Resumen

  • El control de la prevención y la detección sobre la superficie de contacto por abuso de Svea está repartido entre los objetos congelados del operador (JE4899-RIPE, AS211899, ORG-SBA155-RIPE con abuse-c SEAR1-RIPE) y la capa del LIR patrocinador (ORG-TA44-RIPE, con el rol SWIP-RIPE modificado el 1 de julio de 2026 con un buzón de abuso bajo el dominio tele2.com).
  • La única rendición de cuentas que puede demostrarse que se activó es la sanción de Finansinspektionen del 17 de diciembre de 2025: una anmärkning y 170 millones de coronas por incumplimientos de normas contra el blanqueo de capitales, no por el manejo del contacto de abuso.
  • Ningún informe de validación publicado, resultado de queja rastreada, solicitud de arbitraje ni acción de cumplimiento certifica el estado de los atributos abuse-mailbox de Svea; «no observado públicamente» no equivale a «no ejecutado».

Un operador que quiere que las quejas lleguen a alguien controla dos cosas: que la dirección publicada sea correcta y que alguien la lea. El registro RIPE sólo puede auditar la primera. La política ripe-705, nacida de la propuesta 2017-02 (aceptada el 1 de junio de 2018 e implementada el 10 de octubre de 2019), exige que cada objeto inetnum, inet6num y aut-num referencie un abuse-c cuyo objeto de rol contenga un único abuse-mailbox, disponible sin restricciones por whois y APIs, y obliga al RIPE NCC a validar ese buzón al menos una vez al año mediante comprobaciones automatizadas de sintaxis, dominio y configuración del servidor de correo, sin enviar correo. Cuando un atributo se considera incorrecto, el seguimiento pasa por el LIR responsable o patrocinador, y la escalera puede terminar en el cierre del LIR o la desregistración de recursos (ripe-705; propuesta 2017-02; abuse-c Information; documentación de la base de datos).

La superficie de Svea muestra cómo se reparte ese control. El AS211899 (as-name SVEA) está registrado en ORG-SBA155-RIPE (Svea Bank AB, reg-nr 556158-7634) con sponsoring-org ORG-TA44-RIPE (Tele2/SWIPNET); el aut-num se creó el 2 de febrero de 2021 y su última modificación registrada es del 13 de mayo de 2022 (espejo IPIP; espejo Sitezilla). El objeto de organización lleva abuse-c SEAR1-RIPE, pero los espejos muestran marcas de tiempo contradictorias para ese objeto (2022-12-01 frente a 2026-05-13) y el valor real del buzón detrás de SEAR1-RIPE no pudo verificarse desde la fuente primaria en esta investigación (consulta RIPE). El objeto de persona JE4899-RIPE (Jorgen Edstrom) conserva la dirección «Svea Ekonomi AB» con última modificación el 11 de abril de 2022, y el bloque heredado 193.105.138.0/24 enruta los contactos de abuso hacia un buzón de terceros desde el 2 de febrero de 2021. Algunos espejos calculan el contacto de abuso como un buzón individual bajo el dominio svea.com que diverge del manejador de rol (espejo IPGeolocation).

La parte de la cadena que sí se ha tocado está fuera de Svea: el rol SWIP-RIPE (Swipnet Staff), que lleva una abuse-mailbox bajo el dominio tele2.com, muestra última modificación el 1 de julio de 2026. Ese es el punto central del reparto: el operador mantiene congelados sus propios objetos de contacto desde 2021-2022, mientras que la capa de patrocinio y mantenimiento, controlada por Tele2, es la única que ha recibido mantenimiento reciente.

En términos de la pregunta de este informe: la prevención documental (mantener los registros correctos) era responsabilidad del operador y no se ejerció; la detección operativa (qué buzón recibe de verdad las quejas del AS211899) depende hoy de objetos mantenidos por el patrocinador.

¿Y la detección institucional? La escalera de validación de ripe-705 está diseñada precisamente para detectar buzones inválidos y presionar mediante el LIR. Pero el registro público no contiene ningún resultado publicado para los atributos de Svea: ni informe de validación, ni queja rastreada, ni arbitraje, ni acción de cumplimiento. La cobertura anterior de BTW documentó ese silencio y lo separó con rigor de la no ejecución (informe anterior de BTW). El RIPE NCC garantiza la validez de los contactos, no puede obligar a nadie a responder.

La comparación con la sanción de Finansinspektionen ilumina la asimetría. El 16 de diciembre de 2025 (anunciada el 17 de diciembre a las 08:00, dossier FI dnr 23-13249), el supervisor sueco decidió una anmärkning y una sanción de 170 000 000 de coronas contra Svea Bank AB bajo el capítulo 15, § 7 de la ley de actividad bancaria y financiera, por incumplimientos de partes centrales de las normas contra el blanqueo de capitales —identificación de titulares reales y diligencia debida reforzada para clientes de alto riesgo— en el periodo de investigación del 30 de abril de 2022 al 1 de mayo de 2023 (decisión FI; anuncio FI; cierre de investigación; registro de sanciones). El tope se calculó sobre la facturación de grupo de 2024 (unos 6 271 millones de coronas; máximo posible de unos 627 millones). Es una rendición de cuentas real, con documento, cuantía y plazo: se activó. Pero se activó sobre el canal AML, no sobre el canal del contacto de abuso.

La conclusión para los consejos de administración y los operadores es incómoda pero precisa: el control de la prevención y la detección en esta superficie estaba dividido entre un operador que no mantuvo sus registros y un patrocinador que sí mantuvo los suyos, y la única maquinaria de rendición de cuentas que demostrablemente funciona para este grupo es la de un supervisor financiero que actúa sobre otro tipo de fallo. Durabilidad de la reparación, si algún día ocurre, tendría que demostrarse con lo que ninguna de las dos capas ha producido hasta ahora: un resultado de validación publicado y una respuesta rastreada a una queja real.