Resumen

  • La ACMA determinó que Optus fue el operador receptor en 44 portabilidades de Coles Mobile entre el 23 de septiembre y el 23 de octubre de 2024 y que avanzó sin completar un proceso permitido de verificación adicional de identidad.
  • Según el anuncio del regulador, estafadores aprovecharon una vulnerabilidad de un sistema externo, controlaron al menos cuatro servicios móviles y accedieron a cuentas bancarias. Las pérdidas declaradas sumaron 39.000 dólares australianos.
  • El registro de portabilidad es necesario para mantener un número único y enrutable, pero no puede legitimar por sí solo una solicitud cuya autoridad no fue verificada.

Portar no es copiar unos dígitos

Para el usuario, conservar el número al cambiar de proveedor parece una operación administrativa. Los contactos siguen marcando los mismos dígitos. En la infraestructura, la operación cambia qué proveedor presta el servicio y dónde deben terminar las llamadas y los mensajes.

El proveedor receptor inicia el traspaso. El proveedor anterior libera el número conforme al proceso común. Los sistemas compartidos y las tablas de enrutamiento deben registrar un único destino vigente. Si esos estados no coinciden, el número puede quedar inaccesible o dirigirse al servicio equivocado.

El cambio también entrega control práctico. Quien maneja el nuevo servicio puede recibir SMS y llamadas destinados al número. Muchas organizaciones usan ese canal para alertas, códigos o recuperación de cuentas. Por eso un error de portabilidad puede abrir una puerta a daños fuera del sector telefónico.

No conviene decir que el número es propiedad privada del cliente. La norma australiana habla del titular del derecho de uso. Esa expresión distingue la autoridad legítima del usuario del sistema público que administra números únicos.

Antes de iniciar el traspaso, el proveedor receptor debe confirmar que la persona es titular del derecho de uso o representante autorizado y que tiene acceso directo e inmediato a un dispositivo asociado. Son pruebas relacionadas, pero no idénticas. Conocer datos de una cuenta no demuestra necesariamente control del dispositivo, y poseer un dispositivo no siempre demuestra autoridad para transferir el servicio.

Qué estableció la investigación

La Australian Communications and Media Authority, ACMA, identificó a Optus como proveedor receptor para Coles Mobile en los 44 casos investigados. El periodo relevante comenzó el 23 de septiembre y terminó el 23 de octubre de 2024.

La autoridad encontró 44 infracciones del apartado 8(2) de la norma de verificación previa a la portabilidad de 2020. También encontró 44 infracciones del apartado 8(5), que impide continuar si no se utilizó un proceso autorizado. De esas faltas derivaron infracciones del apartado 128(1) de la Ley de Telecomunicaciones de 1997.

El informe indica que se envió por SMS un código único de verificación a cada uno de los 44 números. Sin embargo, Optus no completó ninguno de los procesos exigidos para las portabilidades realizadas mediante el formulario en línea. El dato muestra la diferencia entre comenzar una acción técnica y obtener su resultado válido.

Algunos detalles fueron eliminados del informe por razones de seguridad. Las fuentes públicas no revelan la técnica concreta ni identifican al proveedor externo. Sí permiten afirmar que una deficiencia del sistema hizo posible saltarse parte del control.

El comunicado de la ACMA aporta la consecuencia conocida. Los estafadores tomaron control de al menos cuatro servicios móviles, accedieron a cuentas bancarias y causaron pérdidas declaradas por 39.000 dólares australianos.

No se deben mezclar esas cifras. Cuarenta y cuatro son las portabilidades que avanzaron sin verificación conforme y que el informe denomina no autorizadas. “Al menos cuatro” es el mínimo publicado de servicios móviles controlados por estafadores. Los 39.000 dólares son una suma agregada. No hay base para afirmar que 44 personas distintas perdieron dinero.

Un código enviado no es una identidad confirmada

Los códigos de un solo uso son habituales porque convierten una prueba compleja en una interacción breve. Su fiabilidad depende de preguntas que el usuario no ve. ¿A qué dispositivo se envió el código? ¿El resultado está ligado al mismo número y a la misma sesión? ¿Puede repetirse? ¿Caduca? ¿Qué ocurre si el proveedor externo no responde?

La ACMA no publica la ruta de explotación, y este artículo no intenta reconstruirla. La lección operativa no necesita esa especulación. Un sistema registró el envío de códigos, pero el control completo no se realizó. Por tanto, “enviado”, “recibido”, “validado” y “autorizado para portar” deben ser estados separados.

El flujo correcto comienza en no verificado. Se elige un método permitido. La evidencia se comprueba y queda vinculada al número, al solicitante, a la transacción y a un tiempo limitado. Solo entonces puede iniciarse la portabilidad. Una respuesta incompleta, una caída o un tiempo de espera deben detener el cambio.

Los sistemas posteriores no deberían aceptar una etiqueta verde sin procedencia. Necesitan una prueba mínima: método, versión, referencia, vigencia y vínculo con la transacción. Los documentos personales detallados pueden permanecer en un entorno protegido.

El registro describe el cambio, pero no crea legitimidad

Una portabilidad requiere un registro compartido. Sin él, dos redes podrían creer que sirven el mismo número o ninguna asumiría la responsabilidad. La unicidad y la exactitud son esenciales para la continuidad.

Sin embargo, un registro puede reflejar con precisión una orden equivocada. Si el filtro de identidad falla, la nueva red puede recibir las llamadas exactamente como indica la tabla. La infraestructura estará coherente, mientras que el titular legítimo habrá perdido el servicio.

Por eso el registro funciona como libro mayor, no como autoridad soberana sobre la identidad humana. Debe conservar la transferencia y permitir auditoría, pero su legitimidad depende de la evidencia que autorizó el cambio.

La capa real incluye al solicitante, el dispositivo, la decisión de verificación, la operación compartida y el enrutamiento activo. Una revisión eficaz compara esas capas. No se limita a preguntar qué proveedor aparece al final en la base.

El historial debe responder quién cambió qué, cuándo, mediante qué método y bajo qué versión. También debe permitir suspender o revertir una operación discutida sin repartir datos personales por todos los sistemas de red.

La responsabilidad sigue en el operador receptor

Los operadores contratan servicios especializados para documentos, fraude, mensajes o decisiones de identidad. La externalización puede mejorar la capacidad. No traslada la obligación regulatoria de no iniciar una portabilidad sin verificación.

Una integración segura define exactamente qué afirma la respuesta externa. Debe ligar el resultado a los datos correctos, limitar su duración y evitar su reutilización. También debe especificar el comportamiento ante error: nunca convertir indisponibilidad en permiso.

Los cambios del proveedor necesitan pruebas antes de llegar a producción. Casos como un campo ausente, un código vencido, una respuesta duplicada, un número distinto o una demora deben fallar de manera previsible.

La monitorización debe observar patrones. Un aumento inesperado de éxitos, la desaparición de rechazos normales o muchas solicitudes en un mismo canal pueden revelar un desvío. Una ruta vulnerable debe poder suspenderse sin cancelar todos los canales legítimos.

El proveedor externo puede aportar una señal. La decisión de entregar el control del número pertenece al operador que inicia la transferencia.

Controles comprensibles y comprobables

Cada portabilidad iniciada debe tener una única prueba válida y vinculada. Si no existe, la operación es una incidencia aunque nadie haya reclamado aún.

El sistema debe separar envío y validación. La evidencia debe caducar, ser de un solo uso y corresponder al número y a la sesión. Los procesos posteriores deben rechazar referencias ausentes o incoherentes.

Las métricas deben dividirse por canal y versión. Hay que contar solicitudes, retos, éxitos, fallos, expiraciones, revisiones manuales y operaciones finalmente iniciadas. La conciliación entre estas cifras descubre huecos.

Los responsables necesitan un mecanismo para congelar el método afectado. También hace falta un procedimiento de recuperación entre proveedores que preserve la evidencia. Revertir deprisa sin autoridad clara puede crear una segunda transferencia incorrecta.

La notificación debería utilizar una vía independiente cuando sea posible. Avisar solo al nuevo servicio puede informar al atacante. El contexto anterior de la cuenta puede aportar una señal adicional, respetando privacidad y seguridad.

Por último, el análisis posterior debe buscar la misma confianza defectuosa en otros canales. Reparar una vulnerabilidad no basta si varios sistemas siguen considerando una respuesta externa como prueba sin verificar su significado.

Sanción, daño y límites de la evidencia

Optus pagó 826.320 dólares australianos. La ACMA señaló que era la máxima sanción financiera disponible para este asunto.

La cifra no equivale al coste total. Los 39.000 dólares son pérdidas declaradas, no una valoración completa del tiempo, la angustia y la recuperación de identidades o cuentas. Tampoco permiten asignar una cantidad a cada servicio afectado.

La autoridad dijo que el problema puntual fue corregido rápidamente, pero el informe público no explica todos los cambios técnicos. No corresponde certificar una remediación que no puede observarse.

Tampoco existe base para atribuir intención a Optus, identificar al proveedor externo o publicar una supuesta receta de explotación. La conclusión verificable es suficiente: el proceso obligatorio no se completó y las portabilidades avanzaron.

Fuentes