Resumen

  • La portabilidad móvil traslada el servicio de un número a un nuevo operador sin cambiar los dígitos. Por eso una solicitud fraudulenta puede mover el control operativo sin alertar a quienes siguen usando el número conocido.
  • La ACMA encontró 131 ocasiones de incumplimiento entre septiembre y diciembre de 2024 después de que estafadores explotaran debilidades en sistemas de Lycamobile. Son ocasiones o instancias regulatorias, no 131 víctimas, números únicos ni pérdidas.
  • La cifra de daño es “pérdidas comunicadas por consumidores de al menos 175.000 A$”. La documentación pública no ofrece el número de consumidores ni atribuye una pérdida a cada una de las 131 ocasiones.
  • Lycamobile pagó dos notificaciones de infracción por un total de 376.200 A$: 356.400 A$ por 18 presuntas infracciones seleccionadas y 19.800 A$ por una. Esos 19 elementos no son todo el conjunto de 131 y el pago no equivale a una sentencia judicial o condena penal.
  • El compromiso exigible judicialmente dura 18 meses y establece pruebas independientes, auditorías, respuestas de implantación, informes, formación y conservación de registros. Es un programa futuro de garantía, no una certificación de que la reparación ya terminó.

Análisis

El cambio que no se ve en los dígitos

Portar un número significa mantenerlo mientras el servicio pasa de una compañía a otra. La nueva compañía es el proveedor receptor o “ganador”. Antes de iniciar el traslado, ese proveedor controla la decisión que permite que la red empiece a entregar las comunicaciones por una ruta de servicio distinta.

Para un cliente legítimo, el proceso evita una ruptura. No necesita avisar a todos sus contactos ni modificar cada cuenta que utiliza el número. Para un estafador, esa misma continuidad ofrece una apariencia útil: el identificador visible no cambia aunque cambie quién recibe los mensajes.

El código australiano de portabilidad describe interfaces automatizadas entre participantes y la distribución de información de encaminamiento. “Encaminamiento” significa decidir por qué red y hacia qué servicio se entregan las comunicaciones. No hace falta comprender cada protocolo para ver la consecuencia: el portado modifica el destino operativo de un número público persistente.

Por eso la investigación no es solamente una historia sobre fraude digital. La acción decisiva fue un traspaso controlado por operadores. El deber de verificar, el cambio de red y la posible redirección de llamadas y textos forman una sola cadena de infraestructura.

Hallazgos, respuesta empresarial y límite técnico

La ACMA afirmó que estafadores aprovecharon debilidades en los sistemas de Lycamobile durante solicitudes de portabilidad. En 131 instancias no se ejecutaron los pasos prescritos de verificación adicional. La presidenta de la autoridad añadió que las brechas fueron explotadas durante más de tres meses sin detección.

En su respuesta regulatoria, Lycamobile dijo que fallos de sistema no identificados permitieron eludir los protocolos, pese a contar con sistemas y procedimientos que consideraba conformes. También atribuyó la explotación a un tercero externo. La ACMA rechazó que esa explicación eliminara el incumplimiento: el proveedor necesitaba sistemas robustos que aseguraran el funcionamiento del proceso y, en los casos investigados, los pasos no ocurrieron.

La formulación completa incluye ambas posiciones. No conviene presentar a la empresa como si no hubiera explicado nada, ni utilizar su explicación para borrar la conclusión del regulador.

Tampoco conviene completar con imaginación lo que las fuentes omiten. No se conoce públicamente el defecto de código, la interfaz, el flujo de autenticación, la fecha de introducción, el proveedor tecnológico, el responsable interno ni el método preciso del atacante. “Fallos de sistema no identificados” sigue siendo una descripción atribuida, no un informe forense completo.

Qué exigía la norma

La norma de verificación adicional previa a la portabilidad sigue vigente. Antes de iniciar el traslado, el proveedor receptor debe usar uno de los procesos aprobados para confirmar que la persona que solicita el cambio es titular del derecho de uso del número, o representante autorizado, y tiene el acceso exigido al dispositivo móvil asociado. No debe continuar si ese proceso no se ha utilizado.

La expresión “derecho de uso” evita una simplificación. El abonado utiliza un número dentro de un sistema administrado; no lo posee como una parcela. El control protege la continuidad de ese derecho cuando cambia la relación de servicio.

La obligación es más fuerte que mostrar una pantalla. La función que autoriza el portado necesita un resultado válido para la operación concreta. Si el resultado pertenece a otro número, ha caducado, se reutilizó o no puede relacionarse con la petición, el estado seguro es detener el traslado.

La compañía receptora no puede limitarse a decir que un servicio de verificación estaba disponible. Debe demostrar que ese servicio produjo la condición que permitió esa portabilidad específica.

No convertir tres cifras en una sola historia

Los 131 casos forman el conjunto descrito por la investigación entre septiembre y diciembre de 2024. No son un censo de personas. Las fuentes no indican si corresponden a 131 números diferentes, si todos los intentos se completaron o si una misma persona aparece más de una vez.

Los 175.000 A$ son un mínimo de pérdidas comunicadas por consumidores. Las palabras “comunicadas” y “al menos” limitan la afirmación. No existe una tabla pública que muestre cuántos consumidores informaron pérdidas, cuánto recuperaron o qué parte correspondió a cada portado.

Los 376.200 A$ proceden de dos notificaciones administrativas. La primera, fechada el 20 de octubre de 2025, fijó 356.400 A$ y seleccionó 18 presuntas infracciones ocurridas entre el 13 de noviembre y el 6 de diciembre de 2024. La segunda, del 13 de noviembre de 2025, fijó 19.800 A$ para una presunta infracción seleccionada del 13 de noviembre de 2024.

La aritmética es 18 más una, y 356.400 más 19.800. No autoriza a decir que las dos notificaciones cubrieron las 131 instancias. Tampoco autoriza a calcular una “multa por caso” dividiendo el total entre 131.

Las notificaciones hablan de presuntas infracciones y de la creencia razonable de un funcionario autorizado. El informe y el registro de la ACMA recogen por separado los hallazgos regulatorios. De acuerdo con la política de la autoridad, el pago extingue la responsabilidad por la infracción alegada sin litigio. No es una decisión judicial sobre el fondo ni una condena.

El compromiso es exigible ante tribunales, pero esa cualidad describe cómo puede hacerse cumplir la promesa. No significa que un tribunal juzgara los hechos de 2024.

La prueba tiene que acompañar a la transacción

Un proceso dibujado sobre papel suele ser lineal: solicitud, verificación, aprobación y traslado. Un servicio real puede aceptar peticiones desde una web, una aplicación, atención asistida o sistemas internos. Puede reintentar pasos, gestionar excepciones y combinar componentes que identifican una operación de formas distintas.

La separación peligrosa aparece cuando la fase final confía en que “alguien” verificó al cliente, pero no exige una prueba vinculada al mismo número y a la misma solicitud. Una secuencia alternativa puede entonces llegar al portado sin atravesar la decisión prevista.

Un registro útil comienza con un identificador único. A él se asocian el número, la persona solicitante, el canal, el proveedor receptor, el método aprobado, el resultado, la hora y el acceso al dispositivo que corresponda. La autorización debe tener una vigencia corta y no poder reutilizarse.

El servicio de portabilidad comprueba ese objeto antes de enviar el cambio por las interfaces del sector. Si algo falta o no coincide, falla de forma segura: se detiene. Después, la finalización, cancelación o reversión conserva la misma referencia para que una investigación pueda reconstruir el camino.

Este es un modelo de buena evidencia, no una descripción del fallo técnico de Lycamobile. La documentación pública no permite reconstruir su arquitectura. Sí permite concluir que la existencia de protocolos no probó su ejecución en las 131 instancias.

Vigilar el resultado y no solo la actividad

El dato de más de tres meses sin detección obliga a mirar el segundo nivel de defensa. Una prevención puede fallar; la supervisión debe detectar la discrepancia sin compartir exactamente el mismo punto ciego.

La comprobación más directa toma todos los portados completados y busca su verificación correspondiente. Si existe un traslado sin un resultado válido, la compañía necesita abrir una investigación aunque todavía no haya una reclamación.

También son relevantes los reintentos anómalos, las pruebas reutilizadas, la pérdida repentina de servicio, las peticiones de reversión y los grupos de fallos en un canal. No son pruebas automáticas de fraude. Funcionan como señales que ganan sentido al relacionarse.

El soporte al cliente, fraude, ingeniería y cumplimiento suelen ver partes diferentes. Reunir las señales evita que cada equipo cierre su pequeño incidente sin advertir un problema común.

Un panel que cuenta verificaciones realizadas puede dar una imagen optimista. Una medida más exigente pregunta qué porcentaje de portados exitosos tiene una cadena completa y válida. También muestra la excepción más antigua, el tiempo hasta la contención y cuántas correcciones superaron una repetición independiente de la prueba.

Lo que establece el compromiso de 18 meses

El compromiso se firmó el 23 de diciembre de 2025 y tiene una duración de 18 meses. Exige que un consultor independiente realice pruebas de seguridad y de penetración en los meses 3, 9 y 15. Una prueba de penetración intenta atravesar defensas de forma controlada para encontrar caminos que un atacante podría aprovechar.

Los informes deben abordar hallazgos, causas de los problemas detectados, eficacia de políticas, alcance y limitaciones, y eficacia de las respuestas. Tras cada informe, Lycamobile debe preparar una respuesta de implantación aprobada por su consejo dentro de dos meses.

Se añaden auditorías de garantía de calidad cada tres meses e informes a la ACMA en los meses 7, 13 y 18, además de formación y conservación de registros. El ritmo obliga a volver sobre el sistema y sobre las medidas adoptadas.

Sin embargo, una obligación programada no es un resultado ya superado. Las fuentes públicas aquí utilizadas no incluyen todos los informes del consultor, resultados de auditoría ni cierres de recomendaciones. El compromiso tampoco revela por sí solo la causa técnica original.

El lenguaje correcto es prospectivo: la medida crea un mecanismo para probar y gobernar la corrección. No certifica que todo riesgo haya desaparecido.

A quién alcanza el daño

La persona legítima puede dejar de recibir llamadas y mensajes mientras todos los demás siguen viendo su número habitual. Recuperar el servicio puede exigir coordinación entre varias compañías y servicios posteriores.

La ACCC e IDCARE explican de manera general que un portado no autorizado puede desviar mensajes de recuperación y códigos de autenticación, y facilitar robo de identidad o dinero. Esas guías apoyan el mecanismo general; no demuestran la secuencia exacta sufrida por un cliente concreto de Lycamobile.

Quedan abiertos el número de personas detrás de las pérdidas, la distribución de los 131 casos, los intentos bloqueados, las reversiones, los reembolsos y la compensación. La información pública tampoco aclara por qué la brecha tardó más de tres meses en detectarse.

Mostrar esos vacíos ayuda a separar una recomendación razonable de una afirmación factual. Se puede exigir una mejor cadena de pruebas sin inventar una reconstrucción interna.

Portabilidad sin teatro de permisos

Reforzar el control no significa dificultar arbitrariamente la salida de una compañía. La portabilidad sirve a la continuidad y a la competencia. El objetivo es distinguir con fiabilidad al titular legítimo del atacante.

Los casos especiales —un dispositivo averiado, una necesidad de accesibilidad o una discrepancia de datos— requieren ayuda. La excepción debe tener autoridad explícita, motivo, caducidad, prueba secundaria y revisión. Un atajo informal se convierte en un segundo canal sin control.

Añadir preguntas o formularios que no condicionan el portado solo crea fricción visible. La calidad de un control se mide por el estado peligroso que impide y por la evidencia que conserva.

Un programa práctico de control

  1. Crear una identidad única para cada solicitud antes de verificar.
  2. Relacionarla con el número, solicitante, canal y proveedor receptor.
  3. Registrar en el servidor el método aprobado y su resultado.
  4. Dar a la prueba una vigencia limitada y prohibir su reutilización.
  5. Hacer que la función final rechace cualquier inconsistencia.
  6. Conservar fallos, abandonos, cancelaciones, excepciones y reversiones.
  7. Conciliar diariamente portados exitosos con pruebas válidas.
  8. Probar evidencia ausente, caducada, repetida, cruzada y desordenada.
  9. Repetir los escenarios tras cambios de software o integración.
  10. Informar a un responsable senior sobre excepciones y resultados de retest.

Este programa no necesita publicar datos personales. Necesita conservar la evidencia mínima que demuestra autorización y permite investigar. Más datos sin propósito pueden aumentar el riesgo de privacidad.

Qué conviene observar ahora

Primero, la cobertura: todos los canales deben producir la misma cadena verificable. Una estadística sin denominador o con canales excluidos puede ocultar el problema.

Segundo, el alcance de las pruebas independientes: deben incluir secuencias negativas, excepciones y servicios internos, y declarar claramente sus límites.

Tercero, el cierre real de recomendaciones: responsable, fecha, cambio concreto, criterio de aceptación y retest. “Implantado” no equivale a “eficaz”.

Cuarto, la velocidad de detección: un portado sin prueba debe aparecer antes que la primera pérdida comunicada.

Quinto, la precisión pública: 131 ocasiones, 19 elementos de notificación, pérdidas comunicadas de al menos 175.000 A$ y dos pagos que suman 376.200 A$ deben seguir siendo magnitudes separadas.

La enseñanza duradera

El sistema de portabilidad registra un traspaso operativo. Su registro no convierte automáticamente el traspaso en legítimo. La realidad que debe reflejar es que la persona autorizada pidió el cambio y superó la comprobación exigida.

El caso Lycamobile demuestra que un protocolo configurado puede coexistir con una ruta que no lo ejecuta. La respuesta consiste en unir prueba y transacción, detener estados inseguros, examinar caminos alternativos, conciliar todos los resultados y hacer visible el riesgo pendiente.

La buena portabilidad protege dos cosas a la vez: la libertad del usuario legítimo y la integridad del número como recurso de continuidad. Ambas dependen de lo que hace el sistema en funcionamiento.

Fuentes