SIM-korttien vaihtoon liittyvä kyberrikollisuus ei ole enää vain pankkien ongelma. Espanjassa äskettäin annettu päätös on myös nostanut puhelinoperaattorit huomion keskiöön, sillä tuomioistuimet vaativat heiltä nyt paljon korkeampaa turvallisuustasoa, kun heidän prosessinsa helpottavat talouspetoksia.
Ympäristössä, jossa henkilökohtaista taloutta hoidetaan lähes kokonaan matkapuhelimella , Madridin ensimmäisen oikeusasteen tuomioistuimen numero 44 päätös toimii selkeänä varoituksena: jos SIM-kortin siirrettävyys tai kaksoiskappale käsitellään ilman asianmukaista valvontaa ja tämä mahdollistaa pankkitilien tyhjentämisen, puhelinyhtiö voi joutua maksamaan laskun pankin ohella.
Mitä tapahtui Madridin tapauksessa: väärennetty numeronsiirto ja yli 4 000 euron varkaus
Madridin tuomioistuimen tutkittavana oleva tapaus alkaa vilpillisestä numeronsiirrosta Movistarilta Lowille (Vodafonen tuotemerkki), jota linjan omistaja ei koskaan pyytänyt. Kolmas osapuoli onnistui saamaan kopion SIM-kortista asianomaiselle osapuolelle ja aktivoimaan sen uudella linjalla hänen nimissään ilman, että kukaan olisi luotettavasti varmistanut heidän henkilöllisyyttään.
Nyt kun linja oli rikollisten hallussa, he pystyivät vastaanottamaan tekstiviestejä ja vahvistuskoodeja, joita tarvittiin WiZinkin verkkopankkiin pääsyyn. He muuttivat kirjautumistietoja, pyysivät uusia salasanoja ja tekivät useita maksutapahtumia kahdella asiakkaaseen liitetyllä luottokortilla.
Luvattomista maksutapahtumista veloitettiin yhteensä 4 047,91 euroa kolmen erillisen maksutapahtuman kautta. Asiakas oli matkalla ulkomailla tapahtumahetkellä, eikä hänellä siksi ollut edes pääsyä alkuperäiseen puhelinlinjaansa, jonka huijarit olivat vallanneet.
Asianosainen havaitsi luvattomia tapahtumia muilla tileillä ja ilmoitti asiasta sekä poliisille että asianosaisille tahoille ( varojen takaisinperintä ). WiZink hyvitti aluksi veloitukset, mutta myöhemmin palautti ne väittäen, että kyseessä oli kolmannen osapuolen huijaus, ja kiistäen vastuunsa.
Vastauksena tähän tilanteeseen Association of Financial Users (Asufin) puolusti kuluttajia ja haastoi sekä WiZinkin että Vodafone-Lowin oikeuteen väittäen, että petos johtui numeron siirrettävyyden ja maksujen todennuksen vakavista tietoturva-aukoista . Tuomari päätti lopulta heidän edukseen kaikissa kohdissa.
Miksi tuomioistuimet syyttävät toimijoita: "todella löyhät" henkilöllisyystarkastukset
Yksi tuomion silmiinpistävimmistä kohdista on se, miten voimakkaasti tuomioistuin kritisoi Lowin protokollia. Tuomiossa katsotaan todistetuksi, että yritys ei vaatinut tehokasta tunnistautumista numeronsiirtoa käsitellessään tai SIM-kortin vaihtoa lähettäessään , lukuun ottamatta postiosoitteen antamista, johon kortti tulisi lähettää – ongelma, joka liittyy operaattorin varmennuksen epäonnistumisiin.
Tuomari kuvaili vaatimuksia "todella löyhiksi" verrattuna muihin teleoperaattoreihin ja korosti, että käytännössä kuka tahansa voi saada uuden SIM-kortin annettuun osoitteeseen ilman, että hänen tarvitsee todistaa olevansa tilinhaltija. Oikeus piti tätä "valtavana tietoturva-aukkona" aikana, jolloin matkapuhelimet ovat avain verkkopankkiin pääsyyn.
Argumentissa huomautetaan myös, että Vodafonella on historiaa identiteettivarkauksista ja SIM-korttien petollisesta kopioinnista . Espanjan tietosuojavirasto (AEPD) on jo määrännyt yhtiölle neljän miljoonan euron sakon SIM-korttien myöntämisestä kolmansien osapuolten nimissä, mikä on johtanut erilaisiin pankkipetoksiin.
Tässä uudessa tapauksessa oikeus katsoo, että operaattorin huolimattomuuden ja petoksen onnistumisen välillä on suora syy-yhteys . Tuomarin mukaan ilman takuita hoidettua numeronsiirtoprosessia ei olisi ollut mahdollista ottaa linjan hallintaan, siepata tekstiviestikoodeja tai käyttää asiakkaan verkkopankkia.
Päätöksessä todetaan myös, että vaikka SIM-korttien vaihdon yleistymisestä tiedettiin vuosia , riittäviä toimenpiteitä ei ollut toteutettu kortin siirrettävyysprosessin ja kaksoiskappaleiden myöntämisen turvaamiseksi, mikä vaikeuttaa operaattorin toiminnan arviointia.
WiZinkin vastuu: vahvan maksutunnistuksen puutteet
Pankkikaan ei pärjää hyvin. Oikeus katsoo, että WiZink ei noudattanut vahvan asiakkaan todennuksen vaatimuksia , mikä korostaa selfie-todennuksen merkitystä . Euroopan unionin maksupalvelusäännökset edellyttävät useiden toisistaan riippumattomien turvallisuuselementtien yhdistämistä (esimerkiksi tieto, hallussapito ja biometriset tiedot).
Tarkemmin sanottuna päätöksessä korostetaan, että pankki ei havainnut "omistusoikeuden" vaarantumista : maksutapahtumia vahvistava pääte ei ollut enää laillisen omistajan, vaan SIM-kortin kopioineen huijarin hallussa. Tästä huolimatta järjestelmä salli salasanan vaihdot ja maksutapahtumat ilman tehokkaita hälytyksiä.
Päätöksessä kiinnitetään myös huomiota siihen, kuinka helposti tunnistetietoja voitiin muokata käyttämällä pelkästään tietoja, kuten asianomaisen henkilön henkilökorttia, mikä yhdistettynä matkapuhelinlinjan kaappaukseen avasi käytännössä vapaan polun kyberrikollisille.
Oikeuden mukaan WiZink ei pystynyt osoittamaan, että maksutapahtumat oli suoritettu riittävän turvallisesti, eikä se toimittanut vaadittua teknistä dokumentaatiota todennusjärjestelmistä, käytetyistä laitteista tai sisäisistä käyttölokeista. Tämä todisteiden puute puhuu sitä vastaan.
Tuomari totesi, että sekä turvaton numeron siirrettävyys että vankan maksuvalvonnan puute olivat myötävaikuttavia tekijöitä vahinkoon , eikä siksi ollut asianmukaista jakaa syyllisyyttä. Molempien tahojen on oltava yhteisvastuussa asiakkaan kärsimästä vahingosta.
Yhteinen tuomio: pankit ja teleoperaattorit samassa veneessä SIM-korttien vaihdon suhteen
Madridin ensimmäisen oikeusasteen tuomioistuimen nro 44 päätös ei ainoastaan määrää petosrahojen palauttamisesta. Siinä todetaan, että WiZink ja Vodafone-Lowi ovat yhteisvastuullisesti vastuussa petoksesta, mikä tarkoittaa, että kumpi tahansa yhtiö voidaan velvoittaa maksamaan koko summa sekä oikeudenkäyntikulut ja korot ja nostamaan sitten sisäinen vaatimus toista vastaan, jos se katsoo sen asianmukaiseksi.
Päätöksessä korostetaan, että ” ilman siirrettävyyttä WiZinkiin ei olisi ollut pääsyä, ja ilman WiZinkin sopimusrikkomusta ehtoja ei olisi tehty.” Toisin sanoen molemmat huolimattomuudet olivat välttämättömiä petoksen toteuttamiselle.
Asufinille tämä elementti on keskeinen, koska se rikkoo ajatusta, jonka mukaan vain pankkien tulisi kantaa digitaalisen petoksen oikeudellinen taakka. Yhdistys on jo pitkään väittänyt, että täysin digitalisoidussa rahoitusjärjestelmässä kaikkien maksuketjuun osallistuvien teknologian välittäjien on jaettava vastuu, kun heidän toimintansa avaavat oven rikollisuudelle.
Päätöksessä korostetaan myös asianosaisen toimintaa: oikeus katsoo, että asiakas toimi huolellisesti, ei ollut huolimaton tietojensa kanssa ja ilmoitti petoksesta heti, kun hänellä oli viitteitä siitä, mikä sulkee pois kaikki yritykset vierittää osaa vastuusta hänelle.
Vaikka päätöksestä voi valittaa kahdenkymmenen päivän kuluessa, sen symbolinen merkitys on selvä: se luo merkittävän ennakkotapauksen taistelussa SIM-korttien vaihtoa vastaan Espanjassa ja lähettää pankeille ja teleoperaattoreille selkeän viestin velvollisuudesta vahvistaa järjestelmiään.
Kasvava ongelma: Digi, Orange ja O2 sakotettiin vastaavista vioista
WiZinkin ja Vodafone-Lowin tapaus ei ole yksittäistapaus. Tämän päätöksen ohella Espanjan tietosuojavirasto (AEPD) on koonnut joukon sanktioita useille teleoperaattoreille vakavien puutteiden vuoksi niiden henkilöllisyyden varmennusprosesseissa ja vilpillisten numeronsiirtopyyntöjen käsittelyssä.
Yksi tuoreimmista päätöksistä on Digille määrätty 200 000 euron sakko SIM-kortin vaihtotapauksesta , jossa kolmas osapuoli hankki kopion SIM-kortista ilman, että yritys oli asianmukaisesti varmistanut hakijan henkilöllisyyden. Menetelmä oli hyvin samankaltainen: tekijä pystyi käyttämään uhrin verkkopankkia ja käyttämään järjestelmää uhrin puolesta, kun verkkokortti oli rekisteröity hänen nimiinsä.
Tämä sakko on lisäys samalle toimijalle määrättyyn toiseen 150 000 euron sakkoon yleisen tietosuoja-asetuksen vakavasta rikkomisesta. Kyseisessä tapauksessa rekisteröitiin vilpillinen sopimus, ja sen jälkeen asianomainen henkilö lisättiin virheellisesti perintätietokantoihin velan vuoksi, jota hän ei ollut koskaan ottanut.
Myös Orange on ollut tutkinnan kohteena. Kansallinen tuomioistuin vahvisti, että yritys rikkoi tietosuojasäännöksiä myöntämällä kaksoiskappaleita SIM-kortteja ilman asianmukaista hakijan henkilöllisyyden varmentamista vuosina 2019–2020 sattuneissa tapauksissa. Vaikka Espanjan tietosuojavirasto (AEPD) määräsi alun perin 700 000 euron sakon, tuomioistuin alensi sen 300 000 euroon tunnustuksena yrityksen nopeasta toiminnasta, johon sisältyi itsepalvelukioskien poistaminen ja aktivointiprotokollien tiukentaminen.
O2 puolestaan rekisteröi ensimmäisen Espanjan tietosuojaviranomaisen (AEPD) havaitseman eSIM-kortin vaihtotapauksen vuonna 2023. Tässä tapauksessa hyökkääjät muuttivat asiakkaan sähköpostiosoitetta ja pyysivät linjan virtuaalista kopiota. Koska kyseessä oli eSIM, aktivointi tehtiin etänä ilman fyysistä korttia, hyödyntäen heikkoja validointimenettelyjä numeron ja sitä kautta siihen liittyvien palveluiden täydellisen hallinnan saamiseksi.
Institutionaalinen vastaus: hyvien käytäntöjen foorumista petostentorjuntaryhmään
Petosten ja pakotteiden sarja on vihdoin asettanut SIM-korttien vaihdon vahvasti poliittiselle ja sääntelyyn liittyvälle asialistalle . Asufin, joka on vienyt monia näistä tapauksista oikeuteen, on osa talous-, kauppa- ja elinkeinoministeriön vuonna 2022 perustamaa hyvien rahoituskäytäntöjen foorumia.
Tältä pohjalta yhdistys on painostanut, että talouspetoksia pidetään yhtenä kuluttajien kannalta kiireellisimmistä ongelmista ja että toimenpiteitä koordinoidaan uusien veroviranomaisten kanssa . Tavoitteena on, että pankit, teleyritykset ja viranomaiset koordinoivat konkreettisia toimenpiteitä, sekä ennaltaehkäiseviä että uhreille korvauksia tarjoavia.
Foorumin viimeisen, 10. joulukuuta pidetyn istunnon jälkeen talousministeri Carlos Cuerpo ilmoitti digitaalisiin talousrikoksiin erikoistuneen petostentorjuntayksikön perustamisesta . Televiestintäala osallistuu suoraan tähän yksikköön, koska ongelmaa ei voida enää ratkaista pelkästään pankkialan näkökulmasta.
Madridin tuomioistuimen päätös sopii täydellisesti tähän strategiaan: se vahvistaa ajatusta, että tieto- ja viestintäturvallisuus on lakisääteinen velvoite , ei palvelun lisäosa. Jos protokollat pettävät, rikoksen taloudelliset kustannukset voivat langeta suoraan yrityksille.
Käyttäjille nämä toimenpiteet merkitsevät edistystä suojautumisessa yhä kehittyneemmiltä huijauksilta. Odotuksena on, että miljoonien eurojen korvausten ja sakkojen riskin edessä uudet petostentorjuntatekniikat ja teknologiset parannukset kannustavat pankkeja ja teleyrityksiä nostamaan turvallisuusstandardejaan ja reagoimaan nopeammin, kun epäilyttävistä tapahtumista ilmoitetaan.
Kaikki tämä oikeudellinen ja sääntelyyn liittyvä toiminta maalaa kuvan, jossa SIM-kortin vaihto lakkaa olemasta "orpo" petos ilman selkeitä syyllisiä ja siitä tulee koko digitaalisen ekosysteemin yhteinen ongelma: linjaa hallinnoivasta operaattorista maksuja valtuuttavaan tahoon, mukaan lukien pelin säännöt asettavat julkiset sääntelyviranomaiset. Vaikka matkaa on vielä jäljellä, viimeisimmät päätökset osoittavat, että niillä, jotka eivät suojaa prosessejaan, on yhä vähemmän tilaa katsoa muualle, kun asiakkaan tili tyhjenee yksinkertaisen SIM-kortin kopioinnin jälkeen.
