Los métodos que utilizan los estafadores son cada vez más sofisticados. Además de mensajes o llamadas falsas para obtener sus contraseñas bancarias o pedir dinero a los familiares y contactos, pueden duplicar la tarjeta SIM o engañar al operador móvil para que transfiera el número telefónico a una nueva tarjeta SIM, lo que se llama SIM swap (o intercambio de SIM).
Para intentar evitarlo, los operadores del mundo implementan un protocolo llamado Open Gateway y en Costa Rica al menos Claro y Liberty lo aplicarán en forma voluntaria junto con otras medidas exigidas por la Superintendencia de Telecomunicaciones (Sutel) que deben completarse en diciembre próximo y en diciembre de 2027.
El Instituto Costarricense de Electricidad (ICE) no respondió si integrará el Open Gateway entre sus acciones antifraude.
¿Qué es Open Gateway?
El Open Gateway fue creado por la organización global de operadores GSM Association (GSMA) y permite que el banco verifique si hay alguna anomalía y bloquee la transferencia fraudulenta automáticamente.
“Actualmente nos encontramos concluyendo la fase de planificación y formalización de Open Gateway”, respondió José Gutiérrez, director legal y de regulación de Liberty.
“Nos encontramos en proceso para su implementación en Costa Rica”, indicó Claro.
Para la industria, es claro que las medidas de seguridad deben actualizarse en forma constante, en especial en la era de la inteligencia artificial (IA), cuando los ciberdelincuentes generan modalidades de ataques y estafas con mayor velocidad y efectividad.
José Pablo Rivera Ibarra, consultor en telecomunicaciones de la firma Nord, señaló que se requiere una instancia permanente de coordinación entre reguladores, bancos, operadores y autoridades de seguridad para reaccionar a tiempo a los nuevos métodos de fraude.
Es un esfuerzo que conlleva implicaciones económicas a todo nivel. “El costo termina en los precios o en menos inversión para ampliar capacidades de red o cobertura”, dijo Rivera. “Ya lo vimos con el bloqueo de señal en las cárceles: inversiones millonarias y las estafas solo cambiaron de lugar”.
Medidas inmediatas
Mientras implementan Open Gateway, los operadores deben cumplir con los dos paquetes de medidas enumeradas por Sutel en la resolución RCS-151-2026 de julio anterior.
El primer paquete de medidas debe estar implementado en dos semanas y se enfoca en identificar y bloquear mensajes de texto (SMS) y mensajes en aplicaciones como WhatsApp con intenciones fraudulentas, con origen no verificado o que evadan los filtros de seguridad.
También se identificarán y bloquearán aquellos mensajes de origen internacional enmascarados con números locales y los números de teléfono que envían cantidades de comunicaciones “no correspondientes a un comportamiento humano”, con excepción de los servicios autorizados.
Asimismo, se identificará el tráfico que nunca recibe respuesta y los mensajes con vínculos a sitios web maliciosos o de dudosa procedencia. Los operadores también deberán disponer de centros de atención al usuario final para reportes de intentos de estafa.
El segundo paquete de medidas se debe empezar a implementar a partir de junio de 2027 e incluye mecanismos apoyados en tecnologías avanzadas como murallas de fuego (firewall), IA y procesamiento del lenguaje natural.
Así se podrán inspeccionar y detectar mensajes maliciosos con protocolos manipulados, formatos para instalar software dañino, con enlaces falsos, con variaciones en la ortografía o caracteres especiales usados para evadir filtros y grandes cantidades de mensajes que son sospechosas al provenir de un mismo número telefónico y en un corto periodo de tiempo, incluyendo varios días consecutivos.
Entre estas medidas se encuentra el estándar Out-of-Band Shaken, donde los mensajes y llamadas se completarán solamente cuando se genere y se reciba el certificado de autenticación, incluso si se realizan desde sistemas de telefonía tradicional.
Sutel recalca que la inspección de los mensajes tiene como objetivo identificar comunicaciones sospechosas y que las normas establecen un equilibrio entre la seguridad y la privacidad de las comunicaciones.
“Los operadores y proveedores tienen prohibido procesar el contenido, el tráfico y otros datos relacionados con los mensajes para fines distintos a los especificados en la normativa”, dijo Glenn Fallas, director general de calidad de Sutel.
¿Cuál es el avance?
Aunque los operadores reiteran que implementan medidas de seguridad en forma permanente e incluso cuentan con sistemas denominados como murallas de fuego (firewall) y otros apoyados en IA, apuraron el paso para cumplir con el mandato de Sutel.
Liberty y Claro respondieron que reforzaron las medidas básicas relacionadas con la identificación y bloqueo de mensajes fraudulentos antes de que Sutel estableciera la regulación. Tras la promulgación de las normas, revisaron los controles de trazabilidad y autenticidad para cumplir el primer paquete de medidas en diciembre próximo.
“Estamos observando una mayor capacidad para identificar tráfico sin trazabilidad, mensajes internacionales que intentan presentarse como locales y patrones de envío automatizado o masivo”, indicó Claro.
Hay un riesgo al que deben anticiparse, sin embargo: que, por el plazo y la efectividad de toda la cadena, se establezcan filtros mal calibrados que bloqueen mensajes auténticos. “España tuvo que dar un período de gracia por esa razón”, advirtió Rivera.
Ambos operadores también analizan las medidas exigidas para el segundo semestre de 2027. Para esa época se contaría con la aplicación del Open Gateway.
Este protocolo funciona mediante una interfaz de programación de aplicaciones (API, por sus siglas en inglés) que comunica el sistema de los operadores con el de las entidades financieras para validar en milisegundos la ubicación del usuario (para identificar si hay delincuentes que intentan una estafa desde fuera de Costa Rica) o determinar si la tarjeta SIM fue activada recientemente.
“Los bancos deben verificar al destinatario y retener transferencias sospechosas”, explicó Rivera.
El Open Gateway es utilizado por 86 grupos de operadores (propietarios de unas 300 redes móviles en el mundo), que cubren el 80% de las conexiones celulares. En América Latina fue adoptado en nueve mercados (México y otros ocho países de Sudamérica), cubriendo el 90% de los accesos móviles. En Centroamérica no está implementado aún.
Los ciberdelincuentes no se quedarán quietos, empero. “Ninguna solución tecnológica puede eliminar por sí sola el fraude”, advirtió Gutiérrez, de Liberty. “Las modalidades evolucionan constantemente”.
Los operadores y los bancos tampoco podrán relajarse. Los usuarios, menos.
