La Audiencia Nacional ha confirmado seis multas de 70.000 euros y una de 200.000 € a la operadora por su gestión de los duplicados de SIM de forma fraudulenta. La cifra confirmada ya asciende a 620.000 euros y la batalla judicial total se acerca a los dos millones.
La Agencia Española de Protección de Datos lleva años sancionando a Digi por el mismo problema: duplicados de tarjetas SIM emitidos sin una verificación adecuada de la identidad del solicitante. Ese fallo es la puerta de entrada al SIM swapping, la estafa en la que el delincuente se hace con el control de tu línea para interceptar códigos bancarios y vaciar tu cuenta.
Este miércoles, El Confidencial ha revelado que la operadora ha perdido siete pleitos contra la AEPD en la Audiencia Nacional por estas sanciones, con varios fallos del Tribunal que se produjeron entre los días 16 y 17 del pasado mes de septiembre. Las siete sanciones fueron recurridas ante la Audiencia Nacional en su momento, tras agotar todas las vías previas, y ahora han empezado a resolverse.
Un proceso que costaría en torno a los dos millones de euros
Según los números que maneja El Confidencial las siete derrotas judiciales avalan seis sanciones de 70.000 euros y una de 200.000 euros. La AEPD viene aplicando este segundo importe a los casos más graves, incluido uno de un duplicado de eSIM realizado sin conocimiento ni consentimiento del titular del dato. Además, siguen en los tribunales otros procesos similares por valor de unos 1,35 millones de euros, lo que acerca la factura total de esta batalla a los 2 millones
Es importante tener en cuenta que las multas confirmadas por la Audiencia Nacional todavía no son firmes, porque cabe recurso ante el Tribunal Supremo. Aun así, el criterio del tribunal es una mala señal para la operadora, que también ha recibido otras sanciones de la AEPD en el pasado.
El origen de todas estas sanciones es el mismo. Cuando alguien solicita el duplicado de una tarjeta SIM, la operadora tiene la obligación de verificar que quien lo pide es el titular real de la línea. En los casos sancionados, esa verificación falló y el duplicado acabó en manos de terceros.
Diferentes casos
Los expedientes desvelados por El Confidencial dibujan un mismo patrón. El expediente más desfavorable para la operadora corresponde a enero de 2022. Una clienta perdió el servicio de forma repentina y la causa fue una solicitud de duplicado presentada con sus datos. Digi rechazó esa primera petición y dejó registrada la sospecha de que la abonada podía estar siendo víctima de una suplantación de identidad. La protección, sin embargo, duró solo dos días y en el segundo intento lograron hacerse con el control de su SIM.
El segundo caso tiene un desarrollo prácticamente idéntico y se produjo en 2022. Tras un primer intento de fraude, la operadora reforzó la línea de la abonada con una palabra clave de verificación adicional. El estafador consiguió sortear esa exigencia y obtener un nuevo duplicado en otro punto de venta de la compañía. Para el tribunal, la cuestión no fue la ausencia de medidas de seguridad, sino su insuficiencia en la práctica para impedir el fraude.
La sanción más elevada de las siete procede de un expediente que nació de una reclamación presentada por Facua. La víctima es una clienta cuyo número fue duplicado el 25 de diciembre de 2021, y ese mismo día su cuenta registró movimientos que ella no había autorizado. En las anotaciones internas del expediente quedó recogido, literalmente, que «alguien está haciéndose pasar por la titular» y que le estaban robando dinero mediante Bizum.
Un riesgo para los clientes
Si tienes dudas sobre si tu tarjeta podría haber sido clonada, la realidad es que detectarlo es muy sencillo, puesto que los síntomas de un SIM swapping son reconocibles. Si tu móvil se queda sin cobertura de repente sin explicación o dejas de recibir llamadas y mensajes cuando estás en zonas con buena señal, actúa de inmediato: llama a tu operadora desde otro teléfono, solicita el bloqueo del duplicado y avisa a tu banco.
Desde la firma, confirman que ya han reforzado sus procedimientos de verificación de identidad con medidas adicionales para que este tipo de situaciones no se vuelvan a producir.