SIC - Resolución 64931 de 2025

Página 1 de 25

RESOLUCIÓN NÚMERO 64931 DE 2025

(29/08/2025)

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Radicación: 23-541804

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE USUARIOS

DE SERVICIOS DE COMUNICACIONES

En ejercicio de sus facultades constitucionales, legales y reglamentarias, especialmente las previstas en la Ley 1341 de 2009, la Ley 1978 de 2019 y, el Decreto 4886 de 2011

CONSIDERANDO

PRIMERO. Que la Constitución Política de Colombia, establece en su artículo 2º como fin esencial del Estado, promover la prosperidad general y garantizar la efectividad de los derechos de los colombianos, así:

“Artículo 2o. Son fines esenciales del Estado: servir a la comunidad, promover la prosperidad general y garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución; facilitar la participación de todos en las decisiones que los afectan y en la vida económica, política, administrativa y cultural de la Nación; defender la independencia nacional, mantener la integridad territorial y asegurar la convivencia pacífica y la vigencia de un orden justo.

Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. (NFT).

En igual sentido, el artículo 78 de la Constitución Política prevé la protección al

creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. (NFT).

En igual sentido, el artículo 78 de la Constitución Política prevé la protección al consumidor desde la perspectiva de un sistema de libre mercado, imponiendo a los proveedores, a su vez, la carga de regular y verificar la información que suministra, así:

“Artículo 78. La ley regulará el control en calidad de bienes y servicios ofrecidos y prestados a la comunidad, así como la información que debe suministrarse al público en su comercialización.

Serán responsables de acuerdo a la ley, quienes en la producción y en la comercialización de bienes y servicios, atenten contra la salud, la seguridad y el adecuado aprovisionamiento a consumidores y usuarios.

El Estado garantizará la participación de las organizaciones de consumidores y usuarios en el estudio de las disposiciones que les conciernen. Para gozar de este derecho las organizaciones deben ser representadas y observar procedimientos democráticos inte rnos”. (NFT).

SEGUNDO. Que la Ley 1341 de 2009 “[p]or la cual se definen principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones –TIC– se crea la Agencia Nacional del Espectro y se dictan otras disposiciones” , establece en el numeral 4° del artículo 2º como principio orientador en la materia, el de Protección de los Derechos de los Usuarios de Servicios de Comunicaciones, según el cual:

VERSIÓN

PÚBLICARESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

VERSIÓN

PÚBLICARESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 2 de 25

“ARTÍCULO 2o. PRINCIPIOS ORIENTADORES. La investigación, el fomento, la promoción y el desarrollo de las Tecnologías de la Información y las Comunicaciones son una política de Estado que involucra a todos los sectores y niveles de la administración pública y de la sociedad, para contribuir al d esarrollo educativo, cultural, económico, social y político e incrementar la productividad, la competitividad, el respeto a los Derechos Humanos inherentes y la inclusión social.

Las Tecnologías de la Información y las Comunicaciones deben servir al interés general y es deber del Estado promover su acceso eficiente y en igualdad de oportunidades, a todos los habitantes del territorio nacional.

Son principios orientadores de la presente ley:

(…)

4. Protección de los derechos de los usuarios. El Estado velará por la adecuada protección de los derechos de los usuarios de las Tecnologías de la Información y de las Comunicaciones , así como por el cumplimiento de los derechos y deberes derivados del Hábeas Data, asociados a la prestación del servicio. Para tal efecto, los proveedores y/o operadores directos deberán prestar sus servicios a precios de mercado y utilidad razonable, en los niveles de calidad establecidos en los títulos habilitantes o, en su defecto, dentro de los rangos que certifiquen las entidades competentes e idóneas en la materia y con información clara, transparente, necesaria, veraz y

establecidos en los títulos habilitantes o, en su defecto, dentro de los rangos que certifiquen las entidades competentes e idóneas en la materia y con información clara, transparente, necesaria, veraz y anterior, simultánea y de todas maneras oportuna para que los usuarios tomen sus decisiones”. (NFT).

En igual sentido, a través del numeral 1º del artículo 4º de la citada Ley, se desarrolló como principio de intervención para el sector de las Tecnologías de la Información y las Comunicaciones, entre otros, el siguiente:

“ARTÍCULO 4o. INTERVENCIÓN DEL ESTADO EN EL SECTOR DE LAS TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES. En desarrollo de los principios de intervención contenidos en la Constitución Política, el Estado intervendrá en el sector las Tecnologías de la Información y las Comunicaciones para lograr los siguientes fines:

1. <Numeral modificado por el artículo 4 de la Ley 1978 de 2019. El nuevo texto es el siguiente:> Proteger los derechos de los usuarios, incluyendo a los niños, niñas y adolescentes, y a la familia velando por la calidad, eficiencia y adecuada provisión de los servicios, y la promoción de la digitalización de los trámites asociados a esta provisión.” (NFT).

Adicional a lo anterior, el artículo 7º de la Ley en mención1, dispone que el citado cuerpo normativo se interpretará en la forma que mejor garantice el desarrollo de los principios orientadores establecidos en la misma, con énfasis en promoción y garantía de la libre y leal competencia y la protección de los derechos de los usuarios, entre otros.

cuerpo normativo se interpretará en la forma que mejor garantice el desarrollo de los principios orientadores establecidos en la misma, con énfasis en promoción y garantía de la libre y leal competencia y la protección de los derechos de los usuarios, entre otros.

TERCERO. Que el artículo 37 de la Ley 1978 de 20192, en cuanto a la protección de los usuarios, estableció lo siguiente:

“ARTÍCULO 37. Funciones en materia de prácticas restrictivas de la competencia e integraciones empresariales y en cuanto a la protección de los usuarios. De conformidad con lo dispuesto en

1 “ARTÍCULO 7o. CRITERIOS DE INTERPRETACIÓN DE LA LEY. <Artículo modificado por el artículo 6 de la Ley 1978 de 2019. El nuevo texto es el siguiente:> Esta Ley se interpretará en la forma que mejor garantice el desarrollo de los principios orientadores establecidos en la misma, con énfasis en la protección de los usuarios, la garantía y promoción de la libre y leal competencia y la promoción de la inversión”. 2 ‘‘Por la cual se moderniza el sector de las Tecnologías de la Información y las Comunicaciones (TIC), se distribuyen competencias, se crea un regulador único y se dictan otras disposiciones’’RESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 3 de 25

la Ley 1340 de 2009, la Ley 1341 de 2009 y la Ley 1480 de 2011, respectivamente, la Superintendencia de Industria y Comercio ejerce funciones como autoridad única de protección de la competencia en el sector TIC, entre otras en materia de prácticas

respectivamente, la Superintendencia de Industria y Comercio ejerce funciones como autoridad única de protección de la competencia en el sector TIC, entre otras en materia de prácticas restrictivas de la competencia e integraciones empresariales, así como de autoridad de control y vigilancia encargada de la protección de los usuarios de los servicios que integran el sector TIC . Para el ejercicio de estas facultades, la Superintendencia de Indus tria y Comercio aplicará el régimen de inspección, vigilancia y control previsto en la Ley 1341 de 2009 y demás normas que la modifiquen o sustituyan. Así mismo, seguirá conociendo de las funciones del literal d) del artículo 5o de la Ley 182 de 1995.” (NFT)

CUARTO. Que el artículo 53 de la Ley 1341 de 2009, ubicado en el Título VI “Régimen de Protección al Usuario”, prevé lo siguiente:

“Artículo 53. Régimen Jurídico. El régimen jurídico de protección al usuario, en lo que se refiere a servicios de comunicaciones, será el dispuesto en la regulación que en materia de protección al usuario expida la CRC y en el régimen general de protección al consumidor y sus normas complementarias en lo no previsto en aquella. (…)” (Destacado fuera de texto)

QUINTO. Que esta Superintendencia, adicional a las facultades atrás mencionadas, tiene dentro de sus funciones vigilar el cumplimiento de la regulación expedida por la Comisión de Regulación de Comunicaciones —CRC— , respecto de la protección de los usuarios de los servicios de comunicaciones, conforme con lo establecido por el numeral 26 del artículo 1º del Decreto 4886 de 2011, modificado por el Decreto 092 de 2022:

, respecto de la protección de los usuarios de los servicios de comunicaciones, conforme con lo establecido por el numeral 26 del artículo 1º del Decreto 4886 de 2011, modificado por el Decreto 092 de 2022:

“ARTÍCULO 1o. FUNCIONES GENERALES. <Artículo modificado por el artículo 1 del Decreto 92 de 2022. El nuevo texto es el siguiente:> La Superintendencia de Industria y Comercio ejercerá las funciones establecidas en la Ley (…) 1341 de 2009, (…), y aquellas que modifiquen o adicionen las ante riores, las demás que le señalen las normas vigentes y las que le delegue el Presidente de la República.

La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

26. Velar en los términos establecidos por la Ley y la regulación expedida por la Comisión de Regulación de Comunicaciones, por la observancia de las disposiciones sobre protección al consumidor y los usuarios de los servicios de telecomunicaciones y dar t rámite a las quejas o reclamaciones que se presenten”.

Asimismo, los numerales 30 y 57 del citado artículo facultaron a esta

Superintendencia para:

“30. Imponer, previa investigación, de acuerdo con el procedimiento aplicable, sanciones por violación de las normas sobre protección al consumidor y del régimen de protección a usuarios de los servicios de telecomunicaciones.

(…)

57. Solicitar a las personas naturales y jurídicas el suministro de datos, informes, libros y papeles de comercio que se requieran para el correcto ejercicio de sus funciones.”

SEXTO. Que esta Superintendencia, en cumplimiento de las facultades

57. Solicitar a las personas naturales y jurídicas el suministro de datos, informes, libros y papeles de comercio que se requieran para el correcto ejercicio de sus funciones.”

SEXTO. Que esta Superintendencia, en cumplimiento de las facultades indicadas, puede adelantar las investigaciones que considere pertinentes con el fin de salvaguardar los derechos de los usuarios de los servicios de comunicaciones. En tal sentido, el numeral 3° del artículo 13 del Decreto 4886 de 2011, establece como función de la Dirección de Investigaciones deRESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 4 de 25

Protección de Usuarios de Servicios de Comunicaciones (en adelante la Dirección), la siguiente:

“ARTÍCULO 13. FUNCIONES DE LA DIRECCIÓN DE PROTECCIÓN A USUARIOS DE SERVICIOS DE COMUNICACIONES. Son funciones de la Dirección de Investigación de Protección a Usuarios de Servicios de Comunicaciones:

(…)

3. Tramitar y decidir las investigaciones en contra de proveedores de servicios de telecomunicaciones por presuntas infracciones al régimen de protección a usuarios de los servicios de telecomunicaciones y adoptar las medidas y sanciones que correspondan d e acuerdo con la ley.

(…)”

SÉPTIMO. Que en el periodo comprendido entre el 06 de diciembre de 2023 y el 12 de febrero de 2025 , la Dirección tuvo conocimiento de 47 denuncias en contra de la sociedad COLOMBIA MÓVIL S.A. ESP, identificada con el NIT

el 12 de febrero de 2025 , la Dirección tuvo conocimiento de 47 denuncias en contra de la sociedad COLOMBIA MÓVIL S.A. ESP, identificada con el NIT 830.114.921-1 (en adelante TIGO, el proveedor y/o la sociedad), de cuya lectura se advirtió que el proveedor al parecer realizó la reposición de SIM CARDS sin el consentimiento y verificación de identidad de los titulares de las líneas móviles, siendo entregadas a terceros, lo que generó la afectación de los servicios móviles, ya que cuando se realizaron tales transacciones de cambio de chip, las líneas quedaron sin servicio o sin señal, momento que fue aprovechado para la comisión de posibles fraudes bancarios a través de las líneas de los denunciantes.

Para ilustrar la conducta desplegada por el operador , se relacionan l as quejas recibidas en la siguiente tabla:

Tabla 1. Relación denuncias

RADICADO FECHA HECHOS3 SÍNTESIS DE LAS DENUNCIAS

23-541804 9/11/2023 Los denunciantes aparentemente experimentaron falta de señal o ausencia de los servicios móviles, por ello, al momento de reportar la falla, el operador les informó que se había realizado una reposición o cambio de chip o SIM CARD.

Sin embargo, los quejosos negaron haber realizado esta transacció n; por lo que, al parecer, sin la debida verificación de identidad de los titulares de las líneas móviles, el proveedor entregó a terceros las SIM CARDS, lo que facilitó la comisión de fraudes bancarios a través de las mismas. 23-560514 3/10/2023

identidad de los titulares de las líneas móviles, el proveedor entregó a terceros las SIM CARDS, lo que facilitó la comisión de fraudes bancarios a través de las mismas. 23-560514 3/10/2023 23-554272 28/10/2023 24-34592 14/11/2023 24-126145 14/12/2023 24-117378 18/12/2023 24-104824 21/12/2023 24-95572 12/01/2024 24-193692 15/02/2024 24-120911 20/02/2024 24-237810 21/02/2024 24-171659 22/02/2024 24-173936 22/02/2024 24-163375 22/02/2024 24-2001364 5/03/2024 24-209131 8/03/2024 24-161314 13/03/2024 24-203714 14/03/2024 24-132046 21/03/2024 24-404440 22/03/2024 24-145031 30/03/2024 24-158770 2/04/2024

3 Para el presente caso, corresponde a la fecha en la cual se realizó la reposición de la SIM sin autorización. 4 A esta denuncia se acumuló el radicado No. 24-394441, por corresponder a los mismos hechos denunciados por el quejoso.RESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 5 de 25

24-160731 3/04/2024

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 5 de 25

24-160731 3/04/2024 24-266862 5/04/2024 24-400475 8/04/2024 24-198708 8/04/2024 24-199365 8/04/2024 24-199991 4/05/2024 24-294954 7/05/2024 24-215208 8/05/2024 24-433186 8/05/2024 24-218053 9/05/2024 24-211196 9/05/2024 24-212890 10/05/2024 24-267496 8/06/2024 24-268354 14/06/2024 24-265150 18/06/2024 24-378774 5/08/2024 24-364875 23/08/2024 24-403091 28/08/2024 24-471608 17/09/2024 24-482456 7/10/2024 24-490704 12/11/2024 24-556094 13/11/2024 24-529043 15/11/2024 24-37643 30/12/2024 25-641025 28/01/2025

Fuente: Elaboración propia

A continuación, se traen a colación algunos ejemplos de las denuncias presentadas ante esta Autoridad, así:

Rad. 23-554272

Descripción de l os hechos: “El día Sábado 28 de octubre de 2023, aproximadamente a las 3 pm mi línea telefónica XXXXXXXX del operador

presentadas ante esta Autoridad, así:

Rad. 23-554272

Descripción de l os hechos: “El día Sábado 28 de octubre de 2023, aproximadamente a las 3 pm mi línea telefónica XXXXXXXX del operador TIGO quedó fuera de servicio, el día lunes 30 de octubre 2023 me acerqué a la oficina de TIGO en el Centro Comercial Unicentro para solucionar el bloqueo de mi línea telefónica, allí me notificaron por escrito lo siguiente: \"se evidencia que en el sistema el día 28 de octubre 2023 a las 3:30 pm hubo un bloqueo por robo por el usuario ME 1101815671 y que a las 3: 52 pm realizaron la reposición de la SIM por parte del usuario AB 1032422689 en el centro comercial Plaza de las Américas\" Cabe aclarar que mi teléfono celular nunca fue hurtado y siempre permaneció en mi poder, y que esta línea pertenece a un plan corporativo de la empresa IMPORTACIONES ALEMANAS SAS NIT: 900736291-0, y que estas dos transacciones ( bloqueo por robo y reposición de SI M) no fueron solicitadas ni por el representante legal ni por mi persona. Esto configura una vulneración a la protección de datos personales, por lo que radiqué una PQR ante TIGO solicitando: 1)Soportes donde se certifique quien realizó la suspensión por r obo de mi línea, si fue de forma presencial, soporte firmado por representante legal y si fue por llamada, grabación donde se valida la titularidad del mismo. 2) Soportes de la transacción de la reposición de la SIM de la línea, ya que según sus políticas, se debe adjuntar soportes del representante legal y/o

si fue por llamada, grabación donde se valida la titularidad del mismo. 2) Soportes de la transacción de la reposición de la SIM de la línea, ya que según sus políticas, se debe adjuntar soportes del representante legal y/o en caso de un tercero, el ticket de la autorización. Como consecuencia de esta vulneración de mis datos personales, esa misma tarde el Sábado 28 de octubre 2023, de forma fraudulenta bajo la nueva tecn ología de pago sin contacto desde un dispositivo móvil (celular) realizaron 10 compras en el EXITO CALLE 80 por valor de $23.573.150 pesos con la tarjeta de crédito Master Card Black Carulla 5101200035668121 de TUYA. Cabe aclarar que

5 A esta denuncia se acumul aron los radicados Nos. 25-84860 y 25 -83302, por corresponder a los mismos hechos denunciados por el quejoso.RESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 6 de 25

mi tarjeta de crédito siempre permaneció en mi poder y nunca fue hurtada. Solicito reparación financiera sobre este hecho y demás (sic)”6

Rad. 24-400475

Descripción de los hechos: “El 9 de abril de 2024 reporté una suplantación de identidad por lo cual Tigo hizo un reposición (sic) de la simcard sin mi autorización pues el día anterior me había quedado sin señal de telefonía y datos. En esa oportunidad solicité a Tigo a través de un PQR la información y los formatos de la reposición de simcard de la línea XXXXXXXXX realizada el día 8 de abril sin autorización mía lo que generó que me robaran

datos. En esa oportunidad solicité a Tigo a través de un PQR la información y los formatos de la reposición de simcard de la línea XXXXXXXXX realizada el día 8 de abril sin autorización mía lo que generó que me robaran $4.950.000 de mi cuenta de Daviplata. Solicité toda la información detallada de donde se realizó el proceso, quien lo realizó, qué validación de identidad se realizó, y formatos de soporte de este trámite. El 14 de junio Tigo respondió el PQRs donde indica cómo se hace la reposición de la simcard, indica que Tigo no es responsable del uso que se le da a la línea ni tampoco por la pérdida del dinero. La carta de respuesta NO resolvió lo solicitado que era entregar toda la información detallada de donde se realizó el proceso, indicar quien lo realizó, qué validación de identidad se realizó, y formatos de soporte de este trámite. Ninguna de esa documentación se entregó. Por esa razón me permito reiterar que Tigo 1. Entregue lo solicitado 2. Se revise la forma como Tigo manejó de mi información personal y confidencial de acuerdo la normatividad de habe as data y protección de datos con la suplantación de la simcard. (sic)”7

Rad. 24-529043

Descripción de los hechos: “El dia (sic) 15 de noviembre, la empresa de telecomunicaciones tigo permitio (sic) el cambio de sim a persona falta para realizar actividades de SIM Swapping, mi identidad fue suplantada por medio del numero (sic) de celular, abrieron cuenta en portal de davivienda, crearon tajeta (sic) de credito (sic) y realizaron compras de 20 millones de pesos.

Tigo responde que no entrega informacion (sic) detallada del cambio de sim

del numero (sic) de celular, abrieron cuenta en portal de davivienda, crearon tajeta (sic) de credito (sic) y realizaron compras de 20 millones de pesos. Tigo responde que no entrega informacion (sic) detallada del cambio de sim por ser procesos internos de la compañía (sic). Acualmente (sic) se tiene caso de PQRS 1 -49484400383 abierto en davivienda y a la espera de respuesta ante la suplantacion (sic) y uso de tarjeta de crédito (sic)creada virtualmente. requiero su colaboración para que tigo entregue la informacion (sic) completa y asuma en dado caso los daños y perjuicios en mi nombre por la suplatancion (sic) de identidad. a partir del 15 de noviembre, recibo aproximadamente 10 llamadas diarias de numeros (sic) asociados a fraudes. (sic)”8

Rad. 24-556094

Descripción de los hechos: “El 13 de noviembre de 2024, fui víctima de suplantación de identidad. Mi línea celular, operada por Tigo, fue activada sin autorización en Medellín, donde no resido, dejándome incomunicado y facilitando un fraude bancario por más de 20 millones de pesos en Davivienda. El proceso de activacion (sic) no siguio (sic) los protocolos de seguridad, fotos del solicitante, cédula física, preguntas de seguridad, Formato Único de Solicitudes Postventa. y enviarlo al correo registrado del usuario. Validaciones que sí me fueron exigidas al recuperar mi línea al día siguiente. Al reportar la falta de señal, Tigo me informó falsamente que se trataba de reparaciones en la zona. Pese a dos derechos de petición, Tigo evadio (sic) las

exigidas al recuperar mi línea al día siguiente. Al reportar la falta de señal, Tigo me informó falsamente que se trataba de reparaciones en la zona. Pese a dos derechos de petición, Tigo evadio (sic) las preguntas. Solicito respetuosamente auditar al centro autorizado y procesos de Tigo, asi como aplicar las sanciones por falta de control y supervisión (sic) . Este comportamiento afecta a mas consumidores, evidencia fallas sistémicas y permite a sitios fraudulentos operar sin consecuencias. (sic)”9

6 Visible en el consecutivo 0 del Rad. 23-554272 7 Visible en el consecutivo 0 del Rad. 24-400475 8 Visible en el consecutivo 0 del Rad. 24-529043 9 Visible en el consecutivo 0 del Rad. 24-556094RESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 7 de 25

Rad. 25-64102

Descripción de los hechos: “El día 28 de enero 2025 FUNCIONARIOS DE TIGO (ya que solo los funcionarios tienen acceso a las plataformas empresariales) realizan a mi línea XXXXXXXXX un cambio de número de simcard SIN MI AUTORIZACIÓN desactivado la que tengo en uso y asignado a otra en otro móvil para burlar la seguridad informática con claves OTP que se asignan para identificar mis productos de crédito con línea celular y así abrir productos de crédito y suplantar mi identidad y cometer fraude con robo a productos financieros voy al centro de serv

(sic) para que me den una sim y al activar una nueva se evidenció que accedieron a datos personales documento id teléfonos email fotos de

cometer fraude con robo a productos financieros voy al centro de serv (sic) para que me den una sim y al activar una nueva se evidenció que accedieron a datos personales documento id teléfonos email fotos de mi documento de identidad y fotos biométricas que Tigo Obtuvo para activar producto móvil responden queja 4331 -250000033126 de manera insulsa sin ofrecer información relevante y dan por cerrada la queja de manera cómplice con estas acciones delictivas actividades reportadas ante la fiscalía y policía (sic)”10

OCTAVO. AVERIGUACIONES PRELIMINARES

8.1. CONSIDERACIONES PREVIAS

Actualmente el uso de medios tecnológicos para realizar distintas transacciones en un entorno digital si bien acelera y optimiza tiempos, ha sido aprovechada por personas o grupos organizados que a través de distintas maniobras logran engañar y defraudar a los actores y agentes que participan en operaciones de distintos tipos de mercados y economías.

En un reciente documento11 elaborado por la Sección de Apoyo a la Conferencia de la Subdivisión de Lucha contra la Delincuencia Organizada y el Tráfico Ilícito de la División de Tratados de la Oficina de las Naciones Unidas contra la Droga y el Delito (UNODC), se explicaba que,

“[E]l fraude mediante la suplantación de la identidad de una persona u organización fiable suele consistir en la manipulación de las comunicaciones para que parezcan proceder de una persona u organización con la que las víctimas tienen, o creen tener, una relación legítima. (…)”

La falsificación de identidad implica el uso de información de identidad robada o falsa para acceder directamente a bienes, servicios o dinero

organización con la que las víctimas tienen, o creen tener, una relación legítima. (…)”

La falsificación de identidad implica el uso de información de identidad robada o falsa para acceder directamente a bienes, servicios o dinero de las víctimas. La información robada puede utilizarse para realizar compras o acceder a cuentas financieras. Es te fraude puede perpetrarse sin que medie comunicación directa con la persona cuya identidad está siendo usurpada ni una acción directa alguna por parte de ella, ya que el objetivo del engaño suele ser el proveedor de los bienes, servicios o dinero (p. ej., un banco o vendedor). De este modo, el daño se reparte entre diferentes actores, a saber, la víctima cuya identidad es objeto de abuso, el proveedor de servicios financieros u otra empresa de la que se sustrae el dinero y, en algunos casos, el proveedor de los bienes o servicios adquiridos con los fondos robados.”12

Y agregó que una de las técnicas empleadas ahora era el “Intercambio de SIM, que consiste en engañar a un proveedor de telecomunicaciones para que transfiera el número de teléfono de la víctima a una tarjeta SIM en poder del delincuente. Esto permite a los delincuentes eludir las protecciones de autentificación de dos factores de los proveedores de servicios financieros para acceder directamente a una cuenta.”13 (Resaltado propio)

10 Visible en el consecutivo 0 del Rad. 25-64102 11 Fraude Organizado. Documento temático. UNODC, Naciones Unidas – Viena 2024. 12 Ibidem. Págs. 31 y 33. 13 Ibidem. Pág. 35.RESOLUCIÓN NÚMERO 64931 DE 2025

11 Fraude Organizado. Documento temático. UNODC, Naciones Unidas – Viena 2024. 12 Ibidem. Págs. 31 y 33. 13 Ibidem. Pág. 35.RESOLUCIÓN NÚMERO 64931 DE 2025

“Por medio de la cual se inicia una investigación administrativa mediante la formulación de cargos”

Página 8 de 25

En línea con lo expuesto, vale la pena aterrizar lo anterior al caso colombiano, y es así como la Comisión de Regulación de Comunicaciones – CRC, en reciente documento14 señaló:

“(…) los términos «fraude», «conductas fraudulentas» o «fines fraudulentos» se deben entender, tanto en el marco de este proyecto como en las medidas regulatorias vigentes donde se utilizan, en concordancia con su significado natural. En otras palabras, no se deben interpretar de manera restrictiva como que se refieren exclusivamente a la comisión de las conductas delictivas tipificadas en la ley penal colombiana, sino de manera amplia, es decir, que se refiere a todos aquellos actos contrarios a las reglas o disposiciones establecidas en la normativa que generan perjuicios a terceros. Aclarado lo anterior, no puede perderse de vista que, con la entrada en vigor de la Ley 1273 de 2009, en Colombia sí existen conductas punibles que se materializan por medio del uso de los servicios tradicionales de telecomunicaciones como lo son las llamadas de voz y el envío de SMS. (…)

De esta manera, en aquellos casos en los que, como resultado de ataques de ingeniería social -tales como phishing, smishing, spoofing o vishingse efectúe el tratamiento de datos personales y se evidencie el incumplimiento de alguna de las disposiciones d e su régimen, la SIC,

ataques de ingeniería social -tales como phishing, smishing, spoofing o vishingse efectúe el tratamiento de datos personales y se evidencie el incumplimiento de alguna de las disposiciones d e su régimen, la SIC, como autoridad de inspección, vigilancia y control en esta materia, está facultada para, en caso de encontrar mérito, llevar a cabo actuaciones administrativas sancionatorias, incluyendo la imposición de sanciones.”15

Sin embargo, aunado a las anteriores modalidades descritas por la CRC , se encuentra el SIM SWAPPING16, que consiste básicamente en el bloqueo de la SIM CARD y la solicitud de reposición de la misma sin autorización del titular, algunas veces con una cesión previa de la línea a un tercero, lo que facilita realizar fraudes bancarios o la contratación de ser vicios no solicitados, accediendo a los códigos únicos de verificación que envían las Fintech, las aplicaciones móviles de las entidades bancarias o las billeteras digitales asociadas a la línea móvil.

8.2. ACTUACIONES DESPLEGADAS

Efectuadas las anteriores consideraciones, se entrará a describir las actuaciones preliminares adelantadas por esta Dirección con el fin de tramitar las quejas presentadas, las cuales están relacionadas con la figura del SIM SWAPPING.

Así, la Dirección en ejercicio de las facultades legales y reglamentarias atrás enunciadas, efec