Enorme multa a Orange: varios empleados corruptos de las tiendas participaron en estafas de SIM swapping

No son pocas las veces en las que hemos hablado de ciberdelincuentes realizando fechorías de todo tipo contra los usuarios, pero lo que es poco común es ver a comerciales de operadoras colaborando con ellos.

Tal y como se ha podido saber en una reciente resolución judicial, la Agencia Española de Protección de Datos ha impuesto una sanción de 1,2 millones de euros a Orange por un caso de SIM swapping en el que empleados de una tienda colaboraron con ciberdelincuentes para duplicar la tarjeta SIM de un cliente.

Esto permitió a los delincuentes transferir 9.000 euros desde la cuenta bancaria de la víctima.

Por si no lo conoces, el SIM swapping es un tipo de estafa en la que los estafadores obtienen un duplicado de la tarjeta SIM de una persona para tomar el control de su línea telefónica. Gracias a esto, pueden interceptar llamadas y mensajes como los que contienen los códigos de verificación para apps bancarias.

Una vez tienen los datos de la víctima, ya sea mediante phishing o mediante brechas de seguridad, como la filtración de los datos de 240.000 autónomos; y el código de verificación, pueden realizar transacciones no autorizadas y acceder a información confidencial.

Normalmente, los ciberdelincuentes buscan hacerse pasar por los titulares de la línea, pero en este caso no hizo falta. La sanción impuesta a Orange se debe a que dos empleados de una tienda en Madrid colaboraron con una red de ciberdelincuentes.

A cambio de una suma de dinero, estos trabajadores utilizaron sus permisos para acceder a los archivos internos de la operadora para emitir duplicados de tarjetas SIM, obviamente sin verificar la identidad de los clientes.

Cuando esto ocurrió, y tal y como se recoge en la resolución, la línea telefónica de la víctima dejó de funcionar, y por ello presentó una reclamación a Orange. Mientras tanto, los delincuentes se estaban llevando el botín de 9.000 euros de su cuenta bancaria.

Tras una investigación, las autoridades revelaron que en esa tienda se realizaron cinco duplicados de SIM más sobre esas fechas.

Después de conocerse esto, los empleados fueron despedidos y denunciados por la empresa distribuidora que los había contratado, y la AEPD sancionó a Orange por no haber puesto medidas adecuadas para prevenir y controlar este tipo de fraudes.

Como se puede apreciar, hay un gran vacío en todo esto en el que los ciberdelincuentes pueden campar a sus anchas para obtener dinero rápido y hacer un gran daño a las víctimas, y surgen varias preguntas:

1. ¿Debería haber un control más estricto de los comerciales de las operadoras en tienda?
2. ¿Deberían los bancos y otras apps que manejan información sensible sustituir el SMS de verificación por apps como Google Authenticator?
3. ¿Debería haber una mayor comunicación con el titular a través de diferentes medios para confirmar que quien quiere duplicar la SIM es él y no otra persona?

Creemos que las tres preguntas anteriores se contestan de forma afirmativa, y son la forma de salvaguardar a los usuarios de estafas tan peligrosas como el SIM swapping que ha sufrido este cliente de Orange.

Te pueden duplicar la SIM e incluso costarte 60.000 euros como pasó en este caso