กระทรวงยุติธรรมของสเปนเข้มงวดกับการสลับซิมการ์ด และบังคับให้ธนาคารและผู้ให้บริการตอบสนอง

อาชญากรรมไซเบอร์ที่เชื่อมโยงกับ การแลกเปลี่ยน SIM ปัญหานี้ไม่ได้จำกัดอยู่แค่ธนาคารอีกต่อไปแล้ว คำตัดสินล่าสุดในสเปนได้ดึงผู้ให้บริการโทรศัพท์เข้ามาเกี่ยวข้องด้วย โดยศาลเรียกร้องให้ผู้ให้บริการโทรศัพท์ต้องมีมาตรการรักษาความปลอดภัยที่สูงขึ้นมาก เมื่อกระบวนการของพวกเขาเอื้อต่อการฉ้อโกงทางการเงิน

ในสภาพแวดล้อมที่ การจัดการการเงินส่วนบุคคลส่วนใหญ่ดำเนินการผ่านโทรศัพท์มือถือคำตัดสินของศาลชั้นต้นหมายเลข 44 แห่งมาดริดเป็นคำเตือนที่ชัดเจนว่า หากมีการดำเนินการโอนย้ายหมายเลขโทรศัพท์หรือทำซิมการ์ดซ้ำโดยไม่มีการควบคุมที่เพียงพอ และทำให้บัญชีธนาคารถูกถอนเงินออกไปจนหมด บริษัทโทรศัพท์อาจต้องรับผิดชอบค่าใช้จ่ายร่วมกับธนาคารในที่สุด

เกิดอะไรขึ้นในคดีที่มาดริด: การปลอมแปลงหมายเลขโทรศัพท์มือถือและการขโมยเงินกว่า 4.000 ยูโร

คดีที่ศาลมาดริดนำมาวิเคราะห์เริ่มต้นด้วย การโอนย้ายพอร์ตปลอมจาก Movistar ไปยัง Lowi (แบรนด์ของ Vodafone) ที่เจ้าของหมายเลขไม่เคยร้องขอ บุคคลที่สามได้ดำเนินการออกซิมการ์ดสำเนาให้กับบุคคลที่ได้รับผลกระทบและเปิดใช้งานในหมายเลขใหม่ในชื่อของบุคคลนั้น โดยไม่มีใครตรวจสอบตัวตนของบุคคลนั้นได้อย่างน่าเชื่อถือ

เมื่อเส้นทางดังกล่าวตกอยู่ภายใต้การควบคุมของพวกอาชญากรแล้ว พวกเขาก็สามารถ... รับข้อความ SMS และรหัสยืนยัน จำเป็นสำหรับการใช้งานระบบธนาคารออนไลน์ของ WiZink พวกเขาเปลี่ยนข้อมูลประจำตัวการเข้าใช้งาน ขอรหัสผ่านใหม่ และทำธุรกรรมหลายรายการโดยใช้บัตรเครดิตสองใบที่เชื่อมโยงกับลูกค้า

โดยรวมแล้ว มีการโหลดข้อมูลดังต่อไปนี้ ธุรกรรมที่ไม่ได้รับอนุญาตเป็นจำนวนเงิน 4.047,91 ยูโรเงินถูกโอนผ่านธุรกรรมสามรายการแยกกัน ลูกค้ากำลังเดินทางไปต่างประเทศขณะที่เหตุการณ์ทั้งหมดเกิดขึ้น ดังนั้นเขาจึงไม่สามารถติดต่อหมายเลขโทรศัพท์เดิมของตนได้ เนื่องจากถูกกลุ่มมิจฉาชีพยึดครองไปแล้ว

เหยื่อตรวจพบการทำธุรกรรมที่ไม่ได้รับอนุญาตในบัญชีอื่น ๆ และ เขาแจ้งทั้งตำรวจและหน่วยงานที่เกี่ยวข้องแล้ว (การกู้คืนเงินทุนในตอนแรก WiZink คืนเงินให้ แต่ต่อมาได้เรียกเก็บเงินเพิ่มอีก โดยอ้างว่าเป็นกลโกงจากบุคคลที่สามและปฏิเสธความรับผิดชอบ

เมื่อเผชิญกับสถานการณ์นี้ สมาคมผู้ใช้บริการทางการเงิน (Asufin) จึงเข้าปกป้องผู้บริโภคและฟ้องร้องทั้ง WiZink และ Vodafone-Lowi โดยอ้างว่าการฉ้อโกงเกิดขึ้นเนื่องจาก ช่องโหว่ด้านความปลอดภัยร้ายแรงในด้านการพกพาและการตรวจสอบความถูกต้องของการชำระเงินสุดท้ายแล้วผู้พิพากษาเห็นด้วยกับพวกเขาในทุกประเด็น

เหตุผลที่ศาลชี้เป้าไปที่ผู้ให้บริการ: การตรวจสอบตัวตนที่ "หละหลวมมาก"

หนึ่งในองค์ประกอบที่โดดเด่นที่สุดของคำตัดสินคือความรุนแรงที่ศาลใช้ในการวิพากษ์วิจารณ์ระเบียบปฏิบัติของโลวี คำตัดสินถือว่ามีหลักฐานยืนยันว่าบริษัท ไม่จำเป็นต้องมีการยืนยันตัวตนที่ชัดเจนเมื่อดำเนินการเรื่องการโอนย้ายหมายเลขหรือเมื่อส่งซิมการ์ดสำเนานอกเหนือจากการระบุที่อยู่ทางไปรษณีย์สำหรับส่งการ์ดแล้ว ยังมีปัญหาที่เกี่ยวข้องกับ... ความล้มเหลวในการตรวจสอบผู้ปฏิบัติงาน.

ผู้พิพากษากล่าวถึงข้อกำหนดที่ "หย่อนยานมาก" เมื่อเทียบกับผู้ให้บริการโทรคมนาคมรายอื่น และเน้นย้ำว่าในทางปฏิบัติแล้ว ทุกคนสามารถรับซิมการ์ดใหม่ได้ที่ที่อยู่ตามที่ระบุไว้โดยไม่สามารถพิสูจน์ความเป็นเจ้าของสายโทรศัพท์ได้ ศาลพิจารณาว่านี่เป็น “การละเมิดความปลอดภัยครั้งใหญ่” ในช่วงเวลาที่โทรศัพท์มือถือเป็นกุญแจสำคัญในการเข้าถึงบริการธนาคารดิจิทัล

ข้อโต้แย้งนี้ยังชี้ให้เห็นว่า Vodafone ได้สะสมเงินมาจำนวนมาก ประวัติการลงโทษสำหรับการขโมยข้อมูลส่วนบุคคลและการปลอมแปลงเอกสารสำนักงานคุ้มครองข้อมูลแห่งสเปน (AEPD) ได้สั่งปรับบริษัทดังกล่าวเป็นเงิน 4 ล้านยูโรแล้ว โทษฐานอนุญาตให้มีการออกซิมการ์ดในชื่อของบุคคลที่สาม ซึ่งส่งผลให้เกิดการฉ้อโกงทางธนาคารหลายกรณี

ในคดีใหม่นี้ ศาลเข้าใจว่ามีอยู่ ความเชื่อมโยงโดยตรงระหว่างความประมาทเลินเล่อของผู้ประกอบการและความสำเร็จของการฉ้อโกงผู้พิพากษาให้เหตุผลว่า หากไม่มีกระบวนการโอนย้ายหมายเลขโทรศัพท์ที่ดำเนินการโดยปราศจากหลักประกัน ก็จะไม่สามารถควบคุมหมายเลขโทรศัพท์ ดักฟังรหัส SMS หรือเข้าถึงบัญชีธนาคารออนไลน์ของลูกค้าได้

คำตัดสินยังระบุด้วยว่า แม้จะทราบเกี่ยวกับการแพร่กระจายของเชื้อโรคมานานหลายปีแล้วก็ตาม การแลกเปลี่ยน SIM, มาตรการที่นำมาใช้ยังไม่เพียงพอ เพื่อปกป้องกระบวนการเคลื่อนย้ายและการออกสำเนา ซึ่งจะทำให้การประเมินพฤติกรรมของผู้ประกอบการเข้มงวดขึ้น

ความรับผิดชอบของ WiZink: ความล้มเหลวในการตรวจสอบความถูกต้องของการชำระเงินอย่างเข้มงวด

ธนาคารก็ประสบชะตากรรมไม่ดีเช่นกัน ศาลพิจารณาว่า WiZink ไม่ปฏิบัติตามข้อกำหนดการตรวจสอบสิทธิ์ที่เข้มงวดเน้นย้ำถึงความสำคัญของ การยืนยันตัวตนด้วยเซลฟี่กฎระเบียบด้านบริการชำระเงินในสหภาพยุโรปกำหนดให้ต้องผสมผสานองค์ประกอบด้านความปลอดภัยหลายอย่างเข้าด้วยกัน (เช่น ความรู้ การครอบครอง และไบโอเมตริก)

โดยเฉพาะอย่างยิ่ง มติดังกล่าวเน้นย้ำว่าหน่วยงานนั้น ระบบไม่ตรวจพบว่าองค์ประกอบ "การครอบครอง" นั้นถูกบิดเบือนไปเครื่องที่ใช้ตรวจสอบความถูกต้องของธุรกรรมไม่ได้อยู่ในมือของผู้เป็นเจ้าของที่ถูกต้องอีกต่อไป แต่กลับอยู่ในมือของมิจฉาชีพที่ปลอมแปลงซิมการ์ดมา แม้จะเป็นเช่นนั้น ระบบก็ยังอนุญาตให้เปลี่ยนรหัสผ่านและทำธุรกรรมได้โดยไม่แจ้งเตือนใดๆ เลย

คำตัดสินนี้ยังชี้ให้เห็นถึงความง่ายดายที่พวกเขาสามารถทำได้ด้วย แก้ไขข้อมูลประจำตัวโดยใช้เพียงข้อมูล เช่น หมายเลขประจำตัว ของฝ่ายที่ได้รับผลกระทบ ซึ่งเมื่อรวมกับการยึดครองสายโทรศัพท์มือถือแล้ว ทำให้เปิดช่องทางให้เหล่าอาชญากรไซเบอร์เข้าถึงข้อมูลได้อย่างอิสระ

ในมุมมองของศาล WiZink มันไม่ได้พิสูจน์ว่าการปฏิบัติการดังกล่าวได้ดำเนินการด้วยระดับความปลอดภัยที่เพียงพอ นอกจากนี้ เขายังไม่ได้จัดส่งเอกสารทางเทคนิคที่จำเป็นเกี่ยวกับระบบการตรวจสอบสิทธิ์ อุปกรณ์ที่ใช้ หรือบันทึกการเข้าถึงภายใน ซึ่งการขาดหลักฐานนี้เป็นผลเสียต่อเขา

ผู้พิพากษาระบุว่าทั้งการโอนเงินที่ไม่ปลอดภัยและการขาดการควบคุมการชำระเงินที่รัดกุมนั้นเป็นปัญหา สาเหตุหนึ่งที่ก่อให้เกิดความเสียหายดังนั้น การกำหนดสัดส่วนความผิดจึงไม่เหมาะสม ทั้งสองฝ่ายต้องรับผิดชอบร่วมกันต่อความเสียหายที่ลูกค้าได้รับ

การประณามร่วมกัน: ธนาคารและบริษัทโทรคมนาคม อยู่ในเรือลำเดียวกันในเรื่องการสลับซิม

คำพิพากษาของศาลชั้นต้นที่ 44 แห่งมาดริดไม่ได้เพียงแต่สั่งให้คืนเงินที่ถูกฉ้อโกงไปเท่านั้น แต่ยังประกาศด้วยว่า WiZink และ Vodafone-Lowi ต้องรับผิดชอบร่วมกัน เป็นการฉ้อโกง เพื่อให้ฝ่ายใดฝ่ายหนึ่งถูกบังคับให้ชำระเงินเต็มจำนวน พร้อมดอกเบี้ยและค่าใช้จ่ายทางกฎหมาย จากนั้นจึงสามารถเรียกร้องค่าเสียหายจากอีกฝ่ายได้หากเห็นว่าเหมาะสม

มติดังกล่าวเน้นย้ำว่า “โดยไม่มีคุณสมบัติในการพกพา จะไม่สามารถเข้าถึง WiZink ได้ และหากไม่มีสิ่งนี้ การละเมิดข้อมูล WiZink "หากไม่มีการดำเนินการดังกล่าว ก็คงไม่มีการจัดทำข้อกำหนดเหล่านั้น" กล่าวอีกนัยหนึ่ง การกระทำโดยประมาททั้งสองอย่างนั้นมีความสำคัญอย่างยิ่งต่อการเกิดขึ้นของการฉ้อโกง

สำหรับอาซูฟินแล้ว องค์ประกอบนี้มีความสำคัญอย่างยิ่งเพราะ นี่เป็นการล้มล้างแนวคิดที่ว่าเฉพาะธนาคารเท่านั้นที่ควรแบกรับภาระปัญหาทางกฎหมาย ในส่วนของการฉ้อโกงทางดิจิทัล สมาคมได้โต้แย้งมานานแล้วว่า ในระบบการเงินที่เป็นดิจิทัลอย่างสมบูรณ์ ตัวกลางทางเทคโนโลยีทั้งหมดที่เกี่ยวข้องในห่วงโซ่การชำระเงินต้องร่วมรับผิดชอบเมื่อการกระทำของพวกเขาก่อให้เกิดช่องทางให้เกิดอาชญากรรม

คำตัดสินนี้ยังเน้นถึงพฤติกรรมของฝ่ายที่ได้รับผลกระทบด้วย โดยศาลเข้าใจว่าลูกความ เขาทำงานอย่างรอบคอบ เขาไม่ได้ประมาทเลินเล่อกับข้อมูลของเขา และรายงานการฉ้อโกงทันทีที่เขาพบเห็น ซึ่งเป็นการตัดความเป็นไปได้ที่จะมีการโยนความผิดส่วนหนึ่งให้เขา

แม้ว่าคำตัดสินนี้สามารถยื่นอุทธรณ์ได้ภายในยี่สิบวัน แต่ความสำคัญเชิงสัญลักษณ์ของคำตัดสินนี้ชัดเจน: นี่ถือเป็นบรรทัดฐานสำคัญในการต่อสู้กับการสลับซิมการ์ดในสเปน และส่งสัญญาณที่ชัดเจนไปยังธนาคารและผู้ให้บริการโทรคมนาคมเกี่ยวกับภาระหน้าที่ในการเสริมสร้างระบบของตนให้แข็งแกร่งขึ้น

ปัญหาที่กำลังทวีความรุนแรงขึ้น: Digi, Orange และ O2 ถูกปรับเนื่องจากความล้มเหลวในลักษณะเดียวกัน

กรณีของ WiZink และ Vodafone-Lowi ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว ควบคู่ไปกับการตัดสินนี้ หน่วยงานคุ้มครองข้อมูลของสเปน (AEPD) ก็ได้ดำเนินการเช่นกัน การรวบรวมประวัติการคว่ำบาตรต่อบริษัทโทรคมนาคมหลายแห่ง เนื่องจากความบกพร่องอย่างร้ายแรงในกระบวนการตรวจสอบตัวตนและการจัดการการอ้างสิทธิ์การโอนย้ายบัตรเครดิตที่เป็นเท็จ

ในบรรดามติล่าสุด การปรับเงินถือเป็นเรื่องที่โดดเด่น บริษัท Digi ได้รับเงิน 200.000 ยูโร สำหรับกรณีการสลับซิมการ์ด ในกรณีนี้ บุคคลที่สามได้รับซิมการ์ดปลอมโดยที่บริษัทไม่ได้ตรวจสอบตัวตนของผู้สมัครอย่างถูกต้อง วิธีการก็คล้ายกัน คือ เมื่อหมายเลขโทรศัพท์ลงทะเบียนในชื่อของตนเองแล้ว ผู้กระทำผิดก็สามารถเข้าถึงบัญชีธนาคารออนไลน์ของเหยื่อและทำธุรกรรมในนามของเหยื่อได้

มาตรการคว่ำบาตรนี้เป็นมาตรการเพิ่มเติมจากมาตรการคว่ำบาตรอื่นอีกหนึ่งมาตรการ 150.000 ยูโร ให้กับผู้ให้บริการรายเดียวกัน เนื่องจากเป็นการละเมิดกฎระเบียบการคุ้มครองข้อมูลส่วนบุคคลทั่วไปอย่างร้ายแรง ในกรณีนั้น มีการจดทะเบียนสัญญาปลอม และต่อมาบุคคลที่ได้รับผลกระทบถูกรวมอยู่ในแฟ้มการเรียกเก็บหนี้โดยไม่ถูกต้อง สำหรับหนี้ที่พวกเขาไม่เคยก่อขึ้น

บริษัทออเรนจ์ก็ตกอยู่ภายใต้การตรวจสอบเช่นกัน ศาลแห่งชาติยืนยันว่าบริษัทดังกล่าว ละเมิดกฎระเบียบการคุ้มครองข้อมูล โดยการออกซิมการ์ดซ้ำซ้อนโดยไม่ตรวจสอบตัวตนของผู้สมัครอย่างถูกต้อง ในเหตุการณ์ที่เกิดขึ้นระหว่างปี 2019 ถึง 2020 แม้ว่าสำนักงานคุ้มครองข้อมูลของสเปน (AEPD) จะกำหนดค่าปรับเบื้องต้น 700.000 ยูโร แต่ศาลได้ลดค่าปรับเหลือ 300.000 ยูโร เนื่องจากบริษัทได้ดำเนินการอย่างรวดเร็ว ได้ยกเลิกตู้บริการตนเองและปรับปรุงขั้นตอนการเปิดใช้งานให้เข้มงวดขึ้น.

ในส่วนของ O2 นั้น ได้บันทึกสถิติไว้ในปี 2023 ว่า กรณีแรกของการสลับ eSIM ตรวจพบโดยสำนักงานคุ้มครองข้อมูลแห่งสเปน (AEPD) ในเหตุการณ์นี้ ผู้โจมตีได้เปลี่ยนที่อยู่อีเมลติดต่อของลูกค้าและขอสร้างสำเนาเสมือนของหมายเลขโทรศัพท์ เนื่องจากเป็น eSIM การเปิดใช้งานจึงทำจากระยะไกลโดยไม่จำเป็นต้องใช้การ์ดจริง ซึ่งเป็นการใช้ประโยชน์จากช่องโหว่ ความไม่แข็งแกร่งของขั้นตอนการตรวจสอบความถูกต้อง เพื่อให้สามารถควบคุมหมายเลขโทรศัพท์และบริการที่เกี่ยวข้องได้อย่างสมบูรณ์

การตอบสนองจากภาคสถาบัน: จากเวทีส่งเสริมแนวปฏิบัติที่ดีไปจนถึงหน่วยปราบปรามการฉ้อโกง

การฉ้อโกงและการลงโทษที่เกิดขึ้นต่อเนื่องกันในที่สุดก็ส่งผลให้ การสลับซิมการ์ดในวาระทางการเมืองและกฎระเบียบบริษัท Asufin ซึ่งได้นำคดีเหล่านี้ขึ้นสู่ศาลหลายคดี เป็นส่วนหนึ่งของเวทีเพื่อการปฏิบัติทางการเงินที่ดี (Forum for Good Financial Practices) ที่จัดตั้งขึ้นโดยกระทรวงเศรษฐกิจ การค้า และธุรกิจ ในปี 2022

จากจุดยืนดังกล่าว สมาคมได้ผลักดันให้มีการดำเนินการดังต่อไปนี้ การฉ้อโกงทางการเงินถือเป็นหนึ่งในปัญหาที่สำคัญที่สุดสำหรับผู้บริโภค และเพื่อประสานมาตรการกับ การตรวจสอบภาษีใหม่เป้าหมายคือให้ธนาคาร บริษัทโทรคมนาคม และหน่วยงานภาครัฐประสานงานกันเพื่อดำเนินมาตรการที่เป็นรูปธรรม ทั้งในด้านการป้องกันและการชดเชยแก่ผู้เสียหาย

หลังจากการประชุมครั้งสุดท้ายของฟอรัมนี้ ซึ่งจัดขึ้นเมื่อวันที่ 10 ธันวาคม รัฐมนตรีว่าการกระทรวงเศรษฐกิจ คาร์ลอส คูเออร์โป ได้ประกาศการดำเนินการตามนโยบายใหม่ หน่วยปราบปรามการฉ้อโกงที่เชี่ยวชาญด้านอาชญากรรมทางการเงินดิจิทัลหน่วยงานนี้จะได้รับการมีส่วนร่วมโดยตรงจากภาคโทรคมนาคม โดยสันนิษฐานว่าปัญหาดังกล่าวไม่สามารถแก้ไขได้จากมุมมองของภาคธนาคารเพียงอย่างเดียวอีกต่อไป

คำตัดสินของศาลมาดริดสอดคล้องกับกลยุทธ์นี้อย่างสมบูรณ์แบบ: เป็นการตอกย้ำแนวคิดที่ว่า ความปลอดภัยของข้อมูลและการสื่อสารเป็นข้อผูกพันทางกฎหมาย และไม่ใช่ส่วนประกอบเสริมของบริการ หากโปรโตคอลล้มเหลว ต้นทุนทางเศรษฐกิจของอาชญากรรมอาจตกอยู่กับบริษัทโดยตรง

สำหรับผู้ใช้งาน ขั้นตอนเหล่านี้แสดงถึงความก้าวหน้าในการปกป้องตนเองจากการหลอกลวงที่ซับซ้อนมากขึ้นเรื่อยๆ คาดหวังว่า เมื่อเผชิญกับความเสี่ยงที่จะต้องจ่ายค่าชดเชยและค่าปรับเป็นจำนวนหลายล้าน เทคนิคใหม่ในการต่อต้านการฉ้อโกง และการพัฒนาด้านเทคโนโลยีจะกระตุ้นให้ธนาคารและบริษัทโทรคมนาคมยกระดับมาตรฐานความปลอดภัยและตอบสนองได้รวดเร็วยิ่งขึ้นเมื่อมีการรายงานธุรกรรมที่น่าสงสัย

กิจกรรมทางด้านตุลาการและกฎระเบียบทั้งหมดนี้ วาดภาพที่แสดงให้เห็นว่า การสลับซิมการ์ดไม่ใช่การฉ้อโกงที่ไร้เบาะแสอีกต่อไปแล้ว เนื่องจากมีผู้กระทำผิดที่ชัดเจน ปัญหานี้กลายเป็นปัญหาที่ส่งผลกระทบต่อระบบนิเวศดิจิทัลทั้งหมด ตั้งแต่ผู้ให้บริการที่จัดการสายสัญญาณ ไปจนถึงหน่วยงานที่อนุมัติการชำระเงิน รวมถึงหน่วยงานกำกับดูแลภาครัฐที่กำหนดกฎเกณฑ์ต่างๆ และถึงแม้ว่ายังมีหนทางอีกยาวไกล แต่มติล่าสุดบ่งชี้ว่าผู้ที่ไม่รักษาความปลอดภัยของกระบวนการทำงานของตนจะมีช่องทางน้อยลงที่จะเพิกเฉยเมื่อลูกค้าพบว่าบัญชีของตนถูกถอนเงินออกไปจนหมดหลังจากทำสำเนาซิมการ์ดง่ายๆ

บทความที่เกี่ยวข้อง:

ปกป้องอีคอมเมิร์ซของคุณ: กลยุทธ์ที่มีประสิทธิภาพในการต่อต้านการฉ้อโกง