CRC - Resolución 6384 de 2021

RESOLUCIÓN No. 6384 DE 2021

“Por la cual se recuperan cuatro (4) códigos cortos para la provisión de contenidos y aplicaciones a través de SMS o USSD asignados a CYCLELOGIC COLOMBIA S.A.S.

LA COORDINADORA DEL GRUPO INTERNO DE TRABAJO DE

RELACIONAMIENTO CON AGENTES DE LA COMISIÓN DE REGULACIÓN

DE COMUNICACIONES

En ejercicio de sus facultades legales conferidas en la Ley, en especial las previstas en los numerales 12 y 13 del artículo 22 de la Ley 1341 de 2009, el artículo 2.2.12.1.1.1 del Decreto 1078 de 2015, la Resolución CRC 5050 de 2016, y

CONSIDERANDO

1. ANTECEDENTES

Mediante el radicado 2020809827 del 28 de agosto de 2020, un funcionario de la Sección de Inteligencia y de Reacción de Ciberseguridad de BANCOLOMBIA S.A. informó que a través de los siguientes códigos cortos 893333, 87047, 87378 y 890456 asignados a CYCLELOGIC COLOMBIA LTDA hoy CYCLELOGIC COLOMBIA S.A.S.1 (en adelante CYCLELOGIC), se estaban enviando mensajes inadecuados a sus usuarios, de la siguiente manera: “actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude desde los códigos cortos que se adjuntan a este correo en formato Excel, no solo infringe el derecho de autor, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, sino que también podría alojar

cortos que se adjuntan a este correo en formato Excel, no solo infringe el derecho de autor, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, sino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y terceros. Se indica que este contenido NO ha sido autorizado por Bancolombia, esto con el fin que se tomen medidas de bloqueo del código y contenido.” (Destacado fuera de texto.)

Posteriormente, mediante el radicado 2020811345 del 29 de septiembre de 2020, un funcionario de BANCOLOMBIA S.A. señaló, entre otros, que el 22 de septiembre del mismo año, a través del código corto 893333 se habían env iado mensajes de t exto NO autorizados por parte de esa entidad financiera. Así, relacionó que se habían presentado 21 incidentes.

Analizada la información aportada como soporte de los radicados mencionados , el 27 de octubre de 2020, la Coordinadora de Relacionamiento con Agentes de la CRC, en ejercicio de sus funciones de Administrador de los Recursos de Identificación2, mediante comunicación con número 20202013513, inició una actuación administrativa para recuperar los códigos cortos mencionados, por presuntamente haberse configurado las causales de recuperación dispuestas en el artículo 6.4.3.2.2.

1 Certificado de Existencia y Representación Legal en el RUES – Registro Único Empresarial (https://www.rues.org.co) 2 Artículo 6.1.1.9 de la Resolución CRC 5050 de 2016. DELEGACIÓN DE LA ADMINISTRACIÓN DE LOS RECURSOS DE IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de

2 Artículo 6.1.1.9 de la Resolución CRC 5050 de 2016. DELEGACIÓN DE LA ADMINISTRACIÓN DE LOS RECURSOS DE IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC. 3 Radicado de salida 2020520860.Continuación de la Resolución No. 6384 de 9 de septiembre de 2021 Hoja No. 2 de 15

del Título VI de la Resolución CRC 5050 de 2016, de la siguiente manera: “ 6.4.3.2.2. Cuando los códigos cortos asignados presenten un uso diferente a aquél para el que fueron asignados (…)” .

Dicha comunicación fue notificada a CYCLELOGIC a través de correo electrónico del 28 de octubre de 2020, para que dentro de los quince (15) días siguientes contados a partir de su notificación, formulara sus observaciones, presentara o solicitara pruebas, e informara a la CRC sobre el uso que se le estaba dando al recurso numérico asignado.

Dentro del término mencionado, mediante la comunicación radicada internamente bajo el número 2020813661 del 12 de noviembre de 2020, CYCLELOGIC se pronunció de fondo sobre la actuación administrativa iniciada por esta Comisión.

En ese estado de la actua ción, mediante comunicación 2020522945 del 26 de noviembre de 2020, la Comisión, de conformida d con lo previsto en el artículo 6.1.1.8.1.2. 4 de la Resolución CRC 5050

En ese estado de la actua ción, mediante comunicación 2020522945 del 26 de noviembre de 2020, la Comisión, de conformida d con lo previsto en el artículo 6.1.1.8.1.2. 4 de la Resolución CRC 5050 de 2016, requirió a CYCLELOGIC, para que allegara información detallada sobre su modelo de negocio, esquema técnico del servicio de mensajería, funcionamiento operativo 5, descripción de las medidas adoptadas una vez conoció la actuación administrativa objeto de análisis , así como, sobre el uso otorgado a los códigos cortos objeto de discusión.

El 9 de diciembre de 2020, mediante comunicación 2020814824, CYCLELOGIC se pronunció frente a las pruebas incorporadas al expediente.

2. ARGUMENTOS PRESENTADOS POR CYCLELOGIC COLOMBIA S.A.S.

• Radicado 2020813661 del 12 de noviembre de 2020

En su escrito del 11 de noviembre de 2020, CYCLELOGIC presentó las evidencias de las detecciones y acciones correctivas realizadas, en virtud de los envíos de “phishing” a través de los códigos cortos 893333, 87047, 87378 y 890456.

La asignataria allegó un reporte de las detecciones en las fechas informadas en la actuación administrativa, en donde según menciona, hizo la búsqueda de todos los envíos realizados con la palabra “Bancolombia”, y obtuvo un listado de clientes6 con algunos datos adicionales como la “Fecha detección”, “Código corto” y “Operador”. Así, CYCLELOGIC agregó que, con base en este listado, había procedido a ejecutar acciones preventivas y correctivas para evitar que clientes no autorizados

detección”, “Código corto” y “Operador”. Así, CYCLELOGIC agregó que, con base en este listado, había procedido a ejecutar acciones preventivas y correctivas para evitar que clientes no autorizados realizaran envíos de mensajes de texto (SMS) que incluyeran la palabra “Bancolombia”.

Señaló que la plataforma de mensajería de CYCLELOGIC (https://messaging.wavy.global) contaba con la funcionalidad “ Palabras restringidas ”, la cual permitía bloquear los mensajes de texto que incluyeran la palabra “ Bancolombia”, entre otras, para clientes específicos, identificados por el “customerId”. De esta manera, CYCLELOGIC realizó una descripción de un “extracto” en donde se encontraban registradas las palabras prohibidas, la fecha de creación de la regla (created_at), la fecha de actualización (updated_at) y el identificador del cliente (customerid).

Finalmente, CYCLELOGIC señaló que realiza ba un proceso diario de detección basado en el algoritmo de detección de fraudes de Google (https://safebrowsing.google.com/). Dentro de este proceso, según manifestó se detectan las ULR de los mensajes y se comparan con las ULR obtenidas de Google para identificar fraudes. En este sentido, realizó una descripción de las últimas detecciones realizadas por CYCLELOGIC con la información de la fecha, customerid, country, y URL_detail.

Adicionalmente, mencionó que al detectarse una posible URL maliciosa, CYCLELOGIC inmediatamente alerta al respectivo cliente y se toman las acciones pertinentes, como restricción de envíos o bloqueo de la cuenta. No obstante, para este caso en particular, CYCLELOGIC realizó una serie de acciones correctivas, encaminadas al bloqueo inmediato de palabras y al monitoreo de ULR

envíos o bloqueo de la cuenta. No obstante, para este caso en particular, CYCLELOGIC realizó una serie de acciones correctivas, encaminadas al bloqueo inmediato de palabras y al monitoreo de ULR maliciosas, con el propósito de qu e los actos ocurridos y previamente descritos no se present aran nuevamente.

4 Artículo 6.1.1.8.1.2. de la Resolución CRC 505 0 de 2016. “ Una vez obtenida la respuesta del asignatario, la misma será analizada caso a caso por el Administrador de los Recursos de Identificación y se solicitará la información adicional que se considere necesaria para constatar si procede o no la recuperación del recurso.” 5 Desde la consulta de cualquier interesado en el servicio, hasta la recepción de los mensajes por parte de los usuarios finales en las redes móviles nacionales. 6 “customerId”.Continuación de la Resolución No. 6384 de 9 de septiembre de 2021 Hoja No. 3 de 15

Aunado a lo anterior, CYCLELOGIC solicitó terminar y dejar sin efecto el procedimiento administrativo de recuperación en la medida en que, a su juicio , no se ha presentado ningún incumplimiento que sea imputable a esa empresa , dado que todo lo ocurrido fue efectuado por terceros y de manera diligente se realizaron diferentes bloqueos en su plataforma con el fin de evitar el envío de mensajes de texto con la palabra “ Bancolombia”. CYCLELOGIC no alleg ó ningún documento para soportar sus afirmaciones.

• Radicado 2020814824 del 09 de diciembre de 2020

Mediante esta comunicación, CYCLELOGIC detalló el funcionamiento de la plataforma usada (https://messaging.wavy.global/) para el envío de mensajes de texto a través de los códigos cortos

• Radicado 2020814824 del 09 de diciembre de 2020

Mediante esta comunicación, CYCLELOGIC detalló el funcionamiento de la plataforma usada (https://messaging.wavy.global/) para el envío de mensajes de texto a través de los códigos cortos objeto de la actuación administrativa.

Dicha empresa mencionó que actualmente cuenta con dos (2) datacenters con múltiples máquinas virtuales “corriendo la infraestr uctura de software ”, y los “ módulos de infraestructura Wavy (ALOG/ASCENTY)” en donde “[l] os clientes de la Compañía pueden realizar envíos de SMS, WhatsApp, RCS a través de nuestras plataformas ” de diferentes formas: i) Website (https://messaging.wavy.global/), ii) un API para envío de mensajería, iii) conexiones SMPP7, entre otras, y complementó indicando que los clientes podían utilizar estas formas de envío para que la plataforma de CYCLELOGIC almacenara y registrara la información en bases de datos, reali zara filtros, entregara a un servicio de despacho y enviara mensajes al operador móvil .

CYCLELOGIC señaló que el 28 de agosto de 2020 había efectuado una detección interna y, por lo tanto, se había realizado una notificación al cliente específico sobre esa clase de contenidos. Indicó que su cliente había implementado medidas correctivas y en aproximadamente 23 horas había realizado un bloqueo . Dicha empresa , manifestó que había realizado el bloqueo de las palabras asociadas a entidades financieras y, describió nuevamente8 las medidas correctivas que adoptaba (Medida Técnica - Ejecución de Acciones por parte de la Compañía - Palabras restringidas (Blackwords) y Medida Técnica - Detección de URL maliciosas).

(Medida Técnica - Ejecución de Acciones por parte de la Compañía - Palabras restringidas (Blackwords) y Medida Técnica - Detección de URL maliciosas).

CYCLELOGIC reiteró que uno de los mecanismos de prevención con los que contaba era la funcionalidad “Palabras restringidas”. Señaló que, desde el punto de vista contractual, los contratos que CYCLELOGIC firmaba con sus clientes , establecían expresamente obligaciones claras y específicas respecto del contenido que se p odía enviar, e incluían cláusulas de suspensión y terminación unilateral frente a cualquier incumplimiento de dichas obligaciones contractuales.

Por otra parte, CYCLELOGIC informó que l a gran mayoría de los mensajes “indebidos” fueron enviados por un cliente que al ser detectado generó el bloqueo de las palabras prohibidas. Manifestó que le informó al cliente para que este creara un bloqueo “adicional”. Señaló que el día de la creación del bloqueo correspondía a la última fecha notificada en la actuación administrativa, y que esto, explicaba la razón por la cual se corregía posteriormente esta situación.

Aunado lo anterior, dicha empresa señaló que el modelo de contrato de servicios de CYCLELOGIC ya incorporaba algunas cláusulas de suspensión y terminación unilateral de los servicios, las cuales operaban frente a cualquier incumplimiento de los clientes a las obligaciones pactadas, así:

“(a) Suspensión Unilateral

6.1. Wavy puede, sin terminar el Contrato y sin ninguna responsabilidad ante el Contratante o cualquier Tercero, y además de cualquier otro derecho establecido en el presente Contrato, suspender inmediatamente parte o todos los Servicios o el vínculo entre el sistema de Wavy y el

cualquier Tercero, y además de cualquier otro derecho establecido en el presente Contrato, suspender inmediatamente parte o todos los Servicios o el vínculo entre el sistema de Wavy y el sistema del Contratante, si Wavy considera razonablemente necesario debido a cualquiera de las siguientes condiciones: (i) La obligación en cumplir cualquier orden, instrucción o solicitud de cualquier juez, Tribunal, Tribunal Admi nistrativo, órgano gubernamental, órgano regulador, operadoras de telefonía y/o terceros que viabilizan los Servicios objeto del presente Contrato; (ii) El mantenimiento o reparación urgente del sistema de Wavy; (iii) La sospecha de Wavy de que el Contenido y/o uso de los Servicios puede violar las leyes aplicables, las normas de contenido, las directrices de buenas prácticas de mercado o los términos del Contrato; (iv) El uso no autorizado o fraudulento de los Servicios, o si el uso de los Servicios por el Contratante está causando o puede causar daños al sistema de Wavy o el sistema de las operadoras de telefonía

7 El protocolo SMPP, abreviación en inglés de Short Message Peer-to-Peer. 8 Acciones aportadas en el marco de la Actuación Administrativa, mediante el radicado 2020813661 del 12 de noviembre de 2020.Continuación de la Resolución No. 6384 de 9 de septiembre de 2021 Hoja No. 4 de 15

y/o o terceros que viabilizan los Servicios objeto del presente Contrato; (v) La alteración en el estándar de comportamiento de envío de mensajes del Contratante en desacuerdo con la estimativa prenegociada y/o que no sea coherente con el mercado, y/o negocio del Contratante

estándar de comportamiento de envío de mensajes del Contratante en desacuerdo con la estimativa prenegociada y/o que no sea coherente con el mercado, y/o negocio del Contratante o (vi) El incumplimiento del Contratante de cualquiera de sus obligaciones en los términos de este Contrato.”

(b) Terminación Unilateral

12.2. El presente Contrato podrá ser terminado en cualquier momento de forma unilateral por cualquiera de las Partes, en los siguientes casos: (…) “Si cualquiera de las Partes viola o incumple los términos y condiciones del presente Contrat o y no subsana dicho incumplimiento dentro de los quince (15) días calendario siguientes a la recepción de la notificación enviada por la otra Parte a tal efecto” En este caso, uno de los efectos de la terminación del contrato por incumplimiento del client e de la Compañía es la aplicación de la siguiente penalidad: “(…) Independientemente de cualquier otro recurso o multa establecida en el presente Contrato y sus anexos, las Partes estarán sujetas al pago de una multa equivalente al diez por ciento (10%) sobre la suma de los valores facturados en los tres (3) meses anteriores a la comunicación ante cualquier incumplimiento de las obligaciones de la otra Parte establecidas en el Contrato y sus anexos. Lo anterior, se entenderá sin perjuicio de que la parte af ectada pueda solicitar judicialmente un resarcimiento por los daños y perjuicios acarreados. Una misma conducta infractora de obligaciones establecidas en el Contrato y en los anexos podrá dar lugar a la aplicación simultánea de multas, según los términos establecidos en esta cláusula y los anexos respectivos. (…)”

infractora de obligaciones establecidas en el Contrato y en los anexos podrá dar lugar a la aplicación simultánea de multas, según los términos establecidos en esta cláusula y los anexos respectivos. (…)”

A su vez, CYCLELOGIC aclaró que cada vez que obtenía un cliente nuevo, este agotaba un proceso denominado “onboarding”, el cual se resume en las siguientes tres (3) etapas:

• “[b]ienvenida al cliente”: aplicado para aquellas situaciones donde el “prospecto de cliente ” después de las negociaciones iniciales con el equipo de ventas de CYCLELOGIC pasará a ser cliente oficial. Para ello, se registra un ticket en su plataforma, y requieren algunos datos como: i) información de la compañía del cliente, ii) p aís, iii) c orreo electrónico, iv) i nformación de contacto y v) contrato firmado. Posteriormente, se envía la notificación al cliente con los pasos a seguir vía correo. CYCLELOGIC recibe el ticket, asigna a un analista y valida la información adjunta, y si toda la información está completa , se envía a aprobación del cliente, o en caso contrario, se solicita información complementaria. De esta forma, CYCLELOGIC resaltó que realiza las respectivas verificaciones con el fin de aprobar o no aprobar la creación de la cuenta para el uso de la plataforma . En caso de no cumplir con algún requerimiento, reglas contractuales u otra información, indica que el equipo comercial y/o fina nciero no aprueba la solicitud y deja notas adicionales para validar con el cliente. - “[c]onfiguración de la cuenta”, mencionó que una vez el cliente ha pasado por las revisiones y el proceso ha sido aprobado por cada responsable, CYCLELOGIC envía una segun da notificación indicando al cliente que la documentación fue aprobada y que se está trabajando

• “[c]onfiguración de la cuenta”, mencionó que una vez el cliente ha pasado por las revisiones y el proceso ha sido aprobado por cada responsable, CYCLELOGIC envía una segun da notificación indicando al cliente que la documentación fue aprobada y que se está trabajando en la configuración de la cuenta. En la plataforma de atención, el analista documenta la creación de la cuenta hasta que se concluyen las configuraciones correspondientes. - “[e]ntrega de credenciales ”. Concluidas las dos (2) primeras etapas , se comparten las credenciales de cuenta y documentación al cliente para los primeros pasos de uso. Se le hace llegar vía correo electrónico la notificación de creación de cuenta, el usuario de acceso a la plataforma, los pasos para recuperar los accesos y la documentación técnica a que haya lugar.

Concluyó que los términos contractuales aplicables a los servicios de mensajería SMS prestados por CYCLELOGIC se adjuntaban, sin embargo, no allegó ningún documento dentro de la respuesta mencionada.

Adicionalmente, la asignataria manifestó que no tenía ni tiene ninguna relación legal o contractual y/o comercial con BANCOLOMBIA S.A. para el envío de mensajes de texto y confirmó que los eventos descritos fueron efectuados por “clientes de clientes de la Compañía” que, a su juicio, utilizaron de buena fe los códigos cortos asignados a CYCLELOGIC.

De otra parte, CYCLELOGIC relacionó la información de los clientes que enviaron mensajes a los usuarios finales, entre el 14 de abril y el 21 de agosto de 2020. Dicha empresa, manifestó que el 29 de agosto de 2020 había realizado el bloqueo de pala bras prohibidas en su plataforma incluyendo palabras como “BANCOLOMBIA”, y reiteró las acciones de bloqueo realizadas una vez conocida la

de agosto de 2020 había realizado el bloqueo de pala bras prohibidas en su plataforma incluyendo palabras como “BANCOLOMBIA”, y reiteró las acciones de bloqueo realizadas una vez conocida la actuación administrativa.Continuación de la Resolución No. 6384 de 9 de septiembre de 2021 Hoja No. 5 de 15

Mencionó que el “flujo de bloqueo de URL ocurrió una vez fue detectada por el algoritmo de Google SafeBrowing”, lo que impidió el envío posterior de la URL dentro de nuevos mensajes, y agregó que, para este caso, las URL enviadas a los destinatarios fueron detectadas al día siguiente y bloqueadas para que no fueran enviadas posteriormente. No obstante, CYCLELOGIC señaló que una vez el mensaje de texto había sido entregado al destinatario, no había sido posible bloquear las URL ya que estas no pertenecían a los dominios administrados por ellos y, por lo tanto, no ejercían ningún tipo de control sobre ellas.

Señaló que los ataques de “phishing” habían generado priorizaciones internas en el planeamiento estratégico de CYCLELOGIC con el fin de adoptar medidas efectivas para evitar el envío de mensajería fraudulenta en diferentes países.

Resaltó que el objetivo de CYCLELOGIC, era tener el conocimiento de “cuándo ocurren”, “detección temprana y actuar de forma más urgente, manteniendo al mismo tiempo el cumplimiento de nuestras políticas de protección de datos y de seguridad de la información” para generar una respuesta más rápida y contundente . Indicó que a raíz de estos incidentes se ha bían generado más de cinco (5) reuniones entre sus equipos de seguridad, soporte, cumplimiento, IT y aliados estratégicos y legal

rápida y contundente . Indicó que a raíz de estos incidentes se ha bían generado más de cinco (5) reuniones entre sus equipos de seguridad, soporte, cumplimiento, IT y aliados estratégicos y legal de la misma empre sa, con el objeto de continuar avanzando con las detecciones y bloqueos de clientes, por lo que, solicitó terminar y dejar sin efecto el procedimiento de recuperación de códigos cortos en curso.

3. CONSIDERACIONES DE LA CRC

3.1. Competencia de la CRC En virtud de lo dispuesto en los numerales 12 -modificado por el artículo 19 de la Ley 1978 de 2019, y 13 del artículo 22 de la Ley 1341 de 2009, la CRC ostenta la competencia para regular y administrar los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos, diferentes al espectro radioeléctrico. En efecto, el numeral 12 del artículo 22 de la Ley 1341 de 2009, -modificado por el artículo 19 de la Ley 1978 de 2019-, establece como función de esta Comisión, a través de su Sesión de Comisión de Comunicaciones, la de "[r]egular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuro identifique redes y usuari os, salvo el nombre de dominio de Internet bajo el código del país correspondiente a Colombia -.co-". A su turno, el numeral 13 del artículo 22 de la misma Ley 1341 de 2009 establece como función de esta Comisión, la de “[a]dministrar el uso de los recurso s de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico”.

esta Comisión, la de “[a]dministrar el uso de los recurso s de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico”. Aunado a lo anterior, el Decreto 25 de 2002, compilado en el Decreto 1078 de 2015, “Por me dio del cual se expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones”2, establece que la CRC "deberá administrar planes técnicos básicos, de conformidad con las disposiciones contenidas en este Título y siguiendo los principios de neutralidad transparencia, igualdad, eficacia, publicidad, moralidad y promoción de la competencia con el fin de preservar y garantizar el uso adecuado de estos recursos técnicos". Por su parte, el artículo 2.2.12.5.3. del Capítulo 12 del Decreto 1078 de 2015 dispone que dicha administración comprende las modificaciones y/o adiciones que se hagan a la estructura de la numeración, a los mapas de numeración, a los cuadros contenidos en el plan y a cualquier otro aspecto que requiera s er incluido dentro del mencionado plan. Así mismo, el artículo 2.2.12.1.2.5. del Decreto en comento, establece que los números, bloques de numeración, códigos, prefijos, entre otros, son recursos públicos y pertenecen al Estado, el cual puede asignarlos a los proveedores de redes y servicios de telecomunicaciones y recuperarlos cuando se den las condiciones que determine la CRC para la recuperación de éstos y que la asignación de dichos recursos no otorga derecho de propiedad alguno sobre ellos.

redes y servicios de telecomunicaciones y recuperarlos cuando se den las condiciones que determine la CRC para la recuperación de éstos y que la asignación de dichos recursos no otorga derecho de propiedad alguno sobre ellos. En cumplimiento de las funciones descritas, y en los términos previstos en el Decreto 25 de 2002, compilado en el Decreto 1078 de 2015, la CRC definió los sujetos asignatarios de numeración de códigos cortos, así como los procedimientos para su gestión y atribución t ransparentes y noContinuación de la Resolución No. 6384 de 9 de septiembre de 2021 Hoja No. 6 de 15

discriminatorios, y la recopilación y actualización de los datos relativos a este recurso numérico. Dichas reglas se encuentran contenidas en el Título VI de la Resolución CRC 5050 de 20163. Así, en su artículo 6.1.1.8 se estableció que l a CRC podía, previa actuación administrativa, recuperar, entre otros, los códigos cortos asignados cuando, entre otras causales, los códigos cortos presentaran un uso diferente a aquél para el que fueron asignados. Teniendo claro lo anterior, así como el alcance y propósito de las competencias de la CRC para regular y administrar los recursos escasos, es evidente que, cuando se detecte la presunta configuración de alguna de las causales de recuperación establecidas o el presunto uso ineficiente de algún rec urso de identificación asignado, debe adelantarse las actuaciones administrativas a que haya lugar, con el fin de recuperar estos recursos numéricos, esto es retirar la autorización de uso de un recurso previamente otorgada a un asignatario, cambiándolo de estado para una posible reasignación futura.

fin de recuperar estos recursos numéricos, esto es retirar la autorización de uso de un recurso previamente otorgada a un asignatario, cambiándolo de estado para una posible reasignación futura. Finalmente, es necesario señalar que mediante el artículo 6.1.1.9 de la Resolución CRC 5050 de 2016 se delegó en el funcionario de la CRC que hiciera las veces del Coordinador del Grupo Interno de Trabajo de Re lacionamiento con Agentes, las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC. 3.2. Sobre el marco normativo de los códigos cortos

Tal como se mencionó en el acápite anterior, la CRC, en cumplimiento de las funciones descritas en la Ley 1341 de 2009, modificada por la Ley 1978 de 2019 y en los términos previstos en el Decreto 25 de 2002, compilado en el Decreto 1078 de 2015, fijó el marco regulatorio de los recursos de identificación, así como, los procedimientos para su gestión y atribución de forma transparente y no discriminatoria.

De esta manera, a través de las Resoluciones CRC 3501 de 2011 y 5968 de 2020, compiladas en la Resolución CRC 5050 de 2016, se establecieron las condiciones de acceso a las redes de telecomunicaciones por parte de Proveedores de Contenidos y Aplicaciones –PCAa través de mensajes cortos de texto (SMS) y mensajes USSD 9 sobre redes de telecomunicaciones de servicios móviles, y se definió la estructura de la numeración de códigos cortos para la provisión de contenidos

mensajes cortos de texto (SMS) y mensajes USSD 9 sobre redes de telecomunicaciones de servicios móviles, y se definió la estructura de la numeración de códigos cortos para la provisión de contenidos y aplicaciones a través de SMS/USSD, así como el procedimiento para la asignación, criterios de uso eficiente y recuperación de este recurso numérico.

El artículo 6.4.2.1.1. de la Resolución CRC 5050 de 2016, modificado por el artículo 1 de la Resolución CRC 5968 de 2020 establece que los proveedores de contenidos y aplicaciones basados en el envío de SMS/USSD y los integradores tecnológicos10 deben tramitar su inscripción dentro del Registro de Proveedores de Contenidos y Aplicaciones e Integradores Tecnológicos -RPCAI a través del mecanismo dispuesto para el efecto, como requisito administrativo para la asignación de códigos cortos.

Aunado a lo anterior, el artículo 6.4.1.3. de la Resolución CRC 5050 de 2016 , señala que la CRC asigna códigos cortos a quienes provean servicios de contenidos o aplicaciones a través de mensajes cortos de texto (SMS), es decir a los PCA y a los integradores tecnológicos. As í mismo, los Proveedores de Redes y Servicios de Telecomunicaciones (PRST) que presten servicios de contenidos o aplicaciones, pueden solicitar la asignación de sus propios códigos cortos en su condición de PCA.

De la misma manera , el artículo 6.4.3.1.2. de la Resolución CRC 5050 de 2016 dispone que los asignatarios de los códigos cortos tienen un plazo máximo para su implementación de seis (6) meses, contados a partir de la fecha del acto administrativo en virtud del cual se efectúa la asignación correspondiente.

asignatarios de los códigos cortos tienen un plazo máximo para su implementación de seis (6) meses, contados a partir de la fecha del acto administrativo en virtud del cual se efectúa la asignación correspondiente. Igualmente, el artículo 6.1.1.8 de la Resolución CRC 5050 de 2016 establece que la CRC puede recuperar los códigos cortos asignados, entre otras, cuando el asignatario no cumpla con las obligaciones establecidas en el artículo 6.1.1.6 de la misma Resolución y cuando no cumpla con los

9 En el año 2014, la CRC consideró necesario extender el ámbito de la Resolución CRC 3501 de 2011, modificando su objeto de aplicación y las demás disposiciones contenidas en dicho acto, d