ότι η απάτη είχε συμβεί λόγω σοβαρών ελαττωμάτων ασφαλείας στη φορητότητα αριθμού και στον έλεγχο ταυτότητας πληρωμών . Ο δικαστής τελικά αποφάνθηκε υπέρ τους σε όλα τα σημεία.
Γιατί τα δικαστήρια δείχνουν το δάχτυλο στους χειριστές: «πολύ χαλαροί» έλεγχοι ταυτότητας
Ένα από τα πιο εντυπωσιακά στοιχεία της απόφασης είναι η αυστηρότητα με την οποία το δικαστήριο επικρίνει τα πρωτόκολλα της Lowi. Η απόφαση θεωρεί αποδεδειγμένο ότι η εταιρεία δεν απαιτούσε αποτελεσματική ταυτοποίηση κατά την επεξεργασία της φορητότητας αριθμού ή κατά την αποστολή της κάρτας αντικατάστασης , πέρα από την παροχή μιας ταχυδρομικής διεύθυνσης στην οποία θα έπρεπε να αποσταλεί η κάρτα - ένα πρόβλημα που συνδέεται με αποτυχίες στην επαλήθευση του χειριστή.
Ο δικαστής χαρακτήρισε τις απαιτήσεις ως «πραγματικά χαλαρές» σε σύγκριση με άλλους τηλεπικοινωνιακούς παρόχους και τόνισε ότι, στην πράξη, οποιοσδήποτε θα μπορούσε να λάβει τη νέα κάρτα SIM στη διεύθυνση που παρείχε , χωρίς να χρειάζεται να αποδείξει ότι ήταν ο κάτοχος του λογαριασμού. Το δικαστήριο θεώρησε αυτό ένα «τεράστιο ελάττωμα ασφαλείας» σε μια εποχή που τα κινητά τηλέφωνα είναι το κλειδί για την πρόσβαση σε ηλεκτρονικές τραπεζικές συναλλαγές.
Το επιχείρημα επισημαίνει επίσης ότι η Vodafone έχει ιστορικό κυρώσεων για κλοπή ταυτότητας και δόλια αντιγραφή καρτών SIM . Η Ισπανική Υπηρεσία Προστασίας Δεδομένων (AEPD) έχει ήδη επιβάλει πρόστιμο τεσσάρων εκατομμυρίων ευρώ στην εταιρεία επειδή επέτρεψε την έκδοση καρτών SIM στο όνομα τρίτων, κάτι που οδήγησε σε διάφορες τραπεζικές απάτες.
Σε αυτή τη νέα υπόθεση, το δικαστήριο κατανοεί ότι υπάρχει άμεση αιτιώδης συνάφεια μεταξύ της αμέλειας του χειριστή και της επιτυχίας της απάτης . Χωρίς τη διαδικασία φορητότητας αριθμού που διεκπεραιωνόταν χωρίς εγγυήσεις, ο δικαστής υποστηρίζει ότι δεν θα ήταν δυνατό να ληφθεί ο έλεγχος της γραμμής, να υποκλαπούν κωδικοί SMS ή να αποκτηθεί πρόσβαση στις ηλεκτρονικές τραπεζικές συναλλαγές του πελάτη.
Η απόφαση επισημαίνει επίσης ότι, παρά το γεγονός ότι ήταν γνωστό εδώ και χρόνια για τον πολλαπλασιασμό της ανταλλαγής SIM , δεν είχαν ληφθεί επαρκή μέτρα για την προστασία της διαδικασίας φορητότητας και την έκδοση διπλότυπων SIM, γεγονός που επιδεινώνει την αξιολόγηση της συμπεριφοράς του φορέα εκμετάλλευσης.
Ευθύνη της WiZink: αποτυχίες στην ισχυρή επαλήθευση πληρωμών
Ούτε η τράπεζα τα πάει καλά. Το δικαστήριο θεωρεί ότι η WiZink δεν συμμορφώθηκε με τις αυστηρές απαιτήσεις ελέγχου ταυτότητας πελατών , υπογραμμίζοντας τη σημασία της ελέγχου ταυτότητας μέσω selfie . Οι κανονισμοί για τις υπηρεσίες πληρωμών στην Ευρωπαϊκή Ένωση απαιτούν τον συνδυασμό πολλών ανεξάρτητων στοιχείων ασφαλείας (για παράδειγμα, γνώση, κατοχή και βιομετρικά στοιχεία).
Συγκεκριμένα, η απόφαση υπογραμμίζει ότι η τράπεζα δεν κατάφερε να εντοπίσει ότι το στοιχείο «κατοχής» είχε παραβιαστεί : το τερματικό που επικυρώνει τις συναλλαγές δεν βρισκόταν πλέον στα χέρια του νόμιμου κατόχου, αλλά του απατεώνα που είχε αντιγράψει την κάρτα SIM. Παρά ταύτα, το σύστημα επέτρεπε την εκτέλεση αλλαγών κωδικού πρόσβασης και συναλλαγών χωρίς να ενεργοποιούνται αποτελεσματικές ειδοποιήσεις.
Η απόφαση εφιστά επίσης την προσοχή στο πόσο εύκολα μπορούσαν να τροποποιηθούν τα διαπιστευτήρια χρησιμοποιώντας μόνο δεδομένα όπως η ταυτότητα του εμπλεκόμενου ατόμου, κάτι που, σε συνδυασμό με την κατάσχεση της κινητής τηλεφωνίας, άνοιξε έναν ουσιαστικά ελεύθερο δρόμο για τους κυβερνοεγκληματίες.
Κατά την άποψη του δικαστηρίου, η WiZink δεν κατάφερε να αποδείξει ότι οι συναλλαγές πραγματοποιήθηκαν με επαρκές επίπεδο ασφάλειας, ούτε παρείχε την απαιτούμενη τεχνική τεκμηρίωση σχετικά με τα συστήματα ελέγχου ταυτότητας, τις συσκευές που χρησιμοποιήθηκαν ή τα εσωτερικά αρχεία καταγραφής πρόσβασης. Αυτή η έλλειψη αποδεικτικών στοιχείων λειτουργεί εναντίον της.
Ο δικαστής έκρινε ότι τόσο η μη ασφαλής φορητότητα αριθμού όσο και η έλλειψη ισχυρών ελέγχων πληρωμών συνέβαλαν στη ζημία και, ως εκ τούτου, δεν ήταν σκόπιμο να αποδοθεί ευθύνη. Και οι δύο οντότητες πρέπει να θεωρηθούν από κοινού υπεύθυνες για τη ζημία που υπέστη ο πελάτης.
Κοινή καταδίκη: τράπεζες και τηλεπικοινωνίες, στο ίδιο καράβι σχετικά με την ανταλλαγή SIM
Η απόφαση του Πρωτοδικείου Αρ. 44 της Μαδρίτης δεν διατάσσει απλώς την επιστροφή των εξαπατημένων χρημάτων. Δηλώνει ότι η WiZink και η Vodafone-Lowi είναι αλληλέγγυα και εις ολόκληρον υπεύθυνες για την απάτη, πράγμα που σημαίνει ότι οποιαδήποτε από τις δύο εταιρείες μπορεί να υποχρεωθεί να καταβάλει το πλήρες ποσό, συν τους νόμιμους τόκους και τα δικαστικά έξοδα, και στη συνέχεια να υποβάλει εσωτερική αξίωση κατά της άλλης, εάν το κρίνει σκόπιμο.
Η απόφαση τονίζει ότι « χωρίς τη φορητότητα δεν θα υπήρχε πρόσβαση στο WiZink και, χωρίς την παραβίαση της σύμβασης από την WiZink, οι διατάξεις δεν θα είχαν ληφθεί». Με άλλα λόγια, και οι δύο αμελείς ενέργειες ήταν απαραίτητες για την πραγματοποίηση της απάτης.
Για τον Asufin, αυτό το στοιχείο είναι καίριο επειδή έρχεται σε ρήξη με την ιδέα ότι μόνο οι τράπεζες θα πρέπει να επωμίζονται τα νομικά βάρη της ψηφιακής απάτης. Η ένωση υποστηρίζει εδώ και καιρό ότι, σε ένα πλήρως ψηφιοποιημένο χρηματοπιστωτικό σύστημα, όλοι οι τεχνολογικοί μεσάζοντες που εμπλέκονται στην αλυσίδα πληρωμών πρέπει να μοιράζονται την ευθύνη όταν οι πράξεις τους ανοίγουν την πόρτα στο έγκλημα.
Η απόφαση υπογραμμίζει επίσης τη συμπεριφορά του θιγόμενου μέρους: το δικαστήριο κατανοεί ότι ο πελάτης ενήργησε επιμελώς, δεν ήταν απρόσεκτος με τα δεδομένα του και ανέφερε την απάτη μόλις είχε οποιεσδήποτε ενδείξεις, γεγονός που αποκλείει οποιαδήποτε προσπάθεια να του καταλογιστεί μέρος της ευθύνης.
Παρόλο που η απόφαση μπορεί να ασκηθεί έφεση εντός είκοσι ημερών, η συμβολική της σημασία είναι σαφής: θέτει ένα σχετικό προηγούμενο στην καταπολέμηση της ανταλλαγής SIM στην Ισπανία και στέλνει ένα σαφές μήνυμα στις τράπεζες και τους τηλεπικοινωνιακούς φορείς σχετικά με την υποχρέωση ενίσχυσης των συστημάτων τους.
Ένα αυξανόμενο πρόβλημα: Πρόστιμο σε Digi, Orange και O2 για παρόμοιες αποτυχίες
Η υπόθεση WiZink και Vodafone-Lowi δεν αποτελεί μεμονωμένο περιστατικό. Παράλληλα με αυτήν την απόφαση, η Ισπανική Υπηρεσία Προστασίας Δεδομένων (AEPD) έχει συγκεντρώσει ένα ιστορικό κυρώσεων εναντίον αρκετών εταιρειών τηλεπικοινωνιών για σοβαρές ελλείψεις στις διαδικασίες επαλήθευσης ταυτότητας και στον χειρισμό δόλιων αιτημάτων φορητότητας αριθμών.
Μεταξύ των πιο πρόσφατων αποφάσεων είναι ένα πρόστιμο 200.000 ευρώ που επιβλήθηκε στην Digi για μια υπόθεση ανταλλαγής SIM, στην οποία ένα τρίτο μέρος απέκτησε μια διπλότυπη κάρτα SIM χωρίς η εταιρεία να επαληθεύσει σωστά την ταυτότητα του αιτούντος. Το σχέδιο ήταν πολύ παρόμοιο: με τη γραμμή καταχωρημένη στο όνομά του, ο δράστης μπορούσε να έχει πρόσβαση στις ηλεκτρονικές τραπεζικές συναλλαγές του θύματος και να χειρίζεται το σύστημα αντί αυτού.
Αυτό το πρόστιμο προστίθεται σε ένα ακόμη πρόστιμο 150.000 ευρώ που επιβλήθηκε στον ίδιο φορέα εκμετάλλευσης για σοβαρή παραβίαση του Γενικού Κανονισμού για την Προστασία Δεδομένων. Στην περίπτωση αυτή, καταχωρήθηκε μια δόλια σύμβαση και, στη συνέχεια, το εμπλεκόμενο άτομο συμπεριλήφθηκε ακατάλληλα σε βάσεις δεδομένων είσπραξης οφειλών για ένα χρέος που δεν είχε ποτέ συσσωρεύσει.
Η Orange έχει επίσης τεθεί υπό έλεγχο. Το Εθνικό Δικαστήριο επιβεβαίωσε ότι η εταιρεία παραβίασε τους κανονισμούς προστασίας δεδομένων εκδίδοντας διπλότυπες κάρτες SIM χωρίς να επαληθεύσει σωστά την ταυτότητα του αιτούντος σε περιστατικά που σημειώθηκαν μεταξύ 2019 και 2020. Παρόλο που η Ισπανική Υπηρεσία Προστασίας Δεδομένων (AEPD) αρχικά επέβαλε πρόστιμο 700.000 ευρώ, το δικαστήριο το μείωσε σε 300.000 ευρώ σε αναγνώριση της ταχείας δράσης της εταιρείας, η οποία περιελάμβανε την αφαίρεση των περιπτέρων αυτοεξυπηρέτησης και την αυστηροποίηση των πρωτοκόλλων ενεργοποίησής της.
Από την πλευρά της, η O2 κατέγραψε την πρώτη περίπτωση ανταλλαγής eSIM που εντοπίστηκε από την Ισπανική Υπηρεσία Προστασίας Δεδομένων (AEPD) το 2023. Σε αυτό το περιστατικό, οι εισβολείς άλλαξαν τη διεύθυνση email επικοινωνίας του πελάτη και ζήτησαν ένα εικονικό αντίγραφο της γραμμής. Δεδομένου ότι επρόκειτο για eSIM, η ενεργοποίηση έγινε εξ αποστάσεως, χωρίς την ανάγκη φυσικής κάρτας, εκμεταλλευόμενοι τις αδύναμες διαδικασίες επικύρωσης για να αποκτήσουν τον πλήρη έλεγχο του αριθμού και, κατά συνέπεια, των σχετικών υπηρεσιών.
Θεσμική απάντηση: από το Φόρουμ Καλών Πρακτικών έως την ομάδα καταπολέμησης της απάτης
Η σειρά των απάτων και των κυρώσεων έχει επιτέλους θέσει την ανταλλαγή SIM σταθερά στην πολιτική και κανονιστική ατζέντα . Η Asufin, η οποία έχει παραπέμψει πολλές από αυτές τις υποθέσεις στο δικαστήριο, αποτελεί μέρος του Φόρουμ για Καλές Χρηματοοικονομικές Πρακτικές που δημιουργήθηκε από το Υπουργείο Οικονομίας, Εμπορίου και Επιχειρήσεων το 2022.
Από αυτή την πλατφόρμα, η ένωση πιέζει ώστε η οικονομική απάτη να θεωρηθεί ένα από τα πιο επείγοντα προβλήματα για τους καταναλωτές και για συντονισμένα μέτρα με τις νέες φορολογικές αρχές . Στόχος είναι οι τράπεζες, οι εταιρείες τηλεπικοινωνιών και οι αρχές να συντονίσουν συγκεκριμένα μέτρα, τόσο προληπτικά όσο και αποζημιωτικά για τα θύματα.
Μετά την τελευταία συνεδρίαση αυτού του φόρουμ, που πραγματοποιήθηκε στις 10 Δεκεμβρίου, ο Υπουργός Οικονομίας, Carlos Cuerpo, ανακοίνωσε την έναρξη λειτουργίας μιας μονάδας καταπολέμησης της απάτης που ειδικεύεται στα ψηφιακά οικονομικά εγκλήματα . Η μονάδα αυτή θα έχει άμεση συμμετοχή του τομέα των τηλεπικοινωνιών, αναγνωρίζοντας ότι το πρόβλημα δεν μπορεί πλέον να αντιμετωπιστεί αποκλειστικά από τραπεζική άποψη.
Η απόφαση του δικαστηρίου της Μαδρίτης ταιριάζει απόλυτα σε αυτή τη στρατηγική: ενισχύει την ιδέα ότι η ασφάλεια των δεδομένων και των επικοινωνιών αποτελεί νομική υποχρέωση και όχι παρελκόμενο της υπηρεσίας. Εάν τα πρωτόκολλα αποτύχουν, το οικονομικό κόστος του εγκλήματος μπορεί να βαρύνει άμεσα τις εταιρείες.
Για τους χρήστες, αυτά τα βήματα αντιπροσωπεύουν πρόοδο στην προστασία τους από ολοένα και πιο εξελιγμένες απάτες. Η προσδοκία είναι ότι, αντιμέτωποι με τον κίνδυνο να πληρώσουν εκατομμύρια σε αποζημιώσεις και πρόστιμα, οι νέες τεχνικές καταπολέμησης της απάτης και οι τεχνολογικές βελτιώσεις θα ενθαρρύνουν τις τράπεζες και τις εταιρείες τηλεπικοινωνιών να αυξήσουν τα πρότυπα ασφαλείας τους και να αντιδρούν πιο γρήγορα όταν αναφέρονται ύποπτες συναλλαγές.
Όλη αυτή η νομική και κανονιστική δραστηριότητα σκιαγραφεί μια εικόνα στην οποία η ανταλλαγή SIM παύει να είναι μια «ορφανή» απάτη χωρίς σαφείς ενόχους και γίνεται ένα πρόβλημα που αφορά ολόκληρο το ψηφιακό οικοσύστημα: από τον πάροχο που διαχειρίζεται τη γραμμή έως την οντότητα που εγκρίνει τις πληρωμές, συμπεριλαμβανομένων των δημόσιων ρυθμιστικών αρχών που καθορίζουν τους κανόνες του παιχνιδιού. Και, παρόλο που υπάρχει ακόμη δρόμος, οι τελευταίες αποφάσεις δείχνουν ότι όσοι δεν ασφαλίζουν τις διαδικασίες τους θα έχουν όλο και λιγότερο περιθώριο να κάνουν τα στραβά μάτια όταν ο λογαριασμός ενός πελάτη αδειάσει μετά από μια απλή αντιγραφή SIM.
