Un grupo de ciberdelincuentes utilizó la técnica de SIM swapping para engañar a la compañía y al titular de una línea móvil para recibir un duplicado de una SIM sin su consentimiento. El resultado ha sido una factura en forma de sanción de más de 100.000 € por parte de la Agencia Española de Protección de Datos.
El SIM swapping es una de las estafas que mayor popularidad han alcanzado durante los últimos años. A medida que muchos de nosotros nos hemos acostumbrado a tener en el móvil absolutamente todos nuestros datos personales y bancarios, el interés de los estafadores por hacerse con el control de nuestro smartphone se ha convertido en uno de los grandes focos de atención.
Digi ha sido el último operador en recibir una sanción por parte de la Agencia Española de Protección de Datos después de que uno de los agentes del servicio de atención al cliente que tiene en plantilla no hiciera las comprobaciones oportunas cuando recibió una petición para duplicar una tarjeta SIM. El resultado ha sido una sanción de 120.000 € que se suma a los casi dos millones de euros que la firma ha recibido en sanciones por este mismo concepto.
Digi recibe 120.000 € de sanción
La Agencia Española de Protección de Datos ha desestimado el recurso de reposición interpuesto por parte de Digi Spain Telecom y ha ratificado la sanción de 120.000 €, después de haber comprobado que el personal de la compañía ha infringido el artículo 6.1 del Reglamento General de Protección de Datos, como consecuencia de no haber tratado de forma lícita los datos personales de sus clientes, después de haber recibido una petición para solicitar un duplicado de una tarjeta SIM, según han informado desde Cinco Días (El País).
Los hechos se remontan al año 2022, cuando un cliente de Digi inició una reclamación después de haber sufrido una interrupción de su servicio telefónico. Dicha interrupción fue motivada porque un tercero se hizo con un duplicado de su tarjeta SIM, sin su consentimiento, y tuvo durante un periodo determinado acceso a todos sus datos personales y, en general, al control de su línea.
Una vez se hizo con el control de la línea, el estafador recibía todos los SMS de verificación de las entidades bancarias para efectuar transferencias y cargos no autorizados
Casi dos millones acumulados en sanciones
Según ha estimado la AEPD después de haber analizado el caso en cuestión, Digi actuó de forma negligente, puesto que no tuvo en cuenta todos los factores de riesgo de dicha operación. Uno de los aspectos concluyentes es que la compañía obvió que el duplicado se estaba pidiendo desde una comunidad autónoma que no era la de residencia por parte del titular, lo que debió de haber requerido una comprobación extra de forma proactiva.
Digi trató de aminorar la cantidad que se le requiere por este hecho o de sustituir la sanción por un apercibimiento. Sin embargo, la AEPD ha considerado que no es necesario, puesto que la multa se sitúa muy por debajo del 4% del volumen de negocio anual de la compañía, que es uno de los límites impuestos.
Pese a ello, desde Digi han optado por acudir a la Audiencia Nacional, al considerar que la firma ha reforzado los controles de verificación de identidad y está haciendo lo posible por evitar estos SIM swappings. De momento, desde Digi todavía no han abonado las sanciones, al estar todas judicialiciadas, a la espera de que la Justicia falle a favor de la firma.