Nueva multa para Digi: se repite el problema por la estafa del SIM Swapping

En esta ocasión, se trata de un caso que se dio durante el mes de abril de hace cuatro años y fue a finales del 2024 cuando se dictó una sentencia de resolución por la propia Agencia Española de Protección de Datos. Sin embargo, días después, el operador low cost presentó un recurso de reposición con el objetivo de evitar la multa de la AEPD. Ahora, sale la resolución definitiva por la que el operador es sancionado con el pago de 200.000 euros.

Si se tienen en cuenta los datos de esta agencia, se puede ver como la operadora rumana ya cuenta con una suma total de sanciones que superan más de 1.2 millones de euros -todas estas relacionadas con el incumplimiento de manera similar de la legislación actual que existe en la protección de datos de los consumidores-.

Multa por duplicar una SIM sin permiso

El problema de esta estafa, que también está presente en otros operadores, está en que los ciberdelincuentes logran un duplicado de la SIM de un cliente sin que el abonado real haya dado la autorización. Por tanto, la sanción se da por la emisión de una tarjeta móvil de manera fraudulenta. Además, se trata de una trampa en la que Digi ya ha caído en más una ocasión. En 2021 cayó más de una vez -en abril y diciembre-, al igual que en 2023 que la Agencia Española de Protección de Datos abrió más de un expediente sancionador contra este operador -dos en marzo y uno en junio-.

La cuestión es que ahora la AEPD ha desestimado el recurso que interpuso a finales del año pasado la operadora low cost y, por tanto, Digi tendrá que hacer frente a la sanción de 200.000 euros impuesta por llegar a emitir de forma fraudulenta un duplicado de una tarjeta SIM a un tercero que no tenía la autorización necesaria.

La sanción impuesta a este operador está basada en la infracción del artículo 6.1 del Reglamento General de Protección de Datos (RGPD) -tipificada en el Artículo 83.5 del RGPD-. Y es que esta resolución vuelve a confirmar que si se emite un duplicado de una tarjeta móvil es necesaria la verificación de la identidad del solicitante con el fin de comprobar que sea el cliente de verdad -y no una tercera persona cualquiera-. Al igual que es necesario llegar a adoptar medidas técnicas, así como organizativas, que sean adecuadas para evitar que se sigan dando este tipo de estafas con las tarjetas SIM.

Cómo se gestó la estafa

El caso se remonta en abril de 2021, cuando un tercero se personó en un punto de venta de la operadora Digi y, en ese momento, logró hacerse con un duplicado de la tarjeta SIM de un verdadero abonado del operador. Con este acceso, el ciberdelincuente logró obtener los códigos de verificación y el control absoluto del número de teléfono de la víctima, por lo que logró ejecutar operaciones bancarias en nombre del titular, obviamente sin su consentimiento. Y todo porque la operadora no llegó a comprobar correctamente la identidad de la persona que había solicitado dicho duplicado, al igual que tampoco demostró que tuviera medidas suficientes para evitar este tipo de suplantación. Horas más tarde, el verdadero abonado acudió a otro punto de venta para solicitar una nueva SIM después de haberse quedado sin acceso a la red móvil de la operadora.

En definitiva, la AEPD rechaza el recurso de la teleco y se marca la misma resolución dictada en su momento contra la operadora rumana por la que debe pagar una sanción de 200.000 euros.