CRC - Resolución 6882 de 2022

RESOLUCIÓN No. 6882 DE 2022

“Por la cual se recupera un código corto para la provisión de contenidos y aplicaciones a través de SMS o USSD asignado a INFOBIP COLOMBIA S.A.S.”

EL COORDINADOR ENCARGADO DEL GRUPO INTERNO DE TRABAJO

DE RELACIONAMIENTO CON AGENTES DE LA COMISIÓN DE

REGULACIÓN DE COMUNICACIONES

En ejercicio de sus facultades legales conferidas en la Ley, en especial las previstas en los numerales 12 y 13 del artículo 22 de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, el artículo 2.2.12.1.1.1 del Decreto 1078 de 2015, la Resolución CRC 5050 de 2016, y

CONSIDERANDO

1. ANTECEDENTES

Mediante radicado 2020802273 del 10 de marzo de 2020, la Comisión de Regulación de ComunicacionesCRC recibió una comunicación por parte de una usuaria, en la que informó que a través del código corto 85668, asignado a INFOBIP COLOMBIA S.A.S., en adelante INFOBIP, había recibido un mensaje de texto en el que se le indicaba que “ Netflix” había suspendido temporalmente su membresía, por un error al procesar sus datos de facturación, y que, como consecuencia de esto, se solicitaba proceder con un a actualización de sus datos, a través de un enlace o URL. Sin embargo, a la usuaria le parecía sospechoso que, al revisar ese enlace, la palabra “Netflix” estuviera escrita con doble “L”, así: " netllx", circunstancia que podía conllevar a efectuar cualquier tipo de fraude.

“Netflix” estuviera escrita con doble “L”, así: " netllx", circunstancia que podía conllevar a efectuar cualquier tipo de fraude.

Analizada preliminarmente la información aportada por la usuaria , la CRC , en su calidad de Administrador de los Recursos de Identificación 1, mediante comunicación con radicado de salida 2020511081, inició una actuación administrativa para recuperar el código corto mencionado, por presuntamente haberse configurado la causal de recuperación dispuesta en el numeral 6.4.3.2.2. del artículo 6.4.3.2. de la Resolución CRC 5050 de 2016 . El numeral en cita dispone lo siguiente: “6.4.3.2.2. Cuando los códigos cortos asignados presenten un uso diferente a aquél para el que fueron asignados (…)”

Mediante correo electrónico del 3 de junio de 2020, con asunto “ Notificación personal por medio electrónico de comunicación” la CRC le notificó a INFOBIP la actuación administrativa mencionada. No obstante, la Comisión no adjuntó copia de la comunicación que contenía la misma. Situación que fue puesta de presente por la asignataria.

A pesar de lo anterior, el 5 de noviembre de 2020, mediante comunicación radicada internamente bajo el número 2020201392, esta Comisión le remitió y comunicó a INFOBIP un “Auto de Pruebas”

1 Artículo 6.1.1.9 de la Resolución CRC 5050 de 2016. DELEGACIÓN DE LA ADMINISTRACIÓN DE LOS RECURSOS DE IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Administrador de los Recursos

IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC.Continuación de la Resolución No. 6882 de 14 de julio de 2022 Hoja No. 2 de 11

proferido en el trámite de la misma actuación, en virtud del cual se incorporaban algunas pruebas y se otorgaba el tér mino de diez (10) días para que dicha empresa allegara la información que considerara pertinente.

El 23 de noviembre de 2020, mediante comunicación radicada internamente bajo el número 2020814132, INFOBIP en ejercicio del derecho de defensa, presentó come ntarios al auto de pruebas mencionado, indicando entre otras que no había sido notificado del inicio de la actuación administrativa.

El 24 de febrero de 2021, con fundamento en el artículo 41 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo-CPACA, que señala que la autoridad administrativa, en cualquier momento anterior a la expedición del acto, de oficio o a petición de parte, corregirá las irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptará las medidas necesarias para concluirla, la CRC consideró pertinente dejar sin efectos el auto de pruebas proferido el 5 de noviembre de 2020, y en su lugar, ordenó notificar la actuación administrativa iniciada el 2 de junio del mismo año. En este sentido, INFOBIP

dejar sin efectos el auto de pruebas proferido el 5 de noviembre de 2020, y en su lugar, ordenó notificar la actuación administrativa iniciada el 2 de junio del mismo año. En este sentido, INFOBIP contaría con un “nuevo” término máximo de quince (15) días hábiles, desde la notificación del acto administrativo correspondiente para que formulara sus observaciones, present ara o solicit ara pruebas e informara a la CRC sobre el uso que se le estaba otorgando al recurso numérico asignado, así como, cualquier medida técnica, contractual o judicial que h ubiera empleado para prevenir o evitar la comisión de posibles fraudes o conductas delictivas mediante la utilización de es e recurso de identificación.

Ese auto fue notificado a INFOBIP a través de correo electrónico del 17 de septiembre de 2 021. Dentro del término establecido para tal fin, esto es, e l 22 de septiembre de 202 1, mediante comunicación radicada internamente bajo el número 2021811639, INFOBIP se pronunció de fondo sobre la actuación administrativa iniciada por esta Comisión.

Posteriormente, el 6 de diciembre de 202 1, la CRC profirió un auto de pruebas por medio del cual incorporó al expediente los radicados 2020809827 y 2 020811345, mediante los cuales Bancolombia S.A. le informó a la CRC, entre otras, que “(…) actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude desde los códigos cortos que se adjuntan a este correo en formato Excel, no solo infringe el derecho de autor, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, sino que también podría alojar

cortos que se adjuntan a este correo en formato Excel, no solo infringe el derecho de autor, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, sino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y terceros . Se indica que este contenido NO ha sido autorizado por Bancolombia, esto con el fin que se tomen medidas de bloqueo del código y contenido ”, a través, entre otros, del código corto 85668. Así, la Comisión le otorgó a INFOBIP diez (10) días hábiles, contados a partir de la comunicación del auto, para que controvirtiera la prueba mencionada.

El 22 de diciembre de 2021, mediante comunicación radicada bajo el número 2021817269, INFOBIP se pronunció sobre las pruebas incorporadas al expediente.

2. ARGUMENTOS PRESENTADOS POR INFOBIP COLOMBIA S.A.S.

2.1. Comunicación de 23 de noviembre de 2020

INFOBIP, además de señalar que existía una irregularidad, respecto de los radicados 2020809827 y 2020811345, señaló que, revisados los documentos mencionados, Bancolombia S.A. hizo afirmaciones genéricas manifestando que a través del código corto objeto de la actu ación administrativa se habían realizado actividades de “Smishing y Phishing” e “intentos de fraude”. Adicionalmente, esa empresa señaló que, en ninguna parte, se explica ba detalladamente en que consistieron ni cuáles fueron las actividades y modalidades de Smishing y Phishing que supuestamente fueron usadas para defraudar a terceros.

Aunado a lo anterior, INFOBIP señaló que “Con la información tan vaga y genérica suministrada por

consistieron ni cuáles fueron las actividades y modalidades de Smishing y Phishing que supuestamente fueron usadas para defraudar a terceros.

Aunado a lo anterior, INFOBIP señaló que “Con la información tan vaga y genérica suministrada por BANCOLOMBIA resulta muy complejo para nuestra empresa conocer si efectivamente se realizaron las mencionadas actividades de Smishing y Phishing, y si hubo o no, fraudes o intentos de fraude instrumentados a través de nuestro código corto 85668 A pesar de la poca información suministrada por BANCOLOMBIA en su queja procedimos a hacer una revisión y búsqueda detallada del tráfico que pasó por nuestras plataformas en los días mencionados en la queja relacionados con nuestro código corto 85668, esto es: 30 de abril, 16 de junio y 22 de septiembre de 2020, arrojando los siguientes resultados: Al cruzar las palabras y combinaciones deContinuación de la Resolución No. 6882 de 14 de julio de 2022 Hoja No. 3 de 11

la sigla “Bancolombia”, “desbloqueodesusproductos.com”, “actualizaciondesusdatos.com” y “actualizacionesbancolombias”, ninguna de estas palabras o combinaciones fueron encontradas en el tráfico verificado en las fechas y código corto antes mencionados.

De los resultados obtenidos producto de la revisión realizada en nuestras plataformas tecnológicas, podemos concluir que a través del código corto 85668 no pudieron haberse realizado las conductas de “Smishing y Phishing e intentos de fraude” que fueron im putadas a INFOBIP en la queja presentada por BANCOLOMBIA ante la CRC.” (Destacado fuera de texto).

Es importante señalar que INFOBIP no allegó ningún soporte de sus afirmaciones.

INFOBIP en la queja presentada por BANCOLOMBIA ante la CRC.” (Destacado fuera de texto).

Es importante señalar que INFOBIP no allegó ningún soporte de sus afirmaciones.

2.2. Comunicación de septiembre de 2021

En su comunicación radicada internamente el 22 de septiembre de 2021, INFOBIP expuso sus argumentos a través de las siguientes cuatro (4) secciones generales: (i) Ratificación de la indagación técnica realizada por Infobip. (ii) Ausencia de conductas de Phishing o similares. (iii) Pronunciamiento respecto de las causales de recuperación de los códigos cortos y (iv) Peticiones.

Respecto del primer punto, señaló que la actuación administrativa se inició como consecuencia de lo mencionado por parte de una usuaria móvil que reportó su caso ante la CRC, a través del radicado 2020802273 del 10 de marzo de 2020, en donde informaba que había recibido un mensaje “sospechoso”. Frente al particular, INFOBIP manifestó que había procedido a realizar la búsqueda de los antecedentes técnicos en su plataforma, y posteriormente, había restringido el uso de la palabra "netllx". Adicional a ello, dicha empresa recalcó que ese ajuste a la plataforma se realizó antes del 10 de marzo de 2020 -fecha relacionada en el reporte de la usuaria-, por lo que indicó que la fecha de recepción del mensaje había quedado cubierta dentro de la indagación técnica realizada.

A su vez, INFOBIP informó que la indagación técnica realizada a las bases de datos del código corto 85668, arrojó que la sigla “netllx” no fue encontrada, ni en el texto de los mensajes ni en ninguno

A su vez, INFOBIP informó que la indagación técnica realizada a las bases de datos del código corto 85668, arrojó que la sigla “netllx” no fue encontrada, ni en el texto de los mensajes ni en ninguno otro enlace o URL relacionada, deduciendo que, en las fechas indicadas, “ a través del código corto 85668 no se pudieron haber realizado las supuestas conductas fraudulentas mencionadas en la queja”. Así las cosas, INFOBIP manifestó que la búsqueda resultaba bastante “idónea” y que dada la ausencia del número de celular no había sido posible encontrar los mensajes relacionados.

En su segundo apartado, INFOBIP detalló los aspectos generales para indicar que no existía prueba alguna que evidenciara la comisión de una conducta delictiva, como “Phishing y otra conducta similar”.

Por su parte, en el tercer apartado de su comunic ación, INFOBIP hizo mención a la causal de recuperación establecida en el numeral 6.4.3.2.2. del artículo 6.4.3.2. de la Resolución CRC 5050 de 2016, y expuso que, u na vez realizadas las indagaciones técnicas del caso, a su juicio, estaba demostrado que el código corto 85668, desde que había sido asignado por la Comisión había tenido un uso legal y legítimo y su manejo había sido el correcto e idóneo, esto es, la provisión de contenidos y aplicaciones a través de SMS/MMS de conformidad con la Resolución 3501 de 2011 y bajo la modalidad gratuito para el usuario.

Finalmente, INFOBIP incluyó una sección de “peticiones”, en la que solicitó desestimar los hechos imputados en la queja que motivó el inicio de la actuación administrativa relacionados con el código

modalidad gratuito para el usuario.

Finalmente, INFOBIP incluyó una sección de “peticiones”, en la que solicitó desestimar los hechos imputados en la queja que motivó el inicio de la actuación administrativa relacionados con el código corto 85668, así como, e xonerar de toda responsabilidad a esa empresa. En consecuencia, INFOBIP solicitó “mantener” asignado el código corto mencionado, y archivar la actuación administrativa de recuperación.

Es de anotar que INFOBIP no soportó ninguna de sus afirmaciones, n i solicitó la práctica de pruebas, ni aportó ninguna prueba.

2.3. Comunicación de diciembre de 20212

Mediante comunicación radicada internamente el 2 2 de diciembre de 2021, INFOBIP señaló que, si bien las comunicaciones de Bancolombia S.A. relacionan fechas y URL de los incidentes, no brindan más información ni ofrece detalles respecto de las conductas de “Smishing y Phishing ” y

2 Radicado 2021817269.Continuación de la Resolución No. 6882 de 14 de julio de 2022 Hoja No. 4 de 11

“estafas fraudulentas en contra de Bancolombia S.A.”. Respecto a la queja del 28 de agosto de 2020, dicha empresa indicó que “no se dieron más detalles, ni se explicó en qué consistió el uso indebido o fraudulento, tampoco se explicó las URL qué papel jugaron en las “supuestas” actividades de Smishing y Phishi ng denunciadas.”, por lo que se trataban de simples hipótesis expuestas por la entidad financiera.

Frente a la comunicación del 29 de septiembre de 2020, INFOBIP mencionó que la prueba estaba

Smishing y Phishi ng denunciadas.”, por lo que se trataban de simples hipótesis expuestas por la entidad financiera.

Frente a la comunicación del 29 de septiembre de 2020, INFOBIP mencionó que la prueba estaba un poco “borrosa” y a su juicio, difícil de leer, y que, una vez hecho el análisis de su contenido, se determinó que “ no se dieron más detalles, ni se explicó en qué consistió el uso indebido o fraudulento, tampoco se explicó la URL qué papel jugó en las “supuestas” actividades de Smishing y Phishing denunciadas”.

Respecto al cuadro de Excel, INFOBIP indicó que no reportó información adicional y que “ Este cuadro fue enviado como un archivo anexo, pero no es mencionado en ninguna de las quejas incorporadas a la presente actuación administrativa.”

Ahora bien, INFOBIP presentó las actividades adelantadas y el rastreo de tráfico de información enviada a través de sus plataformas, informando que, como resultado de dicho análisis, las fechas de búsqueda e indagación de la información habían sido el 30 de abril, 16 de junio y 22 de septiembre de 2020. Así, frente a esas fechas, INFOBIP mencionó que “no tuvo conocimiento de los supuestos intentos de fraude mencionados en las quejas de Bancolombia sino hasta la comunicación del inició de la presente actuación administrativa”, dado que, a su criterio, “el simple tráfico de palabras como “Bancolombia”, “productos” o “actualizaciones” no entrañan en sí mismas riesgo alguno que dispare las alertas en el sistema de Infobip. Ello debido a que dichas palabras “por si solas” no consti tuyen ninguna amenaza que el sistema deba identificar como fraude”. Adicionalmente, esa empresa precisó

las alertas en el sistema de Infobip. Ello debido a que dichas palabras “por si solas” no consti tuyen ninguna amenaza que el sistema deba identificar como fraude”. Adicionalmente, esa empresa precisó lo siguiente: “Una vez concluida la búsqueda realizada en las plataformas de Infobip, conforme a las fechas, especificaciones y detalles relacionados co n el código corto 85668, se pudo verificar que hubo tráfico menor relacionado con dichas palabras.” (Destacado fuera de texto).

De otra parte, INFOBIP señaló que las palabras usadas por terceros para el envío de los mensajes de texto a través de sus plataformas no tenían la potencialidad de ser detectadas por el sistema como una posible amenaza de fraude, debido a que dichas palabras, fueron enviadas en diferentes fechas y no incorporaban una definición dañina o negativa que debiera ser detectada de manera automática, por lo que, a su juicio, es un hecho que sin una alerta previa de parte de sus clientes, y ante el uso de palabras comunes, no existía la posibilidad de que INFOBIP hubiera actuado de una forma diferente como actuó en este caso.

Aunado a lo anterior, INFOBIP señaló que las pruebas incorporadas a la actuación administrativa no eran suficientes ni idóneas para imputar conductas “ fraudulentas”, dado q ue, a su criterio, las comunicaciones remitidas por Bancolombia S.A. se habían limitado únicamente a hacer “afirmaciones genéricas”, sin dar mayores explicaciones ni fundamentar en que consistieron las supuestas conductas. En este sentido, esa empresa le solicitó a la CRC d esestimar los hechos imputados, desestimar las pruebas incorporadas a la actuación administrativa mediante radic ados 2020809827 y 2020811345 ; exonerar de toda responsabilidad a INFOBIP; mantener asignado el

imputados, desestimar las pruebas incorporadas a la actuación administrativa mediante radic ados 2020809827 y 2020811345 ; exonerar de toda responsabilidad a INFOBIP; mantener asignado el código Corto 85668 debido a la ausencia de responsabilidad; terminar definitivamente y archivar la actuación administrativa de la referencia; y todas las demás actuaciones administrativas relacionadas con la “Recuperación del código corto 85668”.

3. CONSIDERACIONES DE LA CRC

3.1. Competencia de la CRC En virtud de lo dispuesto en los numerales 12, modificado por el artículo 19 de la Ley 1978 de 2019, y 13 del artículo 22 de la Ley 1341 de 2009, la CRC ostenta la competencia para regular y administrar los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos, diferentes al espectro radioeléctrico. En efecto, el numeral 12 del artículo 22 de la Ley 1341 de 2009, modificado por el artículo 19 de la Ley 1978 de 2019, establece como función de esta Comisión, a través de su Sesión de Comisión de Comunicaciones, la de "[r]egular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuroContinuación de la Resolución No. 6882 de 14 de julio de 2022 Hoja No. 5 de 11

identifique redes y usuarios, salvo el nombre de dominio de Internet bajo el código del país correspondiente a Colombia -.co-". A su turno, el numeral 13 del artículo 22 de la misma Ley 1341 de 2009 establece como función de esta Comisión, la de “[a]dministrar el uso de los recursos de numeración, identificación de redes de

correspondiente a Colombia -.co-". A su turno, el numeral 13 del artículo 22 de la misma Ley 1341 de 2009 establece como función de esta Comisión, la de “[a]dministrar el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las tel ecomunicaciones, diferentes al espectro radioeléctrico”. Aunado a lo anterior, el Decreto 25 de 2002, compilado en el Decreto 1078 de 2015, “Por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones”, establece que la CRC "deberá administrar planes técnicos básicos, de conformidad con las disposiciones contenidas en este Título y siguiendo los principios de neutralidad transparencia, igualdad, eficacia, publicidad, moralidad y promoción de l a competencia con el fin de preservar y garantizar el uso adecuado de estos recursos técnicos". Por su parte, el artículo 2.2.12.5.3. del Capítulo 12 del Decreto 1078 de 2015 dispone que dicha administración comprende las modificaciones y/o adiciones que s e hagan a la estructura de la numeración, a los mapas de numeración, a los cuadros contenidos en el plan y a cualquier otro aspecto que requiera ser incluido dentro de este. Así mismo, el artículo 2.2.12.1.2.5. del Decreto en comento, establece que los núm eros, bloques de numeración, códigos, prefijos, entre otros, son recursos públicos y pertenecen al Estado, el cual puede asignarlos a los proveedores de redes y servicios de telecomunicaciones y recuperarlos cuando se den las condiciones que determine la CRC. La asignación de dichos recursos no otorga derecho de propiedad alguno sobre ellos.

recursos públicos y pertenecen al Estado, el cual puede asignarlos a los proveedores de redes y servicios de telecomunicaciones y recuperarlos cuando se den las condiciones que determine la CRC. La asignación de dichos recursos no otorga derecho de propiedad alguno sobre ellos. En cumplimiento de las funciones descritas, y en los términos previstos en el Decreto 25 de 2002, compilado en el Decreto 1078 de 2015, la CRC definió los sujetos asign atarios de numeración de códigos cortos, así como los procedimientos para su gestión y atribución transparentes y no discriminatorios, y la recopilación y actualización de los datos relativos a este recurso numérico. Dichas reglas se encuentran contenidas en el Título VI de la Resolución CRC 5050 de 2016 3. Así, en su artículo 6.1.1.8 se estableció que la CRC podía, previa actuación administrativa, recuperar, entre otros, los códigos cortos asignados cuando, entre otras causales, los códigos cortos presenta ran un uso diferente a aquél para el que fueron asignados. Teniendo claro lo anterior, así como el alcance y propósito de las competencias de la CRC para regular y administrar los recursos escasos, es evidente que, cuando se detecte la presunta configuraci ón de alguna de las causales de recuperación establecidas o el presunto uso ineficiente de algún recurso de identificación asignado, deben adelantarse las actuaciones administrativas a que haya lugar, con el fin de recuperar estos recursos numéricos, esto es retirar la autorización de uso de un recurso previamente otorgada a un asignatario, cambiándolo de estado para una posible reasignación futura. Finalmente, es necesario señalar que mediante la Resolución CRC 5968 de 2020 compilada en la

previamente otorgada a un asignatario, cambiándolo de estado para una posible reasignación futura. Finalmente, es necesario señalar que mediante la Resolución CRC 5968 de 2020 compilada en la Resolución CRC 5 050 de 2016, se delegó en el funcionario de la CRC que hiciera las veces del Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes, las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos ad ministrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC. 3.2. Sobre el caso objeto de análisis

3.2.1. Consideración preliminar

En sus diferentes escritos, INFOBIP señala que ninguna de las pruebas obrantes en el expediente permite endilgarle -a esa empresa - la comisión de conductas fraudulentas o conductas delictivas, entre otras, así:

“VI. Ausencia de idoneidad de las pruebas para endilgar conductas fraudulentas a Infobip

3 Por la cual de compilan las Resoluciones de Carácter General vigentes expedidas por la Comisión de Regulación ComunicacionesContinuación de la Resolución No. 6882 de 14 de julio de 2022 Hoja No. 6 de 11

Revisadas en detalle las pruebas incorporadas a la presente actuación administrativa podemos deducir que las mismas no son suficientes ni idóneas para imputar conductas fraudulentas a Infobip. Lo anterior por cuanto dichas quejas se limitaron solamente a h acer afirmaciones genéricas manifestando que a través del código corto 85668 se realizaron actividades de “Smishing y Phishing” e “intentos de fraude” sin dar mayores explicaciones ni fundamentar en

Infobip. Lo anterior por cuanto dichas quejas se limitaron solamente a h acer afirmaciones genéricas manifestando que a través del código corto 85668 se realizaron actividades de “Smishing y Phishing” e “intentos de fraude” sin dar mayores explicaciones ni fundamentar en que consistieron dichas conductas lo cual a todas luces e s insuficiente para tipificar estas conductas y mucho menos endilgar las mismas a Infobip . Lo único que puede probarse con estas quejas es que el hecho era irresistible e impredecible tal como atrás fue en detalle expuesto.

Según lo antedicho, en la prese nte actuación administrativa no existe prueba alguna que evidencie la comisión de un fraude en modalidad de conducta de Phishing u otra conducta de similares características debido a la ausencia de elementos probatorios que demuestren la materialización de dicha conducta a través de nuestro código corto 85668.” 4 (Subrayado fuera de texto).

“De los resultados obtenidos producto de la revisión realizada en nuestras plataformas tecnológicas, podemos concluir que a través del código corto 85668 no pudieron ha berse realizado las conductas de “Smishing y Phishing e intentos de fraude” que fueron imputadas a INFOBIP en la queja presentada por BANCOLOMBIA ante la CRC.”5 (Subrayado fuera de texto).

“De otro lado, consideramos oportuno destacar que una vez revisado en detalle el acervo probatorio no obra prueba alguna que evidencie la comisión de una típica conducta de Phishing, u otra conducta similar, dado que para que se configure dicha conducta se requiere -como mínimolo siguiente:

(i) La recepción de un mensaje inicial “aparentemente legal” pero que en realidad resulta ser un mensaje malintencionado encaminado a engañar al receptor para inducirlo a

mínimolo siguiente:

(i) La recepción de un mensaje inicial “aparentemente legal” pero que en realidad resulta ser un mensaje malintencionado encaminado a engañar al receptor para inducirlo a compartir información confidencial, tal como, contraseñas, tarjetas de crédito u otros instrumentos análogos a través de enlaces fraudulentos; y, (ii) La materialización de la conducta, que consiste en hacer “click” en el enlace fraudulento que redirecciona a la víctima a un escenario virtual ilegal mediante el cual el delincuente se apropia ilegalmente de la infor mación de la víctima, configurando así la conducta de Phishing.

Según lo antedicho, en la presente actuación administrativa no existe prueba alguna que evidencie la comisión de un fraude en modalidad de conducta de Phishing u otra conducta de similares c aracterísticas debido a la ausencia de elementos probatorios que demuestren la materialización de dicha conducta a través de nuestro código corto 8566”6 (Subrayado fuera de texto).

Al respecto , la CRC considera importante recordarle a INFOBIP que, de conformidad con la legislación y regulación vigente, la administración de los recursos de identificación hace referencia a la planificación, la asignación, la aceptación de la devolución, la verificación del uso y la recuperación de los recursos que permiten garantizar la eficiencia en el uso de estos, así como , su disponibilidad en todo momento. Bajo este entendido, el artículo 6.4.3.2 de la Resolución CRC 5050 de 2016 establece que la CRC puede, previa actuación administrativa, recuperar los códigos cortos asignados cuando, entre otras, estos presenten un uso diferente a aquél para el que fueron asignado s.

establece que la CRC puede, previa actuación administrativa, recuperar los códigos cortos asignados cuando, entre otras, estos presenten un uso diferente a aquél para el que fueron asignado s.

Dado que l a Comisión como autoridad administrativa se circunscribe a las funciones o facultades establecidas por el legislador, esta entidad debe verificar que el asignatario del recurso cumpla con los criterios de uso eficiente previstos en la regulación y que no incurra en ninguna de las causales de recuperación previamente establecidas. Si bien ninguna de las disposiciones legales que definen el alcance del actuar de la CRC o establecen sus funciones, incluye alguna relativa a la prevención o acción frente al delito, esto no significa que esta Comisión a través de su regulación, no busque minimizar los riesgos de ocurrencia de los delitos que se pr esentan sobre las redes y servicios de comunicaciones. No obstante, la Comisión aclara que no tiene facultades para determinar si una conducta constituye o no un delito a la luz de la legislación nacional vigente, por ello, una vez se tiene conoci miento s obre algún supuesto tipo de fraude sobre las redes y servicios de

4 Radicado 2021817269 5 Radicado 2020814132 6 Radicado 2021811639Continuación de la Resolución No. 6882 de 14 de julio de 2022 Hoja No. 7 de 11

comunicaciones, lo pone en conocimiento de la Fiscalía General de la Nación, para lo de su competencia.

En este sentido, la CRC rechaza todos los argumentos presentados por INFOBIP, tendientes a señalar que a la fecha no se encuentra probado que esa empresa haya cometido conductas “fraudulentas” o “delictivas” a través el código corto 85668. Lo anterior, por cuanto a la CRC no le

señalar que a la fecha no se encuentra probado que esa empresa haya cometido conductas “fraudulentas” o “delictivas” a través el código corto 85668. Lo anterior, por cuanto a la CRC no le corresponde determinar si se presentó fraude o no a través de los recursos de identificación asignados a esa empresa, ni esta es una condición para que proceda su recuperación.

Conforme a la causal descrita en el numeral 6.4.3.2.2. del artículo 6.4.3.2 de la Resolución CRC 5050 de 2016, la CRC debe verificar de un lado, el uso para el cual le fuero