El drama de un grupo de clientes de Banco Itaú: Sufrieron millonarios fraudes por SIM Swapping

En las últimas semanas, un grupo de clientes de Banco Itaú fueron víctimas de una modalidad de fraude conocida como SIM Swapping, que permite a los delincuentes apoderarse de sus líneas telefónicas para acceder a sus mensajes de texto.

Las denuncias —que fueron dadas a conocer en redes sociales—, apuntan a una presunta vulnerabilidad en los protocolos de seguridad de entidades financieras y de las compañías de telecomunicaciones.

Florencia, una abogada de la Región de Los Lagos, relató que todo comenzó cuando se quedó sin señal en su teléfono. Al revisar su correo electrónico, encontró un aviso del banco sobre la instalación de Apple Pay y el acceso a su cuenta bancaria desde otro dispositivo.

Aunque logró bloquear sus tarjetas, los antisociales realizaron múltiples transacciones por más de $5 millones en una tienda MacOnline de Maipú en tan solo cuestión de segundos. “Aquí no saltó ninguna alarma al indicar que una persona está comprando muy rápido, con un minuto de diferencia, tres compras grandes”, señaló la abogada.

Pablo, quien ha trabajado en varios bancos, también fue víctima del mismo fraude. Ese día, notó que su celular solo mostraba la opción de "llamada de emergencia", lo que despertó su sospecha de que algo no estaba bien.

Al intentar realizar una compra con su tarjeta de débito, esta fue rechazada. Sorprendido, se digirió a un cajero automático para verificar su saldo y descubrió que su cuenta estaba vacía. "Fue un día 31, a mí me pagaron mi sueldo el 27 de agosto, y obviamente estaba todo el sueldo. No sé, había comprado unas dos cosas los días anteriores... una bebida, cosas chicas", indicó.

Garrido contactó de inmediato a Itaú, donde le informaron que se había detectado una alerta de fraude en su cuenta. Sin embargo, el daño ya era irreparable: le había robado más de $11.700.000.

¿Cómo opera el SIM swapping?

El modus operandi consiste en que los delincuentes, haciéndose pasar por el titular de la línea telefónica, solicitan un nuevo chip o portan el número a otra compañía de telefonía. Una vez que obtienen la nueva tarjeta SIM, el chip original queda desactivado, lo que les permite acceder a cuentas bancarias que verifican la identidad mediante el número telefónico y realizar transacciones fraudulentas.

La portabilidad se realiza de madrugada, mientras que la obtención de un chip para una línea vigente puede ocurrir en el horario de atención de las sucursales de las empresas de telefonía móvil.

"Muchas veces un usuario suplantado no lo sabe, simplemente se da cuenta de que no tiene señal de celular y piensa que es un problema con la compañía, cuando en realidad ese chip se deshabilitó y alguien lo está usando en otro equipo", explicó el abogado Pedro Huichalaf, exsubsecretario de Telecomunicaciones.

El abogado indicó que el primer paso en estos fraudes es la presentación de documentos falsos en las tiendas de telefonía móvil para hacerse pasar por los titulares del número.“Ahí hay una vulnerabilidad porque puede ser que esté confabulado el vendedor o la persona que trabaja en la tienda con el delincuente”, advirtió.

En este sentido, el Servicio Nacional del Consumidor (SERNAC) señaló que las compañías de telecomunicaciones tienen la obligación de cerciorarse de la identidad del solicitante, de acuerdo con lo establecido por el Reglamento de Servicios de Telecomunicaciones.

“Las empresas tienen que hacerse responsables de las portabilidades efectuadas por personas distintas al cliente, así como de los eventuales perjuicios que puedan provocarse con ocasión de estas”, señalaron desde el SERNAC.

A los casos de Florencia y Pablo también se suma el del Nicolás, ingeniero civil, quien también sufrió un fraude por más de $5 millones bajo esta misma modalidad. En todos los casos, las compañías no lograron proteger sus datos. "Tras acudir a Entel, el ejecutivo me dice: 'Alguien se hizo pasar por ti y solicitó colocar tu número en un chip nuevo'”, relató Ureta. Más casos de otros clientes fueron replicados en las redes sociales en las últimas tres semanas.

Telcos: “Es el banco el que debe resguardar a sus clientes con sistemas robustos”

Si bien Movistar, Claro y Entel declinaron participar en este reportaje (fueron las empresas cuyos clientes han reportado casos de SIM Swapping), desde la Asociación Chilena de Telecomunicaciones, ChileTelcos, indicaron que existe una actualización permanente de sus protocolos, donde destaca la próxima implementación del Decreto 6/2024 de la Subsecretaría de Telecomunicaciones, el cual fortalecerá las medidas de protección de los consumidores.

Respecto a la seguridad de los usuarios, enfatizaron en que "es el banco el que debe resguardar a sus clientes con sistemas robustos que le permitan asegurarse de que la persona que está tratando de hacer una operación es el cliente que dice ser. No puede transferir esta responsabilidad a un tercero".

Es importante recordar que Solange Berstein, presidenta de la Comisión para el Mercado Financiero (CMF), ha reiterado en múltiples oportunidades que, para prevenir eficazmente la suplantación de identidad, las instituciones financieras deben tener considerar la implementación de factores de autenticación: 'Algo que tengo' (claves dinámicas, tokens, entre otros), 'Algo que sé' (preguntas personales) y 'Algo que soy' (biometría facial). Para este reportaje, el regulador solo recordó que rige la Ley de Fraudes y compartió una presentación de marzo de este año de la propia Berstein ante la Comisión de Hacienda del Senado.

A pesar de que Nicolás, Florencia y Pablo lograron obtener un reembolso de 35 UF, conforme a la normativa, luego el banco argumentó que las operaciones se realizaron utilizando las credenciales correctas y por medio de una carta les informaron acciones legales en su contra.

Consultados por Chócale, desde Itaú señalaron que los casos comparten un denominador común: la facilidad con la que los delincuentes pueden obtener una línea telefónica para hacerse de los números en otros dispositivos móviles. “Para que el re-enrolamiento de la app en un nuevo teléfono móvil sea exitoso, es necesario acceder a las claves del cliente. Sin embargo, hemos comunicado de manera reiterada que no solicitamos estas claves por ningún medio”, indicó la entidad.

No obstante, aseguraron que "han decidido revisar nuevamente cada caso y ofrecer a nuestros clientes una solución adecuada, siempre en el marco de lo establecido por la Ley 20.009".