CRC - Resolución 6876 de 2022

RESOLUCIÓN No. 6876 DE 2022

“Por la cual se recuperan dos (2) códigos cortos para la provisión de contenidos y aplicaciones a través de SMS o USSD que habían sido asignados a ATENEA MOBILE S.A.S.”

EL COORDINADOR ENCARGADO DEL GRUPO INTERNO DE TRABAJO

DE RELACIONAMIENTO CON AGENTES DE LA COMISIÓN DE

REGULACIÓN DE COMUNICACIONES

En ejercicio de sus facultades legales conferidas en la Ley, en especial las previstas en los numerales 12 y 13 del artículo 22 de la Ley 1341 de 2009, el artículo 2.2.12.1.1.1 del Decreto 1078 de 2015, la Resolución CRC 5050 de 2016, y

CONSIDERANDO

1. ANTECEDENTES

Mediante los radicados 2022800065 y 20223000012 del 4 y del 5 de enero de 2022, respectivamente, COLOMBIA MÓVIL S.A. E.S.P. le presentó a la Comisión de Regulación de Comunicaciones (CRC) una copia de la comunicación dirigida a ATENEA MÓBILE S.A.S. en la que dicho operador le ponía de presente que varios usuarios habían reportado un presunto ataque de phishing vía mensajes de texto remitidos a través de los códigos cortos 894008 y 891140 de la siguiente manera: “Mediante la presente le comunicamos que Colombia Móvil S.A. E.S.P. recibió el reporte de varios usuarios de telefonía móvil, suscriptores de nuestra red PCS, en el que denuncian un ataque de phishing vía SMS a través de los códigos cortos 894008 y 8 91140 asociados a la cuenta

de telefonía móvil, suscriptores de nuestra red PCS, en el que denuncian un ataque de phishing vía SMS a través de los códigos cortos 894008 y 8 91140 asociados a la cuenta SMPP_ATENEA, códigos que fueron asignados por la CRC al Proveedor de Contenidos y Aplicaciones o Integrador Tecnológico que usted representa. Presentamos a continuación las capturas de pantalla de los mensajes recibidos en el equipo móvil de los suscriptores (…)”. (Destacado fuera de texto).

Mediante comunicación 2022801247 del 28 de enero de 2022, COLOMBIA MÓVIL S.A. E.S.P . allegó una copia de los correos electrónicos con fechas 12 de noviembre de 2021 y 4 de enero de 2022, en los que “el PCA reporta que procedió al bloqueo de los códigos a través de los cual es se realizó el presunto ataque”.

Analizada la información recibida, el 2 de febrero de 2022, la CRC, en su calidad de Administrador de los Recursos de Identificación1, mediante comunicación con radicado de salida 2022503193, inició una actuación administrativa para recuperar los códigos cortos mencionados, por presuntamente haberse configurado la causal de recuperación dispuesta en el numeral 6.4.3.2.2. del artículo 6.4.3.2.

1 Artículo 6.1.1.9 de la Resolución CRC 5050 de 2016. DELEGACIÓN DE LA ADMINISTRACIÓN DE LOS RECURSOS DE IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Administrador de los Recursos

IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC.Continuación de la Resolución No. 6876 de 1 de julio de 2022 Hoja No. 2 de 20

del Título VI de la Resolución CRC 5050 de 2016. El numeral en cita dispone lo siguiente: “6.4.3.2.2. Cuando los códigos cortos asignados presenten un uso diferente a aquél para el que fueron asignados. (…)” .

El acto a dministrativo de inicio de la actuación mencionada fue comunicado a ATENEA MOBILE S.A.S., a través del correo electrónico del 4 de febrero de 2022 para que dentro de los quince (15) días siguientes contados a partir de su recibo, formulara sus observaciones, presentara o solicitara pruebas e informara a la CRC sobre el uso que se le estaba dando al recurso numérico asignado.

El 8 de febrero de 2022 , dentro del término para dar respuesta a la actuación administrativa, mediante comunicación radicada internamente bajo el número 202 28012829, ATENEA MOBILE S.A.S. en ejercicio del derecho de defensa, s olicitó lo siguiente: “nos envíen nuevamente, por otro canal o medio electrónico, los anexos del presente proceso, dado que no ha sido posible acceder a los mismos, tal como se observa en el pantallazo anexo.”.

Adicionalmente, el 16 de febrero de 2022, ATENEA MOBILE S.A.S. manifestó que los correos

los mismos, tal como se observa en el pantallazo anexo.”.

Adicionalmente, el 16 de febrero de 2022, ATENEA MOBILE S.A.S. manifestó que los correos electrónicos a los cuales la Comisión había enviado la actuación administrativa no eran los correos de “notificaciones judiciales” de esa empresa y, por lo tanto, a su juicio, se presentaba una indebida notificación.

Mediante comunicaciones 2022504715 y 2022505562 del 17 y del 24 de febrero de 2022, respectivamente, en aras de garantizar el debido proceso, la CRC procedió a enviar los documentos descritos en el acápite de pruebas de la comunicación de inicio de la actuación administrativa, y le otorgó a ATENEA MOBILE S.A.S. nuevamente un plazo máximo de quince (15) días hábiles, contados a partir de la comunicación del mencionado escrito, para que formulara sus observaciones, presentara o solicitara pruebas e informara a la Comisión sobre el uso que le estaba otorgando a los códigos cortos objeto de discusión, así como, cualquier medida técnica, contractual o judicial que hubiera empleado para prevenir o evitar la comisión de posibles fraudes o conductas delictivas mediante la utilización de este recurso de identificación.

Ahora bien, respecto a la supuesta “ indebida” notificación, la CRC informó que en el R egistro de Proveedores de Contenidos e Integradores Tecnológicos (R PCAI) y en el S IUST, registros oficiales de la entidad, ATENEA MOBILE S.A.S. había reportado los correos electrónicos a los que se había enviado la comunicación correspondiente, y era su deber , conforme a lo dispuesto en la regulación vigente, mantener actualizado estos registros. A pesar de lo anterior, la CRC procedió a remitir la

enviado la comunicación correspondiente, y era su deber , conforme a lo dispuesto en la regulación vigente, mantener actualizado estos registros. A pesar de lo anterior, la CRC procedió a remitir la comunicación correspondiente -tambiénal correo electrónico que aparecía en el certificado de existencia y representación legal de ATENEA MOBILE S.A.S.

Mediante comunicación 2022803437 del 9 de marzo de 2022, ATENEA MOBILE S.A.S. dio respuesta a la actuación administrativa y aportó algunos documentos.

Mediante comunicación radicada internamente bajo el número 2022802790 del 25 de febrero de 2022, el señor Julián David Tobón - funcionario del área de soporte de ATENEA MOBILE S.A.S. 2, se pronunció sobre el “intento de phishing vía SMS, enviado a través del número corto 894008, asociado a nuestra cuenta”.

Aunado a lo anterior, mediante radicados 2022802816 y 2022803591 del 25 de febrero y del 9 de marzo de 2022, respectivamente, Bancolombia S.A. le solicitó a la CRC gestionar – respecto de los códigos cortos 894008 y 891140- “los siguientes fraudes de Smishing y Phishing contra Bancolombia S.A. (…) ya que actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude desde los códigos cortos que se anexan a continuación, éstos no solo infringen el derecho de aut or, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, sino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y terceros. Se indica que este contenido

propiedad intelectual de Bancolombia, sino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y terceros. Se indica que este contenido NO ha sido autorizado por Bancolombia, esto con el fin que se tomen medidas de bloqueo del código y contenido”.

En este sentido, el 30 de marzo de 2022, la CRC profirió un auto mediante el cual decretó pruebas . Así, la Comisión resolvió i ncorporar a la presente actuación administrativa, con el valor probatorio legal que les correspondiera, los radicados 2022802790, 2022802816 y 2022803591.

2 Support NRS GROUPContinuación de la Resolución No. 6876 de 1 de julio de 2022 Hoja No. 3 de 20

Adicionalmente, la Comisión decretó pruebas de oficio y le otorgó ATENEA MOBILE S.A.S. un término de diez (10) días hábiles , contados a partir de la comunicación de l auto, para que allegara la información requerida, y de considerarlo oportuno, controvirtiera las pruebas incorporadas.

Mediante radicado 2022805177 del 13 de abril de 2022, ATENEA MOBILE S.A.S. dio respuesta al oficio mediante el cual la CRC requirió información relacionada con los códigos cortos 894008 y 891140.

2. ARGUMENTOS PRESENTADOS POR ATENEA MOBILE S.A.S.

2.1. Radicado 2022803437 del 9 de marzo de 2022

En su escrito del 9 de marzo de 2022, ATENEA MOBILE S.A.S. señaló de forma "A priori” que no había incurrido en las causales “tipificadas en la ley para la recuperación de códigos cortos”.

En su escrito del 9 de marzo de 2022, ATENEA MOBILE S.A.S. señaló de forma "A priori” que no había incurrido en las causales “tipificadas en la ley para la recuperación de códigos cortos”.

ATENEA MOBILE S.A.S. manifestó que ofrecía el servicio de envío de SMS a través de cuatro (4) plataformas web distintas las cuales habían sido desarrolladas por una empresa europea que hace parte de su grupo empresarial . Indicó que e sas plataformas funciona ban con sistema de autoregistro, es decir, “cualquier persona física o jurídica que posea un correo electrónico y un número de celular, puede registrarse en cualquiera de nuestras plataformas”. No obstante, como parte de la política anti-fraude, ATENEA MOBILE S.A.S. indicó que se habían adoptado durante su tiempo de ejercicio comercial diferentes medidas de control para evitar la comisión de delitos.

Dicha empresa indicó que las plataformas han sido reconocidas “con una certificación ISO27001”, lo cual –según informó- implica que “● Se ha establecido una metodología contrastada y universal de control de los flujos de información, lo que permite un mayor ordenamiento de los procedimientos de trabajo. ● Se ha reducido sustancialmente el riesgo de fuga o deterioro de la información de clientes, proveedores y trabajadores de la empresa. ● Se ha activado un sistema de control y revisión periódica e ininterrumpida, que conduce a una mejora continua de los procesos de gestión de la información. ● Se ha implementado un protocolo reglado y eficiente para hacer frente a situaciones de crisis por la fuga o la manipulación incorrecta de información”. Adicionalmente, ATENEA MOBILE S.A.S. informó que pactaba con sus clientes una “política antifraude”.

de crisis por la fuga o la manipulación incorrecta de información”. Adicionalmente, ATENEA MOBILE S.A.S. informó que pactaba con sus clientes una “política antifraude”.

ATENEA MOBILE S.A.S . manifestó que había implementado una tecnología antifraude, que identifica un total de 8.659 palabras como “Palabras Prohibidas”, las cualesa su juicioson palabras recurrentemente utilizadas para cometer phishing. De esta manera, según explicó esa em presa, si el software identifica una de estas “ Palabras Prohibidas”, el mensaje no es enviado y es bloqueado por la plataforma . Así, cuando se detecta un posible caso de “ phishing” por cualquier medio se procede a analizar con detalle el mensaje, para luego examinar cada una de las palabras que pueden resultar problemáticas.

En el caso puntual del uso de los códigos cortos 894008 y 891140, ATENEA MOBILE S.A.S. señaló que había detectado con anterioridad al inicio del procedimiento administrativo, la URL no permitida a través de un log en sus servidores y verificó que su “usuario” se encontraba tratando de hacer phishing, por lo que inmediatamente procedió a deshabilitar la cuenta del “usuario”, seguido de esto, indicó que se habían agregado nuevas palabras a la lista de “ Palabras Prohibidas” para restringir su uso, mejorando y garantizando la seguridad de los mensajes, actuando con la debida diligencia y cuidado exigido por la Ley.

De otra parte, ATENEA MOBILE S.A.S. relacionó los clientes que “utilizaron los códigos cortos con intenciones de cometer delitos y burlando con malas intenciones todos los robustos filtros de seguridad dispuestos”.

Aunado a lo anterior, dicha empresa indicó que había procedido a investigar los logs alojados en su

intenciones de cometer delitos y burlando con malas intenciones todos los robustos filtros de seguridad dispuestos”.

Aunado a lo anterior, dicha empresa indicó que había procedido a investigar los logs alojados en su servidor y a bloquear a los clientes, para atacar de forma “contundente” el problema del “Phishing”. Adicionalmente, ATENEA MOBILE S.A.S. manifestó que había adoptado “ severas” medidas de seguridad, así: “(i) Solo se venderá el servicio a empresas o clientes que ya hayan demostrado un correcto y honesto uso de la plataforma en su historial con ATENEA MOBILE S.A.S., cerrando así su mercado. (ii) Se solicita a todos los clientes la presentación de los documentos que acrediten que son sociedades legalmente constituidas como lo son Certificado de Existencia y Representación Legal y RUT o si son persona natural la cédula de ciudadanía y un documento diferente como la licencia de conducción, para comprobar la identidad de la persona. (iii). Con el ánimo de evitar la suspensiónContinuación de la Resolución No. 6876 de 1 de julio de 2022 Hoja No. 4 de 20

del servicio la gerencia determinó no ingresar clientes nuevos para evitar posibles filtraciones. (iv). Se ordena a la persona que tiene a cargo la plataforma en su oficina estar monitoreando env íos sospechosos.”

ATENEA MOBILE S.A.S . indicó que había dado cumplimiento a las obligaciones que impone la regulación vigente, a los criterios de uso eficiente , y había dado un uso adecuado a los códigos cortos.

Adicionalmente, ATENEA MOBILE S.A.S . indicó que la CRC está “ violentando derecho constitucional (SIC) al Debido Proceso y a la Defensa” , en la medida en que la actuación

cortos.

Adicionalmente, ATENEA MOBILE S.A.S . indicó que la CRC está “ violentando derecho constitucional (SIC) al Debido Proceso y a la Defensa” , en la medida en que la actuación administrativa se fundamenta en normas “DEROGADAS O NO VIGENTES” . A su juicio, los actos de inicio de la actuación administrativa, en su acápite denominado “CAUSALES DE RECUPERACIÓN DE CÓDIGOS CORTOS PRESUNTAMENTE”; se fundamenta n en el artículo 6.4.3.2 del Título VI de la Resolución CRC 5050 de 2016, el cual fue derogado por el artículo 1 de la Resolución CRC 5968 de 2020.

En este sentido, ATENEA MOBILE S.A.S. señaló que existe una falsa motivación en el acto administrativo que inicia el procedimiento de recuperación , en la medida que la administración fundamenta el presente procedimiento en normas no vigentes , lo que impli ca –a su juicio - una manifiesta nulidad como consecuencia de un vicio material.

ATENEA MOBILE S.A.S. manifestó que, s i bien es cierto que, en la actuación administrativa en curso, la Administración Pública a través de la CRC “está atribuyendo la comisión de una infracción sancionable”, es propio que la administración analice el actuar del “concesionario” de los códigos cortos en lo concerniente al uso y destinación de estos de acuerdo con lo establecido en el artículo 2.1.10.7 de la Resolución CRC 5111 de 2017. De lo anterior, ATENEA MOBILE S.A.S. colige que la regulación impone unas obligaciones al proveedor de servicios de comunicaciones, consistentes en utilizar las herramientas tecnológicas apropiadas para prevenir la comisión de fraudes, hacer un

regulación impone unas obligaciones al proveedor de servicios de comunicaciones, consistentes en utilizar las herramientas tecnológicas apropiadas para prevenir la comisión de fraudes, hacer un seguimiento a los mecanismos previstos para tal efecto, manteniendo disponible la información para la CRC y las autoridades de inspección, vigilancia y control. ATENEA MOBILE S.A.S. señaló que, con ocasión de una PQR de un usuario, se deben adelantar todas las diligencias necesarias para determinar las causas que originan su reclamación e informar de ello, pues de esta forma se cumple con el objetivo de la regulación que es la protección de los derechos de los usuarios de los servicios de comunicaciones.

ATENEA MOBILE S.A.S. señaló que ha desplegado “un andamiaje tecnológico completo” en aras de prevenir cualquier tipo de fraude y ha adelantado las diligencias necesarias para d eterminar la causa del incidente, incluyendo entre éstos investigaciones internas por parte de su departamento de seguridad y denuncias penales “con el fin de investigar dicha conducta y sancionar al infractor ”. De esta manera, indicó que al haber actuado de forma “sumamente diligente y a tiempo”, sería una “sanción desproporcionada” que la CRC procediera con la recuperación de los códigos cortos , pues a su juicio, esto desdibujaría la obligación de medio impuesta por la ley y significaría aplicar un trato discriminatorio.

ATENEA MOBILE S.A.S. manifestó que es absurdo imponer a una empresa la obligación de que el 100% de los mensajes que se envían de sus servidores por los clientes sean completamente verídicos. Indicó que eso es completamente imposible, tod a vez que las medidas de protección si

100% de los mensajes que se envían de sus servidores por los clientes sean completamente verídicos. Indicó que eso es completamente imposible, tod a vez que las medidas de protección si bien tienen que ser preventivas también son reactivas a los casos en que los delincuentes logren burlar los sistemas de seguridad a través de innovaciones y nuevos métodos, tal como opera el sistema bancario, el sistema disciplinario, los sistemas de seguridad e inclusive la misma legislación penal.

De otra parte, ATENEA MOBILE S.A.S. señaló que el “ principio de la personalidad de las penas ” del derecho administrativo sanci onador, resulta aplicable en la medida en que “ la sanción ” está siendo impuesta sobre un sujeto que no ha realizado la conducta infractora tipificada dentro de la causal citada por la CRC. A su juicio, no existe relación alguna de culpabilidad que recaiga sobre el sujeto agente relacionado por la CRC como infractor, al cual se le busca imponer la correspondiente sanción (recuperación de los códigos cortos). Precisó igualmente que la Comi sión debe atender el principio de culpabilidad y el de personalidad de la “sanción”. En este sentido, dicha empresa solicitó desistir de la presente actuación administrativa.

ATENEA MOBILE S.A.S. solicitó la terminación anticipada del procedimiento administrativo “sancionatorio”, y, en consecuencia, mantener la “ concesión” de los códigos cortos objeto de laContinuación de la Resolución No. 6876 de 1 de julio de 2022 Hoja No. 5 de 20

actuación administrativa. Indicó que esa empresa no era el sujeto que había cometido la supuesta conducta de “phishing” y las instituciones fundantes y principios del Derecho Administrativo exigen

actuación administrativa. Indicó que esa empresa no era el sujeto que había cometido la supuesta conducta de “phishing” y las instituciones fundantes y principios del Derecho Administrativo exigen que exista correspondencia entre el administrado “sancionado” y el comisor de la conducta susceptible de control administrativo . De otra parte, reiteró que la actuación “ sancionatoria” se fundamentaba en una norma derogada.

Para sustentar sus afirmaciones, ATENEA MOBILE S.A.S. allegó los siguientes documentos:

1. Documento denominado informe de gestión de palabras prohibidas (11 folios)

2. Diagrama “palabras prohibidas” (1 folio).

3. Copia de la a certificación ISO27001 (1 folio)

4. Copia del C ertificado de Existencia y Representación Legal de ATENEA MOBILE S.A.S. (8 folios).

5. Copia del Contrato y otrosí celebrados entre ATENEA MOBILE S.A.S. y Net Real Solutions SLU. Al respecto señala la a signataria que este documento “da cuenta de la obligación de ATENEA MOBILE S.A.S. de mantener los estándares de seguridad necesarios para obtener la certificación ISO27001 ”, denominado “ BILATERAL SMS EXCHANGE AGREEMENT between NRS GATEWAY and ATENEA MOBILE S.A.S. on June 01, 2013. ” La CRC precisa que el documento mencionado se encuentra en idioma inglés. (40 folios).

2.2. Radicado 2022805177 del 13 de abril de 2022

En su escrito del 13 de abril de 2022, ATENEA MOBILE S.A.S. señaló que no es posible predicar una relación jurídica entre esa empresa y Bancolombia S.A., toda vez que esa empresa ofreció un

En su escrito del 13 de abril de 2022, ATENEA MOBILE S.A.S. señaló que no es posible predicar una relación jurídica entre esa empresa y Bancolombia S.A., toda vez que esa empresa ofreció un servicio de envío de SMS a través de sus plataformas a clientes de la compañía, quienes son los que se encargan de incorporar en dichos mensajes, la información que desean transmitir a los usuarios. Precisó que sus clientes son los que deben tener esa relación jurídico-contractual con Bancolombia S.A., o “ quienes sin tener dicha relación utilizaron de forma malintencionada el nombre de dicha entidad para captar de manera ilegal los datos de sus usuarios”.

ATENEA MOBILE S.A.S . señaló que en ocasiones sus clientes subcontratan con otras entidades con el fin de ofrecerles el servicio de mensajería masiva a través de los códigos cortos, lo cual significa, que crean otras relaciones jurídicas de las cual es esa empresa no es parte; o quienes en ocasiones ofrecen el servicio de mensajería a un tercero y contratan con este y es este tercero quien termina dando un uso malintencionado a dichos mensajes y captando datos de los usuarios de las entidades a las cuales pretende suplantar. Precisó que, en cualquiera de los dos casos mencionados, no es posible predicar algún vínculo jurídico contractual entre ATENEA MOBILE S.A.S. y la entidad sobre la cual se captaron los datos de sus usuarios, como lo es en este caso, Bancolombia S.A.

La asignataria indicó que no es posible allegar al trámite la copia de las autorizaciones brindadas por Bancolombia S.A. a ATENEA MOBILE S.A.S., toda vez que no existe una relación contractual y/o comercial entre Bancolombia S.A. y esa empresa.

Bancolombia S.A. a ATENEA MOBILE S.A.S., toda vez que no existe una relación contractual y/o comercial entre Bancolombia S.A. y esa empresa.

ATENEA MOBILE S.A.S. reiteró que ofrece el servicio de envío de SMS a través de 4 plataformas web distintas desarrolladas por la empresa europea Net Real Solutions S.L.U ., así: “1. ATENEA MOBILE S.A.S. consigue la concesión sobre los Códigos Cortos. 2. ATENEA MOBILE S.A.S. oferta en el mercado, la posibilidad de enviar mensajes de texto desde los Códigos Cortos. 3. Las empresas interesadas manifiestan su interés en adquirir el servicio de plataforma que brinda ATENEA MOBILE S.A.S. para hacer envío de SMS a través de los Códigos Cortos. 4. Una vez pasados estrictas verificaciones de veracidad y confiabilidad de las empresas, ATENEA MOBILE S.A.S. brinda acceso a las empresas para poder usar la plataforma y enviar SMS a través de los Códigos Cortos.”

Dicha empresa precisó que pactaba con sus clientes la siguiente política antifraude “Viendo el problema endémico que está suponiendo a nivel mundial el uso del SMS como método para cometer crímenes de Phishing y SPAM, Net Real Solutions S.L.U. y ATENEA MOBILE S.A.S. suscriben el siguiente pacto a nti-fraude, y aplican las medidas de prevención oportunas en las diferentes plataformas que comercializan. Sin perjuicio de lo establecido en las Cláusulas Séptima y Octava del Contrato de Prestación de Servicios vigente (el “Contrato”), es obligación del Cliente destinar los servicios contratados únicamente para su uso personal y no emplearlos en momento alguno para la

Contrato de Prestación de Servicios vigente (el “Contrato”), es obligación del Cliente destinar los servicios contratados únicamente para su uso personal y no emplearlos en momento alguno para la realización de Prácticas Prohibidas. Queda estrictamente prohibido hacer uso de los servicios de voz, SMS y/o datos para Prácticas Prohibid as y/o Fraudulentas. Se consideran prácticas prohibidas, sin perjuicio de lo establecido en las Cláusulas Séptima y Octava del Contrato de Prestación de Servicios vigente, ni de la legislación vigente de cada país de nacionalidad de los destinatarios: a. L aContinuación de la Resolución No. 6876 de 1 de julio de 2022 Hoja No. 6 de 20

suplantación de identidad jurídica o personal a través de SMS, e -mail o Voz, incluyendo el uso de remitentes o contenido en el texto que identifiquen el origen del mensaje erróneamente, incurriendo en una suplantación de identidad. b. La comercialización , reventa o cualquier forma de explotación sin previa autorización por parte de la entidad reguladora de las comunicaciones de cada país, de Net Real Solutions S.L.U., de ATENEA MOBILE S.A.S. o, en cualquier caso, que se incumpla con lo establecido en la Ley aplicable en cada país. c. El uso de enlaces a páginas web que tengan como objetivo recabar datos personales de usuarios o datos bancarios, siempre que no estén autorizados expresamente por ATENEA MOBILE S.AS. o por Net Real Solutions S.L.U. d. El envío de comunicaciones a usuarios que no lo han solicitado expresamente y/o de los que no se pueda aportar justificación de este consentimiento expreso. En caso de detectarse que el usuario incurre en

comunicaciones a usuarios que no lo han solicitado expresamente y/o de los que no se pueda aportar justificación de este consentimiento expreso. En caso de detectarse que el usuario incurre en cualquiera de las conductas señaladas, Net Real Solutions S .L.U. y ATENEA MOBILE S.A.S., se reservan el derecho de ejercer las acciones administrativas, civiles y/o penales que conforme a derecho correspondan; incluyendo, las correspondientes a la reparación de daños y perjuicios ocasionados a Net Real Solutions S.L.U. y ATENEA MOBILE S.A.S., pudiendo en su caso, suspender o cancelar la prestación de los servicios, total o parcialmente, de manera temporal o definitiva. Si Ud. ha recibido un SMS, e -mail o cualquier comunicación a través de nuestros canales que vulne ra alguno de los 4 puntos definidos anteriormente, ruego lo comuniquen a alerta@nrs-group.com, para que iniciemos la investigación oportuna.”

ATENEA MOBILE S.A.S. precisó que funge como PCA y como consecuencia directa de lo anterior, dicha empresa señaló que suscribe contratos con su integrador tecnológico Net Real Solutions S.L.U. Manifestó que ATENEA MOBILE S.A.S. se encarga únicamente de ofrecer el servicio de mensajería a los usuarios, pero siempre a través de las plataformas de Net Real Solutions S.L.U.

ATENEA MOBILE S.A.S. señaló que Bancolombia S.A. en el radicado 2022803591, le imputa denuncias recibidas por un presunto caso de phishing mediante el número corto 87939, que realmente pertenece a CONCEPTO MÓVIL S.A.S. De ahí que solicita que la CRC considere que la información brindada por Bancolombia S.A. es imprecisa y debe ser tratada como un indicio, que

realmente pertenece a CONCEPTO MÓVIL S.A.S. De ahí que solicita que la CRC considere que la información brindada por Bancolombia S.A. es imprecisa y debe ser tratada como un indicio, que es normal al tráfico comercial de los SMS, que todos los concesionarios de códigos cortos enfrentan este tipo de situaciones y que la Ley impone la obligación de medio “de ser diligente en la prevención de estas situaciones”, en ningún momento se exige una obligación de resultado “toda vez que esto sería un imposible”.

ATENEA MOBILE S.A.S. indicó que la CRC no sanciona a los proveedores de redes y operadores de telecomunicaciones como “Claro o Tigo ” a quienes la regulación les exige aspectos o responsabilidades técnicas. Dicha empresa señaló que lo ocurrido a través de los códigos cortos objeto de la actuación administrativa responde a una actuación malintencionada de un tercero que buscaba captar datos de los usuarios de Bancolombia S.A. situación que, aunque no es imputable a ATENEA MOBILE S.A.S., corresponde a una evasión a nuestro sistema de seguridad, el cual h a ido mejorando durante su tiempo de ejercicio comercial, implementando medidas de control para evitar la comisión de delitos.

Finalmente, ATENEA MOBILE S.A.S. solicitó dar por finalizado anticipadamente el procedimiento administrativo adelantado con fundamento en las siguientes tres (3) razones : (i) El cumplimiento de ATENEA MOBILE S.A.S. con sus obligaciones legales para usar los códigos cortos. (ii) La falta de correspondencia entre el sujeto que pretende ser administrado (ATENEA MOBILE S.A.S.) y los sujetos que realizaron los actos que dieron origen al presente procedimiento , (iii) La existencia de vicios de forma en el procedimiento mismo.

de correspondencia entre el sujeto que pretende ser administrado (ATENEA MOBILE S.A.S.) y los sujetos que realizaron los actos que dieron origen al presente procedimiento , (iii) La existencia de vicios de forma en el procedimiento mismo.

Para sustentar sus afirmaciones, ATENEA MOBILE S.A.S. allegó los siguientes documentos:

1. Documento denominado “Bilateral SMS Exchange Agreement between NRS Group and ROUTESMS” (9 folios)

2. Documento con título “Suppler data processing agreement” (13 folios).

3. Documento denominado “Master Service Agreement for A2P SMS” (9 folios).

4. Documento denominado “A2P Service Addendum” (3 folios).

5. Diagrama “consulta blacklist (palabras prohibidas) (1 folio)

6. Archivo PDF que inc luye una tabla con las siguientes columnas “Código corto”, “Fecha del incidente”, “Cantidad de usuarios que reportaron el erwío (SIC) de mensajes”, “Información adicional” y “Empresa” (2 folios).

7. Archivo PDF que incluye