Jenayah siber yang dikaitkan dengan pertukaran SIM bukan lagi masalah yang terhad kepada bank sahaja. Keputusan baru-baru ini di Sepanyol juga telah menarik perhatian pengendali telefon, dengan mahkamah kini menuntut tahap keselamatan yang jauh lebih tinggi daripada mereka apabila proses mereka memudahkan penipuan kewangan.
Dalam persekitaran di mana kewangan peribadi diuruskan hampir sepenuhnya melalui telefon bimbit , keputusan Mahkamah Perbicaraan Pertama nombor 44 Madrid berfungsi sebagai amaran yang jelas: jika kad SIM mudah alih atau kad SIM pendua diproses tanpa kawalan yang mencukupi dan ini membolehkan akaun bank dikosongkan, syarikat telefon mungkin akan membayar bil bersama-sama dengan bank.
Apa yang berlaku dalam kes Madrid: kebolehgunaan nombor palsu dan kecurian lebih daripada 4.000 euro
Kes yang sedang diperiksa oleh mahkamah Madrid bermula dengan pemindahan nombor palsu dari Movistar kepada Lowi (jenama Vodafone) yang tidak pernah diminta oleh pemilik talian. Pihak ketiga berjaya mengeluarkan kad SIM pendua kepada pihak yang terjejas dan mengaktifkannya pada talian baharu atas nama mereka, tanpa sesiapa yang mengesahkan identiti mereka dengan pasti.
Dengan talian kini di bawah kawalan penjenayah, mereka dapat menerima mesej SMS dan kod pengesahan yang diperlukan untuk mengakses perbankan dalam talian WiZink. Mereka menukar kelayakan log masuk, meminta kata laluan baharu dan membuat beberapa transaksi menggunakan dua kad kredit yang dipautkan kepada pelanggan.
Secara keseluruhan, transaksi tanpa kebenaran berjumlah €4.047,91 telah dicaj melalui tiga transaksi berasingan. Pelanggan tersebut sedang melancong ke luar negara ketika kejadian itu berlaku dan oleh itu dia tidak mempunyai akses kepada talian telefon asal mereka, yang telah diambil alih oleh penipu.
Pihak yang terjejas mengesan transaksi tanpa kebenaran pada akaun lain dan memaklumkan kepada pihak polis dan entiti yang terlibat ( pemulihan dana ). WiZink pada mulanya membayar balik caj tersebut, tetapi kemudian mengembalikannya, mendakwa ia adalah penipuan pihak ketiga dan menafikan tanggungjawab.
Sebagai tindak balas kepada situasi ini, Persatuan Pengguna Kewangan (Asufin) mengambil pembelaan pengguna dan menyaman WiZink dan Vodafone-Lowi, dengan alasan bahawa penipuan itu berlaku disebabkan oleh kelemahan keselamatan yang serius dalam kebolehgunaan nombor dan pengesahan pembayaran . Hakim akhirnya memutuskan untuk memihak kepada mereka dalam semua perkara.
Mengapa mahkamah menuding jari ke arah pengendali: pemeriksaan identiti yang "sangat longgar"
Salah satu elemen yang paling ketara dalam keputusan itu ialah ketegasan yang digunakan mahkamah untuk mengkritik protokol Lowi. Penghakiman itu menganggap ia terbukti bahawa syarikat itu tidak memerlukan pengenalan yang berkesan semasa memproses kebolehgunaan nombor atau semasa menghantar kad SIM gantian , selain daripada memberikan alamat pos yang sepatutnya dihantar kad tersebut—masalah yang dikaitkan dengan kegagalan dalam pengesahan pengendali.
Hakim menyifatkan keperluan tersebut sebagai "sangat longgar" berbanding pengendali telekomunikasi lain dan menekankan bahawa, dalam praktiknya, sesiapa sahaja boleh menerima kad SIM baharu di alamat yang diberikan , tanpa perlu membuktikan bahawa mereka adalah pemegang akaun. Mahkamah menganggap ini sebagai "kecacatan keselamatan yang besar" pada masa telefon bimbit merupakan kunci untuk mengakses perbankan dalam talian.
Hujah itu juga menunjukkan bahawa Vodafone mempunyai sejarah sekatan untuk kecurian identiti dan penduaan kad SIM palsu . Agensi Perlindungan Data Sepanyol (AEPD) telah mendenda syarikat itu empat juta euro kerana membenarkan pengeluaran kad SIM atas nama pihak ketiga, yang mengakibatkan pelbagai penipuan bank.
Dalam kes baharu ini, mahkamah memahami bahawa terdapat kaitan kausal langsung antara kecuaian pengendali dan kejayaan penipuan tersebut . Hakim berpendapat tanpa proses kebolehgunaan nombor yang dikendalikan tanpa jaminan, adalah mustahil untuk mengawal talian, memintas kod SMS atau mengakses perbankan dalam talian pelanggan.
Keputusan itu juga menyatakan bahawa, meskipun telah mengetahui selama bertahun-tahun tentang percambahan pertukaran SIM , langkah-langkah yang mencukupi tidak diambil untuk melindungi proses kebolehgunaan dan pengeluaran SIM pendua, yang memburukkan lagi penilaian terhadap tingkah laku pengendali.
Tanggungjawab WiZink: kegagalan dalam pengesahan pembayaran yang kukuh
Bank itu juga tidak berjaya. Mahkamah berpendapat bahawa WiZink gagal mematuhi keperluan pengesahan pelanggan yang ketat , dengan menekankan kepentingan pengesahan swafoto . Peraturan perkhidmatan pembayaran di Kesatuan Eropah memerlukan gabungan beberapa elemen keselamatan bebas (pengetahuan, pemilikan dan biometrik, sebagai contoh).
Secara khususnya, keputusan itu menekankan bahawa bank gagal mengesan bahawa elemen "pemilikan" telah dikompromikan : terminal yang mengesahkan transaksi tidak lagi berada di tangan pemilik yang sah, tetapi sebaliknya penipu yang telah menduplikasi kad SIM. Walaupun begitu, sistem membenarkan perubahan kata laluan dan transaksi dilaksanakan tanpa mencetuskan sebarang amaran yang berkesan.
Keputusan itu juga menarik perhatian kepada betapa mudahnya kelayakan boleh diubah suai hanya menggunakan data seperti kad pengenalan orang yang terjejas, sesuatu yang, digabungkan dengan perampasan talian mudah alih, membuka laluan yang hampir bebas untuk penjenayah siber.
Pada pandangan mahkamah, WiZink gagal menunjukkan bahawa transaksi tersebut telah dijalankan dengan tahap keselamatan yang mencukupi, dan juga tidak menyediakan dokumentasi teknikal yang diperlukan mengenai sistem pengesahan, peranti yang digunakan atau log akses dalaman. Kekurangan bukti ini menentang mereka.
Hakim memutuskan bahawa kedua-dua kebolehgunaan nombor yang tidak selamat dan kekurangan kawalan pembayaran yang mantap merupakan faktor penyumbang kepada kerosakan tersebut , dan oleh itu, adalah tidak wajar untuk saling menyalahkan. Kedua-dua entiti mesti dipertanggungjawabkan bersama atas kerosakan yang dialami oleh pelanggan.
Kecaman bersama: bank dan telekomunikasi, dalam keadaan yang sama mengenai pertukaran SIM
Keputusan Mahkamah Perbicaraan Pertama No. 44 Madrid bukan sahaja memerintahkan pemulangan wang yang ditipu. Ia mengisytiharkan bahawa WiZink dan Vodafone-Lowi bertanggungjawab secara bersama dan berasingan atas penipuan tersebut, yang bermaksud mana-mana syarikat boleh dipaksa membayar jumlah penuh, ditambah faedah dan kos guaman, dan kemudian membuat tuntutan dalaman terhadap pihak yang lain jika difikirkan sesuai.
Keputusan itu menekankan bahawa “ tanpa kebolehgunaan, tidak akan ada akses kepada WiZink, dan tanpa pelanggaran kontrak WiZink, peruntukan tersebut tidak akan dibuat.” Dalam erti kata lain, kedua-dua tindakan kecuaian adalah penting untuk penipuan itu dilakukan.
Bagi Asufin, elemen ini penting kerana ia bercanggah dengan idea bahawa hanya bank sahaja yang harus menanggung beban undang-undang penipuan digital. Persatuan itu telah lama berhujah bahawa, dalam sistem kewangan digital sepenuhnya, semua perantara teknologi yang terlibat dalam rantaian pembayaran mesti berkongsi tanggungjawab apabila tindakan mereka membuka pintu kepada jenayah.
Keputusan itu juga mengetengahkan tindakan pihak yang terjejas: mahkamah memahami bahawa anak guam bertindak dengan tekun, tidak cuai dengan datanya , dan melaporkan penipuan itu sebaik sahaja dia mempunyai sebarang petunjuk, yang menolak sebarang percubaan untuk menuduhnya bersalah.
Walaupun keputusan itu boleh dirayu dalam tempoh dua puluh hari, kepentingan simboliknya adalah jelas: ia menetapkan duluan yang relevan dalam memerangi pertukaran SIM di Sepanyol dan menghantar mesej yang jelas kepada bank dan pengendali telekomunikasi tentang kewajipan untuk mengukuhkan sistem mereka.
Masalah yang semakin meningkat: Digi, Orange dan O2 didenda kerana kegagalan yang serupa
Kes WiZink dan Vodafone-Lowi bukanlah insiden terpencil. Selain keputusan ini, Agensi Perlindungan Data Sepanyol (AEPD) telah menyusun sejarah sekatan terhadap beberapa syarikat telekomunikasi atas kekurangan serius dalam proses pengesahan identiti mereka dan dalam pengendalian permintaan kebolehpindahan nombor palsu.
Antara keputusan terbaru ialah denda €200.000 yang dikenakan terhadap Digi atas kes pertukaran SIM di mana pihak ketiga memperoleh kad SIM pendua tanpa syarikat mengesahkan identiti pemohon dengan betul. Skimnya sangat serupa: dengan talian yang didaftarkan atas nama mereka, pelaku dapat mengakses perbankan dalam talian mangsa dan mengendalikan sistem tersebut di tempat mereka.
Denda ini adalah tambahan kepada penalti €150.000 lain yang dikenakan ke atas pengendali yang sama atas pelanggaran serius Peraturan Perlindungan Data Umum. Dalam kes itu, kontrak palsu telah didaftarkan, dan seterusnya, individu yang terjejas telah dimasukkan secara tidak wajar dalam pangkalan data kutipan hutang untuk hutang yang tidak pernah mereka tanggung.
Orange juga telah diteliti. Mahkamah Kebangsaan mengesahkan bahawa syarikat itu melanggar peraturan perlindungan data dengan mengeluarkan kad SIM pendua tanpa mengesahkan identiti pemohon dengan betul dalam insiden yang berlaku antara 2019 dan 2020. Walaupun Agensi Perlindungan Data Sepanyol (AEPD) pada mulanya mengenakan denda sebanyak €700.000, mahkamah mengurangkannya kepada €300.000 sebagai pengiktirafan atas tindakan pantas syarikat itu, termasuk menghapuskan kios layan diri dan mengetatkan protokol pengaktifannya.
Bagi pihaknya, O2 mencatatkan kes pertama pertukaran eSIM yang dikesan oleh Agensi Perlindungan Data Sepanyol (AEPD) pada tahun 2023. Dalam kejadian ini, penyerang telah menukar alamat e-mel hubungan pelanggan dan meminta pendua maya talian tersebut. Memandangkan ia merupakan eSIM, pengaktifan dilakukan dari jauh, tanpa memerlukan kad fizikal, memanfaatkan prosedur pengesahan yang lemah untuk mendapatkan kawalan penuh ke atas nombor tersebut dan, akibatnya, perkhidmatan yang berkaitan.
Respons institusi: daripada Forum Amalan Baik kepada briged anti-penipuan
Rentetan penipuan dan sekatan akhirnya telah meletakkan pertukaran SIM dalam agenda politik dan kawal selia . Asufin, yang telah membawa banyak kes ini ke mahkamah, merupakan sebahagian daripada Forum Amalan Kewangan Baik yang diwujudkan oleh Kementerian Ekonomi, Perdagangan dan Perniagaan pada tahun 2022.
Dari platform ini, persatuan ini telah mendesak agar penipuan kewangan dianggap sebagai salah satu masalah paling mendesak bagi pengguna dan untuk langkah-langkah yang diselaraskan dengan pihak berkuasa cukai yang baharu . Matlamatnya adalah untuk bank, syarikat telekomunikasi dan pihak berkuasa menyelaraskan langkah-langkah konkrit, baik pencegahan mahupun pampasan untuk mangsa.
Susulan sesi terakhir forum ini yang diadakan pada 10 Disember, Menteri Ekonomi, Carlos Cuerpo, mengumumkan pelancaran unit anti-penipuan yang mengkhusus dalam jenayah kewangan digital . Unit ini akan mempunyai penyertaan langsung sektor telekomunikasi, mengakui bahawa masalah ini tidak lagi dapat ditangani semata-mata dari perspektif perbankan.
Keputusan mahkamah Madrid sangat sesuai dengan strategi ini: ia mengukuhkan idea bahawa keselamatan data dan komunikasi adalah kewajipan undang-undang , bukan aksesori kepada perkhidmatan tersebut. Jika protokol gagal, kos ekonomi jenayah tersebut boleh jatuh secara langsung ke atas syarikat.
Bagi pengguna, langkah-langkah ini mewakili kemajuan dalam melindungi diri mereka daripada penipuan yang semakin canggih. Jangkaannya ialah, berhadapan dengan risiko perlu membayar berjuta-juta pampasan dan denda, teknik anti-penipuan baharu dan penambahbaikan teknologi akan menggalakkan bank dan syarikat telekomunikasi untuk meningkatkan piawaian keselamatan mereka dan bertindak balas dengan lebih pantas apabila transaksi yang mencurigakan dilaporkan.
Semua aktiviti perundangan dan kawal selia ini menggambarkan satu gambaran di mana pertukaran SIM tidak lagi menjadi penipuan "yatim piatu" tanpa punca yang jelas dan menjadi masalah yang dikongsi oleh seluruh ekosistem digital: daripada pengendali yang menguruskan talian kepada entiti yang membenarkan pembayaran, termasuk pengawal selia awam yang menetapkan peraturan permainan; dan, walaupun masih ada jalan untuk ditempuh, keputusan terkini menunjukkan bahawa mereka yang tidak mengamankan proses mereka akan mempunyai ruang yang semakin berkurangan untuk berpaling tadah apabila akaun pelanggan dikosongkan selepas penduaan SIM yang mudah.
