O cibercrime ligado à troca de SIM não é mais um problema exclusivo dos bancos. Uma decisão recente na Espanha também colocou as operadoras de telefonia em foco, com os tribunais exigindo agora um nível de segurança muito maior quando seus processos facilitam fraudes financeiras.
Num ambiente em que as finanças pessoais são geridas quase inteiramente por telemóvel , a decisão do Tribunal de Primeira Instância n.º 44 de Madrid serve como um claro aviso: se uma portabilidade ou um cartão SIM duplicado for processado sem os devidos controlos e isso permitir o esvaziamento de contas bancárias, a companhia telefónica poderá acabar por pagar a fatura juntamente com o banco.
O que aconteceu no caso de Madrid: portabilidade numérica falsa e roubo de mais de 4.000 euros
O caso em análise pelo tribunal de Madrid começa com uma transferência fraudulenta de número da Movistar para a Lowi (marca da Vodafone) que o titular da linha nunca solicitou. Um terceiro conseguiu emitir um cartão SIM duplicado para a vítima e ativá-lo em uma nova linha em seu nome, sem que ninguém verificasse sua identidade de forma confiável.
Com a linha telefônica agora sob o controle dos criminosos, eles conseguiram receber as mensagens SMS e os códigos de verificação necessários para acessar o banco online da WiZink. Eles alteraram as credenciais de login, solicitaram novas senhas e realizaram diversas transações usando dois cartões de crédito vinculados ao cliente.
No total, foram efetuadas transações não autorizadas no valor de €4.047,91, através de três transações separadas. O cliente encontrava-se em viagem ao estrangeiro quando o incidente ocorreu e, por conseguinte, não tinha sequer acesso à sua linha telefónica original, que havia sido invadida pelos burlões.
A parte afetada detectou transações não autorizadas em outras contas e notificou tanto a polícia quanto as entidades envolvidas ( recuperação de fundos ). Inicialmente, a WiZink reembolsou os valores cobrados, mas posteriormente os restabeleceu, alegando tratar-se de um golpe aplicado por terceiros e se eximindo de qualquer responsabilidade.
Em resposta a essa situação, a Associação de Usuários Financeiros (Asufin) assumiu a defesa do consumidor e processou tanto a WiZink quanto a Vodafone-Lowi, alegando que a fraude ocorreu devido a graves falhas de segurança na portabilidade numérica e na autenticação de pagamentos . O juiz acabou decidindo a favor deles em todos os pontos.
Por que os tribunais estão apontando o dedo para as operadoras: verificações de identidade "muito frouxas".
Um dos elementos mais marcantes da decisão é a veemência com que o tribunal critica os protocolos da Lowi. A sentença considera comprovado que a empresa não exigiu identificação efetiva ao processar a portabilidade numérica ou ao enviar o cartão SIM de substituição , além de fornecer um endereço postal para o qual o cartão deveria ser enviado — um problema relacionado a falhas na verificação da operadora.
O juiz descreveu os requisitos como "muito frouxos" em comparação com outras operadoras de telecomunicações e enfatizou que, na prática, qualquer pessoa poderia receber o novo cartão SIM no endereço fornecido , sem ter que comprovar que era o titular da conta. O tribunal considerou isso uma "enorme falha de segurança" em um momento em que os telefones celulares são essenciais para acessar serviços bancários online.
O argumento também destaca que a Vodafone tem um histórico de sanções por roubo de identidade e duplicação fraudulenta de cartões SIM . A Agência Espanhola de Proteção de Dados (AEPD) já multou a empresa em quatro milhões de euros por permitir a emissão de cartões SIM em nome de terceiros, o que resultou em diversas fraudes bancárias.
Neste novo caso, o tribunal entende que existe um nexo causal direto entre a negligência da operadora e o sucesso da fraude . Sem o processo de portabilidade numérica ter sido conduzido sem garantias, argumenta o juiz, não teria sido possível assumir o controle da linha, interceptar os códigos SMS ou acessar o banco online do cliente.
A decisão também observa que, apesar de ter conhecimento há anos da proliferação da troca de SIMs , não foram tomadas medidas suficientes para salvaguardar o processo de portabilidade e a emissão de SIMs duplicados, o que agrava a avaliação da conduta da operadora.
Responsabilidade da WiZink: falhas na autenticação forte de pagamentos.
O banco também não se saiu bem. O tribunal considera que a WiZink não cumpriu os requisitos de autenticação robusta do cliente , destacando a importância da autenticação por selfie . As regulamentações de serviços de pagamento na União Europeia exigem a combinação de diversos elementos de segurança independentes (conhecimento, posse e biometria, por exemplo).
Especificamente, a decisão destaca que o banco não detectou que o elemento de "posse" havia sido comprometido : o terminal que validava as transações não estava mais nas mãos do proprietário legítimo, mas sim do fraudador que havia duplicado o cartão SIM. Apesar disso, o sistema permitiu que alterações de senha e transações fossem executadas sem acionar nenhum alerta efetivo.
A decisão também chama a atenção para a facilidade com que as credenciais poderiam ser modificadas usando apenas dados como o documento de identidade da pessoa afetada, algo que, combinado com a usurpação da linha móvel, abriu um caminho praticamente livre para os cibercriminosos.
Na visão do tribunal, a WiZink não conseguiu demonstrar que as transações foram realizadas com um nível adequado de segurança, nem forneceu a documentação técnica necessária relativa aos sistemas de autenticação, dispositivos utilizados ou registros de acesso interno. Essa falta de provas pesa contra a empresa.
O juiz decidiu que tanto a portabilidade numérica insegura quanto a falta de controles de pagamento robustos contribuíram para o prejuízo e, portanto, não era apropriado atribuir culpa. Ambas as entidades devem ser responsabilizadas solidariamente pelos danos sofridos pelo cliente.
Condenação conjunta: bancos e empresas de telecomunicações estão no mesmo barco em relação à troca de SIM cards.
A decisão do Tribunal de Primeira Instância nº 44 de Madrid não se limita a ordenar a devolução do dinheiro desviado. Ela declara que a WiZink e a Vodafone-Lowi são solidariamente responsáveis pela fraude, o que significa que qualquer uma das empresas pode ser obrigada a pagar o valor total, acrescido de juros legais e custas processuais, e posteriormente, se assim o entender, apresentar queixa contra a outra.
A decisão enfatiza que “ sem a portabilidade não teria havido acesso ao WiZink e, sem a quebra de contrato por parte do WiZink, as providências não teriam sido tomadas”. Em outras palavras, ambas as ações negligentes foram essenciais para que a fraude fosse consumada.
Para a Asufin, esse elemento é fundamental porque rompe com a ideia de que apenas os bancos devem arcar com os encargos legais da fraude digital. A associação defende há tempos que, em um sistema financeiro totalmente digitalizado, todos os intermediários tecnológicos envolvidos na cadeia de pagamentos devem compartilhar a responsabilidade quando suas ações abrem caminho para o crime.
A decisão também destaca a conduta da parte afetada: o tribunal entende que o cliente agiu com diligência, não foi negligente com seus dados e relatou a fraude assim que teve qualquer indício, o que descarta qualquer tentativa de lhe imputar parte da culpa.
Embora a decisão possa ser contestada no prazo de vinte dias, seu significado simbólico é claro: ela estabelece um precedente relevante na luta contra a troca de SIM na Espanha e envia uma mensagem clara aos bancos e operadores de telecomunicações sobre a obrigação de fortalecer seus sistemas.
Um problema crescente: Digi, Orange e O2 multadas por falhas semelhantes.
O caso WiZink e Vodafone-Lowi não é um incidente isolado. Paralelamente a esta decisão, a Agência Espanhola de Proteção de Dados (AEPD) tem vindo a compilar um histórico de sanções contra várias empresas de telecomunicações por graves deficiências nos seus processos de verificação de identidade e no tratamento de pedidos fraudulentos de portabilidade numérica.
Entre as decisões mais recentes está uma multa de € 200.000 aplicada à Digi por um caso de troca de SIM em que um terceiro obteve um cartão SIM duplicado sem que a empresa verificasse devidamente a identidade do solicitante. O esquema era muito semelhante: com a linha registrada em seu nome, o criminoso conseguia acessar o internet banking da vítima e operar o sistema em seu lugar.
Essa multa se soma a outra penalidade de € 150.000 imposta ao mesmo operador por uma grave violação do Regulamento Geral de Proteção de Dados (RGPD). Nesse caso, um contrato fraudulento foi registrado e, posteriormente, o indivíduo afetado foi indevidamente incluído em bancos de dados de cobrança de dívidas por uma dívida que nunca contraiu.
A Orange também esteve sob escrutínio. O Tribunal Nacional confirmou que a empresa violou as normas de proteção de dados ao emitir cartões SIM duplicados sem verificar devidamente a identidade do requerente em incidentes ocorridos entre 2019 e 2020. Embora a Agência Espanhola de Proteção de Dados (AEPD) tenha inicialmente imposto uma multa de 700.000 euros, o tribunal reduziu-a para 300.000 euros em reconhecimento da rápida ação da empresa, que incluiu a remoção de quiosques de autoatendimento e o reforço dos seus protocolos de ativação.
Por sua vez, a O2 registrou o primeiro caso de troca de eSIM detectado pela Agência Espanhola de Proteção de Dados (AEPD) em 2023. Nesse incidente, os atacantes alteraram o endereço de e-mail de contato do cliente e solicitaram uma duplicata virtual da linha. Como se tratava de um eSIM, a ativação foi feita remotamente, sem a necessidade de um cartão físico, aproveitando-se dos procedimentos de validação vulneráveis para obter controle total do número e, consequentemente, dos serviços associados.
Resposta institucional: do Fórum de Boas Práticas à brigada antifraude
A série de fraudes e sanções finalmente colocou a troca de SIM (sin-time swapping) firmemente na agenda política e regulatória . A Asufin, que levou muitos desses casos aos tribunais, faz parte do Fórum de Boas Práticas Financeiras, criado pelo Ministério da Economia, Comércio e Negócios em 2022.
Por meio dessa plataforma, a associação tem pressionado para que a fraude financeira seja considerada um dos problemas mais urgentes para os consumidores e para que sejam tomadas medidas coordenadas com as novas autoridades fiscais . O objetivo é que bancos, empresas de telecomunicações e autoridades coordenem medidas concretas, tanto preventivas quanto compensatórias para as vítimas.
Após a última sessão deste fórum, realizada em 10 de dezembro, o Ministro da Economia, Carlos Cuerpo, anunciou a criação de uma unidade antifraude especializada em crimes financeiros digitais . Esta unidade contará com a participação direta do setor de telecomunicações, reconhecendo que o problema não pode mais ser abordado apenas sob a perspectiva bancária.
A decisão do tribunal de Madrid encaixa-se perfeitamente nesta estratégia: reforça a ideia de que a segurança de dados e comunicações é uma obrigação legal , e não um acessório do serviço. Se os protocolos falharem, o custo económico do crime pode recair diretamente sobre as empresas.
Para os usuários, essas medidas representam um avanço na proteção contra golpes cada vez mais sofisticados. A expectativa é que, diante do risco de ter que pagar milhões em indenizações e multas, as novas técnicas antifraude e os avanços tecnológicos incentivem bancos e empresas de telecomunicações a elevar seus padrões de segurança e a reagir com mais rapidez quando transações suspeitas forem relatadas.
Toda essa atividade legal e regulatória pinta um quadro no qual a troca de SIM deixa de ser uma fraude "órfã", sem culpados claros , e se torna um problema compartilhado por todo o ecossistema digital: da operadora que gerencia a linha à entidade que autoriza os pagamentos, incluindo os órgãos reguladores públicos que definem as regras do jogo; e, embora ainda haja um caminho a percorrer, as decisões mais recentes indicam que aqueles que não protegerem seus processos terão cada vez menos espaço para ignorar o fato de a conta de um cliente ser esvaziada após uma simples duplicação de SIM.
