A SIM-kártyák cseréjéhez kapcsolódó kiberbűnözés már nem korlátozódik a bankokra. Egy nemrégiben Spanyolországban hozott ítélet a telefonszolgáltatókat is a figyelem középpontjába helyezte, a bíróságok most sokkal magasabb szintű biztonságot követelnek meg tőlük, amikor folyamataik pénzügyi csalást tesznek lehetővé.
Egy olyan környezetben, ahol a személyes pénzügyeket szinte teljes egészében mobiltelefonon keresztül kezelik , a madridi 44. számú elsőfokú bíróság döntése egyértelmű figyelmeztetésként szolgál: ha egy hordozható vagy másodpéldányos SIM-kártyát megfelelő ellenőrzés nélkül dolgoznak fel, és ez lehetővé teszi a bankszámlák kiürítését, akkor a telefonszolgáltatónak a bankkal együtt fizetheti a számlát.
Mi történt a madridi ügyben: hamis számhordozhatóság és több mint 4.000 euró ellopása
A madridi bíróság által vizsgált ügy egy csalárd számátvitellel kezdődik a Movistartól a Lowihoz (egy Vodafone márka), amelyet a vonal tulajdonosa soha nem kért. Egy harmadik félnek sikerült egy másodpéldányt kiállítania az érintett félnek, és aktiválnia azt egy új vonalon a nevére, anélkül, hogy bárki megbízhatóan ellenőrizte volna a személyazonosságát.
Mivel a vonal most a bűnözők ellenőrzése alá került, SMS-eket és ellenőrző kódokat fogadhattak a WiZink online banki szolgáltatásainak eléréséhez. Megváltoztatták a bejelentkezési adatokat, új jelszavakat kértek, és számos tranzakciót hajtottak végre az ügyfélhez kapcsolódó két hitelkártyával.
Összesen 4.047,91 euró értékű jogosulatlan tranzakciót terheltek meg három külön tranzakción keresztül. Az ügyfél külföldön utazott, amikor az incidens történt, ezért nem is férhetett hozzá az eredeti telefonvonalához, amelyet a csalók átvettek.
Az érintett fél más számlákon jogosulatlan tranzakciókat észlelt, és értesítette mind a rendőrséget, mind az érintett szervezeteket ( pénzvisszaszerzés ). A WiZink kezdetben visszatérítette a költségeket, de később visszaállította azokat, azt állítva, hogy harmadik fél általi csalásról van szó, és elhárítva a felelősséget.
Erre a helyzetre reagálva a Pénzügyi Felhasználók Szövetsége (Asufin) a fogyasztó védelmébe vette, és beperelte mind a WiZink, mind a Vodafone-Lowit, azzal érvelve, hogy a csalás a számhordozhatóság és a fizetési hitelesítés súlyos biztonsági hibái miatt történt . A bíró végül minden pontban a javukra döntött.
Miért hibáztatják a bíróságok az üzemeltetőket: „nagyon laza” személyazonosság-ellenőrzések
Az ítélet egyik legszembetűnőbb eleme az a határozottság, amellyel a bíróság bírálja a Lowi protokolljait. Az ítélet bizonyítottnak tekinti, hogy a vállalat nem követelte meg a hatékony azonosítást a számhordozhatóság feldolgozásakor vagy a SIM-kártya pótlásának küldésekor , azon túl, hogy meg kellett adni a postai címet, ahová a kártyát küldeni kell – ez a probléma a szolgáltató-ellenőrzés hibáihoz kapcsolódik.
A bíró a követelményeket „nagyon laza”-nak nevezte más távközlési szolgáltatókhoz képest, és hangsúlyozta, hogy a gyakorlatban bárki megkaphatja az új SIM-kártyát a megadott címen anélkül, hogy igazolnia kellene, hogy ő a számla tulajdonosa. A bíróság ezt „hatalmas biztonsági hibának” tekintette egy olyan időszakban, amikor a mobiltelefonok kulcsfontosságúak az online banki szolgáltatások eléréséhez.
Az érvelés arra is rámutat, hogy a Vodafone-t korábban szankciókkal sújtották személyazonosság-lopás és SIM-kártya csalárd másolása miatt . A spanyol adatvédelmi ügynökség (AEPD) már négymillió eurós bírságot szabott ki a vállalatra, amiért harmadik fél nevére engedélyezte a SIM-kártya kibocsátását, ami különféle banki csalásokhoz vezetett.
Ebben az új ügyben a bíróság úgy értelmezi, hogy közvetlen ok-okozati összefüggés van a szolgáltató gondatlansága és a csalás sikere között . A bíró érvelése szerint a számhordozhatósági folyamat garanciák nélküli lebonyolítása nélkül nem lett volna lehetséges a vonal feletti irányítás átvétele, az SMS-kódok lehallgatása vagy az ügyfél online banki szolgáltatásainak elérése.
A határozat azt is megjegyzi, hogy annak ellenére, hogy évek óta tudtak a SIM-kártyacsere elterjedéséről , nem tettek megfelelő intézkedéseket a hordozhatósági folyamat és a duplikált SIM-kártyák kibocsátásának védelmére, ami súlyosbítja a szolgáltató magatartásának értékelését.
A WiZink felelőssége: hibák az erős fizetési hitelesítésben
A bank sem teljesít jól. A bíróság úgy ítéli meg, hogy a WiZink nem teljesítette az erős ügyfél-hitelesítési követelményeket , kiemelve a szelfi-hitelesítés fontosságát . Az Európai Unió fizetési szolgáltatásokra vonatkozó szabályozása több független biztonsági elem (például tudás, birtoklás és biometrikus adatok) kombinálását írja elő.
A határozat konkrétan kiemeli, hogy a bank nem észlelte a „birtoklási” elem veszélybe kerülését : a tranzakciókat validáló terminál már nem a jogos tulajdonos, hanem a SIM-kártyát lemásoló csaló kezében volt. Ennek ellenére a rendszer lehetővé tette a jelszómódosításokat és a tranzakciók végrehajtását anélkül, hogy bármilyen érdemi riasztást kiváltott volna.
A határozat arra is felhívja a figyelmet, hogy milyen könnyen módosíthatók a hitelesítő adatok pusztán olyan adatok felhasználásával, mint az érintett személy személyi igazolványa, ami a mobilvonal bitorlásával együtt gyakorlatilag szabad utat nyitott a kiberbűnözők számára.
A bíróság álláspontja szerint a WiZink nem tudta bizonyítani, hogy a tranzakciókat megfelelő biztonsági szinttel hajtották végre, és nem bocsátotta rendelkezésre a hitelesítési rendszerekre, a használt eszközökre vagy a belső hozzáférési naplókra vonatkozó szükséges technikai dokumentációt sem. A bizonyítékok hiánya ellenük szól.
A bíró úgy ítélt, hogy mind a nem biztonságos számhordozhatóság, mind a szigorú fizetési ellenőrzések hiánya hozzájárult a kárhoz , ezért nem helyénvaló a felelősség megosztása. Mindkét szervezetet egyetemlegesen kell felelősségre vonni az ügyfél által elszenvedett kárért.
Közös elítélés: bankok és telekommunikációs cégek ugyanabban a cipőben járnak a SIM-kártyacsere ügyében
A madridi 44. számú elsőfokú bíróság ítélete nem egyszerűen a csalással elkövetett pénz visszafizetését rendeli el. Kijelenti, hogy a WiZink és a Vodafone-Lowi egyetemlegesen felelős a csalásért, ami azt jelenti, hogy bármelyik vállalat kötelezhető a teljes összeg, a jogi kamatokkal és költségekkel együtt történő megfizetésére, majd ha úgy ítéli meg, belső úton kártérítést követelhet a másik ellen.
Az ítélet hangsúlyozza, hogy „ hordozhatóság nélkül nem lett volna hozzáférés a WiZinkhez, és a WiZink szerződésszegése nélkül a rendelkezések nem születtek volna meg.” Más szóval, mindkét gondatlan cselekedet elengedhetetlen volt a csalás elkövetéséhez.
Asufin szerint ez az elem kulcsfontosságú, mivel szakít azzal az elképzeléssel, hogy csak a bankoknak kell viselniük a digitális csalások jogi terheit. A szövetség régóta azt állítja, hogy egy teljesen digitalizált pénzügyi rendszerben a fizetési láncban részt vevő összes technológiai közvetítőnek osztoznia kell a felelősségen, amikor tettei megnyitják az utat a bűnözés előtt.
Az ítélet az érintett fél magatartását is kiemeli: a bíróság úgy értelmezi, hogy az ügyfél gondosan járt el, nem bánt gondatlanul az adataival , és amint bármilyen jelre bukkant, jelentette a csalást, ami kizárja, hogy a felelősség egy részét rá hárítsák.
Bár az ítélet húsz napon belül fellebbezhető, szimbolikus jelentősége egyértelmű: releváns precedenst teremt a SIM-kártyacsere elleni küzdelemben Spanyolországban , és egyértelmű üzenetet küld a bankoknak és a telekommunikációs szolgáltatóknak a rendszereik megerősítésének kötelezettségéről.
Egyre növekvő probléma: Hasonló hibák miatt megbírságolták a Digit, az Orange-ot és az O2-t is
A WiZink és a Vodafone-Lowi esete nem elszigetelt eset. Ezzel az ítélettel párhuzamosan a spanyol adatvédelmi ügynökség (AEPD) számos távközlési vállalattal szemben szankciókat szab ki a személyazonosság-ellenőrzési folyamataik és a csalárd számhordozási kérelmek kezelésében tapasztalt súlyos hiányosságok miatt.
A legutóbbi ítéletek között szerepel a Digi ellen kiszabott 200 000 eurós bírság egy SIM-kártyacsere ügyben, amelyben egy harmadik fél anélkül szerzett másodpéldányt, hogy a cég megfelelően ellenőrizte volna a kérelmező személyazonosságát. A rendszer nagyon hasonló volt: a nevére regisztrált vonallal az elkövető hozzáférhetett az áldozat online banki szolgáltatásához, és helyette működtethette a rendszert.
Ez a bírság egy másik, 150 000 eurós büntetésen felül értendő, amelyet ugyanazon üzemeltetőre szabtak ki az általános adatvédelmi rendelet súlyos megsértése miatt. Abban az esetben egy csalárd szerződést regisztráltak, majd az érintett személyt jogtalanul vették fel a követelésbehajtási adatbázisokba egy olyan tartozás miatt, amelyet soha nem halmozott fel.
Az Orange-ot is vizsgálat alá vették. A Nemzeti Bíróság megerősítette, hogy a vállalat megsértette az adatvédelmi előírásokat azzal, hogy a 2019 és 2020 között történt incidensekben a kérelmező személyazonosságának megfelelő ellenőrzése nélkül másodpéldányokat állított ki. Bár a spanyol adatvédelmi ügynökség (AEPD) kezdetben 700 000 eurós bírságot szabott ki, a bíróság 300 000 euróra csökkentette azt, elismerve a vállalat gyors intézkedését, amely magában foglalta az önkiszolgáló kioszkok eltávolítását és az aktiválási protokollok szigorítását.
Az O2 a maga részéről regisztrálta az első eSIM-csere esetét, amelyet a spanyol adatvédelmi ügynökség (AEPD) észlelt 2023-ban. Ebben az esetben a támadók megváltoztatták az ügyfél elérhetőségi e-mail címét, és a vonal virtuális másolatát kérték. Mivel eSIM-ről volt szó, az aktiválás távolról, fizikai kártya nélkül történt, kihasználva a gyenge érvényesítési eljárásokat, hogy teljes mértékben ellenőrizzék a számot, és következésképpen a kapcsolódó szolgáltatásokat is.
Intézményi válasz: a Bevált Gyakorlatok Fórumától a Csalás Elleni Brigádig
A csalások és szankciók sorozata végre szilárdan a politikai és szabályozási napirendre helyezte a SIM-kártyacserét . Az Asufin, amely ezek közül az ügyek közül sokat bíróság elé vitt, a Gazdasági, Kereskedelmi és Üzleti Minisztérium által 2022-ben létrehozott Jó Pénzügyi Gyakorlatok Fórumának része.
Erről a platformról a szövetség szorgalmazza, hogy a pénzügyi csalásokat tekintsék a fogyasztók számára az egyik legsürgetőbb problémának , és hogy összehangolt intézkedéseket hajtsanak végre az új adóhatósággal . A cél az, hogy a bankok, a távközlési vállalatok és a hatóságok konkrét intézkedéseket hangoljanak össze, mind a megelőző, mind az áldozatok kártalanítását célzó intézkedések tekintetében.
A fórum december 10-én tartott legutóbbi ülését követően Carlos Cuerpo gazdasági miniszter bejelentette egy digitális pénzügyi bűncselekményekre szakosodott csalásellenes egység létrehozását . Ebben az egységben a telekommunikációs szektor közvetlenül részt vesz majd, elismerve, hogy a problémát már nem lehet kizárólag banki szempontból kezelni.
A madridi bíróság ítélete tökéletesen illeszkedik ebbe a stratégiába: megerősíti azt az elképzelést, hogy az adat- és kommunikációbiztonság jogi kötelezettség , nem pedig a szolgáltatás kiegészítője. Ha a protokollok meghibásodnak, a bűncselekmény gazdasági költsége közvetlenül a vállalatokra hárulhat.
A felhasználók számára ezek a lépések előrelépést jelentenek az egyre kifinomultabb csalásokkal szembeni védekezésben. A várakozások szerint a több millió dolláros kártérítések és bírságok kockázatával szembesülve az új csalásellenes technikák és technológiai fejlesztések arra ösztönzik majd a bankokat és a távközlési vállalatokat, hogy emeljék biztonsági szabványaikat, és gyorsabban reagáljanak a gyanús tranzakciók bejelentése esetén.
Mindez a jogi és szabályozási tevékenység olyan képet fest, amelyben a SIM-kártyacsere már nem egyértelmű bűnösök nélküli „árva” csalás , hanem az egész digitális ökoszisztéma közös problémájává válik: a vonalat kezelő üzemeltetőtől a fizetéseket engedélyező entitásig, beleértve a játékszabályokat meghatározó állami szabályozó hatóságokat is; és bár még van hova fejlődni, a legújabb ítéletek azt mutatják, hogy azoknak, akik nem biztosítják a folyamataikat, egyre kevesebb lehetőségük lesz félrenézni, amikor egy ügyfél számlája egy egyszerű SIM-kártya másolása után kiürül.
