La AEPD ratifica una multa de 120.000 euros a Digi por un duplicado fraudulento de SIM

La Agencia Española de Protección de Datos ha ratificado una multa de 120.000 euros a Digi Spain Telecom por un caso en el que un tercero consiguió un duplicado de la tarjeta SIM de un cliente tras suplantar su identidad. La AEPD considera que la operadora no acreditó adecuadamente las comprobaciones realizadas y que no reaccionó ante determinadas señales de riesgo asociadas a la solicitud.

La sanción corresponde a una infracción del artículo 6.1 del Reglamento General de Protección de Datos. Digi recurrió la decisión y sostiene que el fraude fue cometido mediante documentación falsificada y después de que el atacante hubiera obtenido previamente información personal de la víctima. La empresa también ha llevado sus sanciones ante la Audiencia Nacional, por lo que los importes continúan judicializados y no deben interpretarse como multas ya pagadas.

El atacante consiguió un duplicado de la SIM del cliente

El caso se remonta a enero de 2022. Según la resolución de la AEPD, el cliente había sido víctima previamente de un ataque de phishing o smishing mediante el que los delincuentes obtuvieron información personal necesaria para intentar hacerse pasar por él.

El 7 de enero, una persona se presentó en un distribuidor de Digi afirmando que le habían robado el teléfono. En ese primer intento no obtuvo la tarjeta porque no disponía del número de autorización que entonces exigía el procedimiento de Digi.

Posteriormente, el suplantador contactó con atención al cliente y consiguió superar las preguntas de seguridad utilizando datos correspondientes al verdadero titular. Con la autorización obtenida, volvió al punto de venta y el 8 de enero de 2022 se activó el duplicado de la SIM.

La SIM original dejó entonces de funcionar. El tercero pasó a controlar la línea telefónica y pudo recibir mensajes SMS relacionados con la autenticación de servicios financieros. El titular detectó además cargos y operaciones bancarias no autorizadas y contactó con su banco y con Digi.

Por qué la AEPD considera insuficiente la verificación de identidad

La AEPD no basa su decisión únicamente en que el fraude consiguiera superar los controles. Uno de sus argumentos centrales es el principio de responsabilidad proactiva del RGPD, que obliga a una empresa no solo a establecer procedimientos de protección de datos, sino también a poder demostrar que se aplicaron correctamente.

Digi informó durante el procedimiento de que, en aquel momento, el proceso para obtener un duplicado tenía dos fases. El cliente debía superar primero una comprobación con atención al cliente y obtener un número de autorización. Después tenía que acudir presencialmente a un distribuidor y acreditar su identidad mediante un documento original.

Sin embargo, Digi confirmó que no conservaba documentación que permitiera acreditar qué documento de identidad se comprobó en el momento de entregar la SIM ni copia de la supuesta denuncia por robo presentada por el suplantador.

Para la AEPD, la existencia formal de un procedimiento no basta si la compañía no puede demostrar de manera suficiente cómo se aplicó en el caso concreto.

La solicitud desde otra comunidad autónoma fue una señal adicional

La resolución también destaca una circunstancia que, según la Agencia, debería haberse tenido en cuenta dentro de un enfoque basado en riesgos: el duplicado se solicitó en una comunidad autónoma diferente a aquella en la que residía el titular de la línea.

La AEPD aclara que este hecho por sí solo no significa que una solicitud sea fraudulenta. Un cliente puede solicitar legítimamente un duplicado estando lejos de su domicilio. Sin embargo, el regulador considera que debía haberse tratado como una señal adicional para activar cautelas ante una operación especialmente sensible.

La Agencia señala que Digi no utilizó esa diferencia geográfica para activar una alerta de posible fraude y la incorpora entre las circunstancias consideradas al valorar la diligencia aplicada.

La AEPD considera el SIM swapping un riesgo previsible

Otro elemento clave es la naturaleza del fraude. La AEPD considera que el SIM swapping es un riesgo conocido y previsible para las compañías de telecomunicaciones, por lo que exige controles acordes con las consecuencias que puede tener la entrega de un duplicado a una persona distinta del titular.

Cuando el atacante toma el control del número telefónico, puede recibir códigos enviados por SMS y utilizarlos en servicios que todavía dependen de este canal como segundo factor de autenticación o como mecanismo de recuperación de cuentas.

La resolución califica la conducta de Digi como negligencia grave al haber expedido una SIM a un tercero que no era el titular de la línea y concluye que el tratamiento de datos asociado a esa operación carecía de una base jurídica válida.

Digi sostiene que fue víctima de un fraude con documentos falsificados

Digi ha rechazado la interpretación de la AEPD. La operadora argumenta que el suplantador disponía de numerosos datos personales del cliente obtenidos previamente y que presentó documentación con apariencia de autenticidad, incluida una supuesta denuncia por robo.

La compañía sostiene que sus controles fueron superados mediante un fraude elaborado y que no puede exigirse que cualquier procedimiento de seguridad sea absolutamente infalible. También ha defendido que imponer una sanción simplemente porque un tercero consiguió engañar al sistema supondría aplicar una forma de responsabilidad objetiva.

La AEPD rechaza ese argumento. Su posición es que la sanción no deriva únicamente del resultado del fraude, sino de las deficiencias apreciadas en el proceso concreto de identificación, la falta de acreditación de determinadas verificaciones y la previsibilidad del SIM swapping dentro del sector.

La sanción quedó fijada en 120.000 euros

El procedimiento sancionador comenzó planteando una posible multa de 300.000 euros. Tras la instrucción, la AEPD redujo la propuesta y finalmente impuso una sanción de 120.000 euros por infracción del artículo 6.1 del RGPD.

Para determinar la cuantía, la Agencia tuvo en cuenta factores como la gravedad de la infracción, la negligencia apreciada, la vinculación directa de la actividad de una operadora de telecomunicaciones con el tratamiento habitual de datos personales y la existencia de anteriores procedimientos relacionados con duplicados fraudulentos de SIM.

Digi solicitó el archivo del expediente y, de forma subsidiaria, una reducción de la sanción o su sustitución por un apercibimiento. La AEPD mantuvo finalmente la multa.

Digi ha recurrido las sanciones ante la Audiencia Nacional

La última novedad es que la AEPD ha desestimado el recurso de reposición presentado por Digi contra esta sanción. La operadora ha trasladado el conflicto a la Audiencia Nacional al considerar que la resolución no es firme y defender que disponía de medidas de seguridad en el momento en que se produjo el fraude.

Según la información conocida sobre los distintos procedimientos, las sanciones notificadas por la AEPD a Digi alcanzan en conjunto aproximadamente dos millones de euros. Buena parte están relacionadas con suplantaciones de identidad, duplicados de SIM, contrataciones o cambios de línea no autorizados registrados durante años anteriores.

Ese importe representa la suma de las sanciones impuestas, no dinero que Digi haya abonado ya. La compañía ha recurrido las penalizaciones y los pagos permanecen suspendidos cautelarmente mientras los procedimientos esperan una resolución judicial definitiva.

Digi asegura haber reforzado sus controles contra el SIM swapping

Digi afirma haber actualizado desde los hechos sus mecanismos para detectar duplicados fraudulentos. Entre los cambios comunicados por la compañía se encuentran un refuerzo de la verificación de identidad, nuevas comunicaciones al titular y modificaciones de sus protocolos de investigación ante posibles suplantaciones.

La operadora sostiene además que la única reclamación analizada por la AEPD bajo sus protocolos de seguridad más recientes terminó archivada sin sanción.

El procedimiento actual, no obstante, analiza las medidas vigentes cuando se produjo el duplicado fraudulento en enero de 2022. La decisión definitiva sobre la responsabilidad y las sanciones recurridas corresponderá ahora a los tribunales.