Kejahatan siber yang terkait dengan pertukaran SIM bukan lagi masalah yang terbatas pada bank. Putusan baru-baru ini di Spanyol juga telah menyoroti operator telepon, dengan pengadilan sekarang menuntut tingkat keamanan yang jauh lebih tinggi dari mereka ketika proses mereka memfasilitasi penipuan keuangan.
Dalam lingkungan di mana keuangan pribadi dikelola hampir seluruhnya melalui telepon seluler , keputusan Pengadilan Tingkat Pertama nomor 44 Madrid berfungsi sebagai peringatan yang jelas: jika portabilitas atau kartu SIM duplikat diproses tanpa kontrol yang memadai dan ini memungkinkan rekening bank dikosongkan, perusahaan telepon mungkin akan menanggung biaya tersebut bersama dengan bank.
Apa yang terjadi dalam kasus Madrid: portabilitas nomor palsu dan pencurian lebih dari 4.000 euro
Kasus yang sedang diperiksa oleh pengadilan Madrid bermula dari transfer nomor telepon palsu dari Movistar ke Lowi (merek Vodafone) yang tidak pernah diminta oleh pemilik nomor tersebut. Pihak ketiga berhasil mendapatkan kartu SIM duplikat yang diterbitkan untuk pihak yang bersangkutan dan diaktifkan pada nomor baru atas nama mereka, tanpa ada pihak yang dapat memverifikasi identitas mereka secara andal.
Dengan jalur komunikasi yang kini berada di bawah kendali para penjahat, mereka dapat menerima pesan SMS dan kode verifikasi yang diperlukan untuk mengakses layanan perbankan online WiZink. Mereka mengubah kredensial login, meminta kata sandi baru, dan melakukan beberapa transaksi menggunakan dua kartu kredit yang terhubung dengan pelanggan tersebut.
Secara total, transaksi tidak sah senilai €4.047,91 dibebankan melalui tiga transaksi terpisah. Pelanggan sedang bepergian ke luar negeri ketika insiden itu terjadi dan oleh karena itu bahkan tidak memiliki akses ke saluran telepon aslinya, yang telah diambil alih oleh para penipu.
Pihak yang dirugikan mendeteksi transaksi tidak sah pada akun lain dan memberi tahu polisi serta entitas yang terlibat ( pemulihan dana ). WiZink awalnya mengembalikan biaya tersebut, tetapi kemudian mengaktifkannya kembali, dengan alasan itu adalah penipuan pihak ketiga dan menolak bertanggung jawab.
Menanggapi situasi ini, Asosiasi Pengguna Keuangan (Asufin) membela konsumen dan menggugat WiZink dan Vodafone-Lowi, dengan alasan bahwa penipuan terjadi karena kelemahan keamanan serius dalam portabilitas nomor dan otentikasi pembayaran . Hakim akhirnya memutuskan untuk memenangkan gugatan mereka di semua poin.
Alasan pengadilan menunjuk operator sebagai pihak yang bertanggung jawab: pemeriksaan identitas yang "sangat longgar"
Salah satu elemen paling mencolok dari putusan tersebut adalah ketegasan pengadilan dalam mengkritik protokol Lowi. Putusan tersebut menganggap terbukti bahwa perusahaan tidak mensyaratkan identifikasi yang efektif saat memproses portabilitas nomor atau saat mengirimkan penggantian kartu SIM , selain hanya memberikan alamat pos tempat kartu tersebut harus dikirim—masalah yang terkait dengan kegagalan dalam verifikasi operator.
Hakim menggambarkan persyaratan tersebut sebagai "sangat longgar" dibandingkan dengan operator telekomunikasi lain dan menekankan bahwa, dalam praktiknya, siapa pun dapat menerima kartu SIM baru di alamat yang diberikan , tanpa harus membuktikan bahwa mereka adalah pemegang rekening. Pengadilan menganggap ini sebagai "celah keamanan yang sangat besar" pada saat ponsel menjadi kunci untuk mengakses perbankan online.
Argumen tersebut juga menunjukkan bahwa Vodafone memiliki sejarah sanksi terkait pencurian identitas dan penggandaan kartu SIM palsu . Badan Perlindungan Data Spanyol (AEPD) telah mendenda perusahaan tersebut sebesar empat juta euro karena mengizinkan penerbitan kartu SIM atas nama pihak ketiga, yang mengakibatkan berbagai penipuan perbankan.
Dalam kasus baru ini, pengadilan memahami bahwa ada hubungan sebab akibat langsung antara kelalaian operator dan keberhasilan penipuan tersebut . Tanpa proses portabilitas nomor yang ditangani tanpa jaminan, hakim beralasan, tidak mungkin untuk mengambil kendali saluran, mencegat kode SMS, atau mengakses perbankan online pelanggan.
Putusan tersebut juga mencatat bahwa, meskipun telah mengetahui selama bertahun-tahun tentang maraknya praktik penukaran SIM , tindakan yang memadai belum diambil untuk melindungi proses portabilitas dan penerbitan SIM duplikat, yang memperburuk penilaian terhadap perilaku operator.
Tanggung jawab WiZink: kegagalan dalam otentikasi pembayaran yang kuat.
Bank tersebut juga tidak bernasib baik. Pengadilan menganggap bahwa WiZink gagal mematuhi persyaratan otentikasi pelanggan yang kuat , menyoroti pentingnya otentikasi swafoto . Peraturan layanan pembayaran di Uni Eropa mengharuskan penggabungan beberapa elemen keamanan independen (pengetahuan, kepemilikan, dan biometrik, misalnya).
Secara spesifik, putusan tersebut menyoroti bahwa bank gagal mendeteksi bahwa unsur "kepemilikan" telah dikompromikan : terminal yang memvalidasi transaksi tidak lagi berada di tangan pemilik sah, melainkan di tangan penipu yang telah menduplikasi kartu SIM. Meskipun demikian, sistem tersebut mengizinkan perubahan kata sandi dan transaksi untuk dieksekusi tanpa memicu peringatan yang efektif.
Putusan tersebut juga menyoroti betapa mudahnya kredensial dapat dimodifikasi hanya dengan menggunakan data seperti kartu identitas orang yang bersangkutan, sesuatu yang, dikombinasikan dengan pengambilalihan jalur seluler, membuka jalan yang hampir tanpa hambatan bagi penjahat siber.
Menurut pandangan pengadilan, WiZink gagal menunjukkan bahwa transaksi dilakukan dengan tingkat keamanan yang memadai, dan juga tidak memberikan dokumentasi teknis yang diperlukan mengenai sistem otentikasi, perangkat yang digunakan, atau log akses internal. Kurangnya bukti ini merugikan mereka.
Hakim memutuskan bahwa portabilitas nomor yang tidak aman dan kurangnya kontrol pembayaran yang kuat merupakan faktor penyebab kerugian , dan oleh karena itu, tidak tepat untuk membagi kesalahan kepada salah satu pihak. Kedua entitas harus bertanggung jawab bersama atas kerugian yang diderita oleh pelanggan.
Kecaman bersama: bank dan perusahaan telekomunikasi, berada di kapal yang sama terkait penukaran kartu SIM.
Putusan Pengadilan Tingkat Pertama No. 44 Madrid tidak hanya memerintahkan pengembalian uang yang digelapkan. Putusan tersebut menyatakan bahwa WiZink dan Vodafone-Lowi bertanggung jawab secara bersama-sama dan secara tanggung jawab penuh atas penipuan tersebut, yang berarti bahwa salah satu perusahaan dapat dipaksa untuk membayar jumlah penuh, ditambah bunga dan biaya hukum, dan kemudian mengajukan klaim internal terhadap perusahaan lain jika dianggap perlu.
Putusan tersebut menekankan bahwa “ tanpa portabilitas, tidak akan ada akses ke WiZink, dan tanpa pelanggaran kontrak oleh WiZink, ketentuan tersebut tidak akan dibuat.” Dengan kata lain, kedua tindakan lalai tersebut sangat penting agar penipuan dapat dilakukan.
Bagi Asufin, elemen ini sangat penting karena mematahkan anggapan bahwa hanya bank yang harus menanggung beban hukum atas penipuan digital. Asosiasi ini telah lama berpendapat bahwa, dalam sistem keuangan yang sepenuhnya digital, semua perantara teknologi yang terlibat dalam rantai pembayaran harus berbagi tanggung jawab ketika tindakan mereka membuka pintu bagi kejahatan.
Putusan tersebut juga menyoroti perilaku pihak yang terkena dampak: pengadilan memahami bahwa klien bertindak dengan cermat, tidak ceroboh dengan datanya , dan melaporkan penipuan tersebut segera setelah ia memiliki indikasi apa pun, yang menepis upaya apa pun untuk membebankan sebagian kesalahan kepadanya.
Meskipun putusan tersebut dapat diajukan banding dalam waktu dua puluh hari, signifikansi simbolisnya jelas: putusan ini menetapkan preseden yang relevan dalam memerangi praktik penukaran SIM di Spanyol dan mengirimkan pesan yang jelas kepada bank dan operator telekomunikasi tentang kewajiban untuk memperkuat sistem mereka.
Masalah yang semakin membesar: Digi, Orange, dan O2 didenda karena kegagalan serupa.
Kasus WiZink dan Vodafone-Lowi bukanlah insiden terisolasi. Bersamaan dengan putusan ini, Badan Perlindungan Data Spanyol (AEPD) telah mengumpulkan sejarah sanksi terhadap beberapa perusahaan telekomunikasi karena kekurangan serius dalam proses verifikasi identitas mereka dan dalam penanganan permintaan portabilitas nomor palsu.
Salah satu putusan terbaru adalah denda sebesar €200.000 yang dijatuhkan kepada Digi dalam kasus penukaran SIM di mana pihak ketiga memperoleh kartu SIM duplikat tanpa perusahaan tersebut memverifikasi identitas pemohon dengan benar. Skemanya sangat mirip: dengan nomor telepon yang terdaftar atas nama mereka, pelaku dapat mengakses perbankan online korban dan mengoperasikan sistem tersebut atas nama korban.
Denda ini merupakan tambahan dari denda sebesar €150.000 yang dikenakan kepada operator yang sama karena pelanggaran serius terhadap Peraturan Perlindungan Data Umum (GDPR). Dalam kasus tersebut, kontrak palsu didaftarkan, dan selanjutnya, individu yang bersangkutan secara tidak benar dimasukkan ke dalam basis data penagihan utang untuk utang yang tidak pernah mereka tanggung.
Orange juga berada di bawah pengawasan. Pengadilan Nasional mengkonfirmasi bahwa perusahaan tersebut melanggar peraturan perlindungan data dengan menerbitkan kartu SIM duplikat tanpa memverifikasi identitas pemohon dengan benar dalam insiden yang terjadi antara tahun 2019 dan 2020. Meskipun Badan Perlindungan Data Spanyol (AEPD) awalnya menjatuhkan denda sebesar €700.000, pengadilan menguranginya menjadi €300.000 sebagai pengakuan atas tindakan cepat perusahaan, yang termasuk menghapus kios layanan mandiri dan memperketat protokol aktivasi.
Sementara itu, O2 mencatat kasus pertama pertukaran eSIM yang terdeteksi oleh Badan Perlindungan Data Spanyol (AEPD) pada tahun 2023. Dalam insiden ini, penyerang mengubah alamat email kontak pelanggan dan meminta duplikat virtual dari nomor tersebut. Karena berupa eSIM, aktivasi dilakukan dari jarak jauh, tanpa memerlukan kartu fisik, memanfaatkan prosedur validasi yang lemah untuk mendapatkan kendali penuh atas nomor tersebut dan, akibatnya, layanan terkait.
Respons institusional: dari Forum Praktik Baik hingga brigade anti-penipuan
Serangkaian penipuan dan sanksi akhirnya menempatkan praktik SIM swapping secara tegas dalam agenda politik dan regulasi . Asufin, yang telah membawa banyak kasus ini ke pengadilan, merupakan bagian dari Forum Praktik Keuangan yang Baik yang dibentuk oleh Kementerian Ekonomi, Perdagangan, dan Bisnis pada tahun 2022.
Melalui platform ini, asosiasi tersebut telah mendesak agar penipuan keuangan dianggap sebagai salah satu masalah paling mendesak bagi konsumen dan agar dilakukan langkah-langkah terkoordinasi dengan otoritas pajak yang baru . Tujuannya adalah agar bank, perusahaan telekomunikasi, dan otoritas terkait mengkoordinasikan langkah-langkah konkret, baik pencegahan maupun kompensasi bagi para korban.
Menyusul sesi terakhir forum ini, yang diadakan pada tanggal 10 Desember, Menteri Perekonomian, Carlos Cuerpo, mengumumkan peluncuran unit anti-penipuan yang khusus menangani kejahatan keuangan digital . Unit ini akan melibatkan partisipasi langsung dari sektor telekomunikasi, dengan mengakui bahwa masalah ini tidak lagi dapat ditangani hanya dari perspektif perbankan.
Putusan pengadilan Madrid sangat sesuai dengan strategi ini: putusan tersebut memperkuat gagasan bahwa keamanan data dan komunikasi adalah kewajiban hukum , bukan sekadar pelengkap layanan. Jika protokol gagal, biaya ekonomi dari kejahatan tersebut dapat langsung ditanggung oleh perusahaan.
Bagi pengguna, langkah-langkah ini merupakan kemajuan dalam melindungi diri mereka dari penipuan yang semakin canggih. Harapannya adalah, dengan risiko harus membayar jutaan dalam bentuk kompensasi dan denda, teknik anti-penipuan baru dan peningkatan teknologi akan mendorong bank dan perusahaan telekomunikasi untuk meningkatkan standar keamanan mereka dan bereaksi lebih cepat ketika transaksi mencurigakan dilaporkan.
Semua aktivitas hukum dan regulasi ini menggambarkan bahwa penipuan SIM swapping bukan lagi sekadar penipuan "terisolasi" tanpa pelaku yang jelas , melainkan menjadi masalah yang dihadapi oleh seluruh ekosistem digital: mulai dari operator yang mengelola saluran hingga entitas yang mengotorisasi pembayaran, termasuk regulator publik yang menetapkan aturan main; dan, meskipun masih ada jalan panjang yang harus ditempuh, putusan terbaru menunjukkan bahwa mereka yang tidak mengamankan proses mereka akan semakin sulit untuk berpaling ketika rekening pelanggan dikosongkan setelah duplikasi SIM sederhana.
