Grave Fallo de seguridad Mensajes Dictados, red movistar, se suplanta id de llamante y movistar cobra.

[coolshield]

Grave fallo de seguridad que permite que cualquier persona que se baje un app que permita modificar el id de llamada y tenga activados los mensajes dictados, puede suplantar la identidad de cara a la red de movistar, dado que la red de movistar no verifica realmente la legitimidad de identificador en la enruntación de las llamadas recibidas o enviadas.

Este servicio es totalmente suplantable ya que cualquier persona con conocimientos básicos, puede descargar una simple App en iOS, por ejemplo (Fun Phone Call) que entre muchas otras por la red, permite hacer llamadas y poner de identificador de llamada el número que te dé la gana, de tal forma que si esa persona pone en la App un número de Movistar y llama a otro número de Movistar con el servicio de mensajes dictados activado, el coste de la llamada del servicio de mensajes dictados 0,50€ será cobrado para la víctima y además, se puede incluso dictar un mensaje al teléfono llamado, cobrándose a la persona suplantada dicho servicio sin ni siquiera haber utilizado su teléfono móvil.

Esto es lo que le ha sucedido a una de nuestras líneas de Empresa, alguien se ha dedicado a llamar suplantando el identificador de llamadas de nuestra línea y ha estado haciendo llamadas a un número prepago Movistar con servicio de mensajes dictados activo, por lo que el consumo de nuestra línea se ha elevado hasta 60€, hasta el punto que tuvimos que suspender la línea por robo o perdida para poder evitar que se siga haciendo consumo fraudulento.

He puesto por todos los medios posibles en conocimiento de Movistar y al comercial asignado esta situación, y me han dicho que NO me van a devolver el dinero. ¿Hay derecho a esto después de ser cliente desde hace más de 20 años? Indicar, que este problema y fallo de seguridad afecta a millones de clientes, por lo que espero mediante este escrito que procedan a solucionar este problema ya que el servicio es totalmente suplantable, y por supuesto, deseo que soliciten el bloqueo de este servicio en nuestras líneas así como la correspondiente anulación de los consumos fraudulentos ya que la línea llevaba meses apagada y no tenía ningún consumo.

Como no me lo creía mucho me he descargado esta APP y he probado a llamar desde mi número de teléfono (al de ese familiar) a través de esa APP, es decir, mi teléfono móvil con la SIM quitada y yo llamándo a través de esa APP  (Fun Phone Call) simulando poner mi número de teléfono como llamante y es totalmente cierto, me han cargado 0,41€ sin IVA en el consumo y aparte de eso por supuesto el mensaje al destinatario le ha llegado con el mensaje que yo he dictado.


Me parece algo muy grave que esto se pueda hacer y lo peor de todo que telefónica tenga constancia de ello y no esté solucionado.

En todo caso, espero su respuesta, de no recibirla....

Realizaré una denuncia ante la agencia de protección de datos, dado que están bajo un gran fallo de seguridad que afecta a todos sus clientes.

Ya se ha enviado la comunicación correspondiente al DPO para seguir el procedimiento antes de interponer la reclamación en la agencia de protección de datos.

[Comercial.Global_movistar]

Hola @coolshield,

En relación a lo que nos comentas, vamos a realizar una consulta y te informaremos al respecto a la mayor brevedad.

Un saludo

Mercedes

[usuario_retirado]

Buenos días @Comercial.Global_movistar 

Efectivamente, tal y como cuenta @coolshield el servicio de "Mensajes Dictados" de Movistar tiene una brecha de seguridad que permite a cualquier usuario suplantar la identidad y ocasionarle gasto a otro usuario. 

Hay muchísimas App, tanto para iOS como para Android que permiten modificar el identificador de llamadas, generalmente son llamadas que sirven para bromas telefónicas pero también las pueden utilizar para hacer "spoofing".

¿Qué es Spoofing? Es lo que adjunto en el siguiente enlace:
Pincha aquí para saber que es Spoofing 

Mediante este mecanismo han suplantado la identidad de un familiar que tiene línea con Movistar y han efectuado llamadas a otra persona, han dictado mensajes con palabras malsonantes y le han ocasionado gasto en su factura, por lo que ha tenido que interponer una denuncia en la Guardia Civil además de portar su línea a otro operador.

Ejemplo:
Supongamos que mi número de móvil es 614567890 y lo tengo en Movistar. Un delincuente utiliza una App que permita modificar el identificador de llamadas y utiliza como identificador y máscara de llamada mi número 614567890. El delincuente al llamar mostrando mi número a otro número de Movistar que tenga activados los mensajes dictados, puede dictar un mensaje con cargo a mi número 614567890, sin que la llamada realmente se hubiese realizado desde mi línea móvil. El motivo es por que Movistar no identifica que la llamada proviene realmente desde un enrutamiento o IP de Movistar, simplemente el número destino recibe la llamada de un número remitente que está activo y dado de alta en Movistar y lo reconoce. 

Una posible solución (no entiendo mucho del tema) es que el servicio únicamente identifique llamadas realizadas con un enrutamiento o IP de Movistar. 

Haciendo pruebas de esto mismo con 2 líneas Vodafone y su famoso servicio "Dicta SMS" similar al de "Mensajes Dictados" sucede exactamente igual que en Movistar!!!!

El aviso está enviado a Telefónica, de hecho tengo constancia que el usuario que descubrió la brecha y la notificó a Telefónica lo hizo hace más de 1 año y están avisados tanto los departamentos de seguridad como el propio presidente de la compañía, de ese modo, si no se actúa rápido y se suspende el servicio mientras se arregla la brecha de seguridad, se denunciará los hechos en los próximos días ante la Agencia de Protección de datos,  y no creo que a Telefónica le haga mucha gracia recibir una multa por este motivo.

[usuario_retirado]

Hola de nuevo @Comercial.Global_movistar 

Se me olvidó indicar que si se utiliza el identificador de llamada de una línea Movistar para llamar a un número Vodafone, sucedería lo mismo ya que TODAS las líneas de Vodafone y de Movistar tienen este servicio activado.

¡ALERTA! Acabo de hacer la prueba desde una línea Vodafone a Vodafone, de una línea Vodafone a Movistar y de una Movistar a Vodafone y sucede lo mismo, por tanto podríamos decir que tanto MOVISTAR Y VODAFONE TIENEN EL MISMO GRAVE ERROR. ¿Quien lo solucionará primero? 😂

Ya hay otra empresa de telefonía afectada también a la que denunciar ante la agencia de protección de datos y los medios. Tenéis 2 opciones:

1. Arreglar el problema como sea en colaboración con Vodafone.
2. Permitir a los clientes desactivar el servicio también para que sus líneas no dicten mensajes, ya que por defecto toda línea activa en sistemas puede dictar mensajes y es algo que el cliente no puede desactivar para llamar, sólo para recibir y que no le dicten mensajes.

La cosa se pone calentita, el problema es más grave de lo que pensaba al existir el fallo en 2 compañías muy grandes de España.

[Comercial.Global_movistar]

Hola @coolshield

Vamos a poner esta información en conocimiento de las áreas pertinentes.

Por su parte, si lo desea puede registrar una reclamación a su comercial o a través del 1004. 

Un saludo

Marisa 

[coolshield]

Con todos mis respetos, el 1004 para este tipo de fallos de seguridad no tienen competencia.

Transmitan el mensaje a las áreas que correspondan y no remitan a reclamar a teleoperadores 1004 que practicamente no tiene ni idea de las tarifas...

Como para reclamar un fallo de seguridad, ustedes saben que hay otros cauces para gestionarlo, así que hagan su trabajo, o en todo caso yo haré el mio de denunciarlo en la agencia de protección de datos.

@DPOMOVISTAR

@Comercial.Global_movistar  @usuario_retirado 

[usuario_retirado]

Hola, no sé que le hace pensar a @Comercial.Global_movistar que esto no se ha reclamado ya a través del 1004.

Tengo constancia que se ha reclamado a través del 1004, Comunidad Movistar, 1489 empresas, departamento de seguridad, Movistar en Twitter e incluso a Pallete, vuestro presidente, y ¿sabéis qué ha sucedido? NADA

Me resulta gracioso y a la vez indignante que incluso vuestro presidente que suele usar su cuenta de Twitter a diario para comentar cosas no se digne a contestar a quien le reclama los errores graves, bugs y fallos de seguridad de la compañía la cual es presidente.

@coolshield , que no sea por que no se ha avisado, esta empresa lo que quiere es que a sus oficinas les llegue la multa de la agencia de protección de datos cuanto antes, no tengo ninguna duda.

Me parece vergonzoso que se remita reclamar al 1004 donde sólo atienden latinoamericanos que como bien dice el otro usuario, no saben ni qué tarifas tiene Movistar ni dónde trabajan. El sueldo que cobrarán no les da para más.

Por mi parte doy por notificado el error por todas las vías posibles, si esto no se soluciona en esta próxima semana o al menos se nos notifica de algún modo que estén tratando el tema, se denunciará los hechos y aparte de corregir el error (que lo vais a tener que arreglar sí o sí por narices) se os pondrá una multa y se os hará devolver todo el dinero presuntamente r⁣o⁣bad⁣o a los clientes.

[Comercial.Global_movistar]

Hola @coolshield

En relación a tu caso, si deseas podemos ayudarte con la gestión de la reclamación para que los compañeros de el área encargada estudien tu caso y te puedan dar una respuesta. 

Necesitamos que nos envíes por mensaje privado los datos del titular (dni, nombre y apellidos) junto con el nº de la línea afectada, para trasladarlo. 

Quedamos a la espera de tu respuesta. 

Un saludo

Mónica

[coolshield]

Buenas tardes,

Como se nota que no habéis leído lo que he puesto en el post.

El fallo de seguridad no me afecta a mi línea, afecta a sus 40 millones de usuarios de telefonía móvil Movistar.

No tengo nada que añadir, simplemente ser un poco responsables y antes de responder con una plantilla estándar de respuesta a un cliente, deberíais tomaros unos minutos para leer.
@Comercial.Global_movistar  @usuario_retirado 

[coolshield]

El departamento DPO ya tiene una copia de todo por mail, este hilo ha sido capturado de manera completa para evidenciar la falta de eficacia y agilizad por parte de Movistar, para interponer futura denuncia ante el organismo.

Para la persona que se le queda grande responder este tipo de cuestiones @Comercial.Global_movistar y puedan pasar nota a sus superiores, dado que con todos los antecedentes que tienen la multa va a ser bastante importante,

Fallo de seguridad muy grave, dado que afecta a 40.000.000 de usuarios.!!!

Adjunto un resumen de mis denuncias, y la próxima la haré en menos de 20 días si no esta solucionado este grave fallo de seguridad y hacen público las acciones a tomar por parte del operador.

Atentamente,

15/05/2021

@usuario_retirado 

[usuario_retirado]

@coolshield  de momento he encontrado una opción para saltarme este servicio y si le puede servir a algún otro cliente mejor, así evita que le roben. Al tener Multisim, si suspendo la línea principal (solo la principal) puedo seguir usando la línea secundaria para llamar y recibir llamadas, con la ventaja que al estar la línea suspendida no funciona el servicio frauduIento de “mensajes dictados”. La pega, es que hay que reactivar la línea antes de 3 meses para que no se dé de baja. 

yo también he tomado nota de todo, espero que la falta interés de esta compañía les venga acompañada de una buena multa, es que se lo merecen.

[Comercial.Global_movistar]

Hola de nuevo, 

Como os informamos con anterioridad la información esta puesta en conocimiento del área pertinente.

Si  lo deseáis podemos ayudaros con la gestión de la reclamación para que los compañeros de el área encargada estudien cada caso y os puedan dar una respuesta. 

Disculpad las molestias.

Saludos

Pilar

[usuario_retirado]

Buenos días @Comercial.Global_movistar @coolshield 

A día de hoy el problema persiste, millones de clientes están afectados por un servicio que con conocimientos básicos y Apps de bromas o que cambian el identificador de llamadas, pueden hacer que te cobren en tu factura y te metan en un buen lío, dependiendo de como se utilice.

Todo esto sucede a raíz de hace unos años cuando "alguien inventó" un servicio que cualquier cliente de Movistar debería tener activo por defecto sin posibilidad de poder bloquear (para no dictar) y de ese modo sacar millones de € a costa de los clientes. Ese individuo que inventó eso, debería estar en la cárcel por haber creado semejante servicio fraudulento.

Lo único que quiero es que aviséis mediante este hilo si el departamento encargado está trabajando y buscando la forma de solucionar esta grave brecha de seguridad ya que ahora mismo no hay otra cosa que tenga más ganas de poneros la denuncia y que os pongan la buena multa que os merecéis, que si no calculo mal puede ascender a más de 200.000€ y por supuesto, sin olvidar que esto lo tenéis que solucionar sí o sí por narices. 

Vayan suspendiendo el servicio mientras tanto y no sigáis metiendo más la pata o por lo menos pongan la posibilidad de que los clientes puedan desactivar el no poder dictar mientras arregláis el problema, es lo menos que podéis hacer viendo las denuncias que adjuntó el anterior usuario. El tiempo se acaba...

[Comercial.Global_movistar]

Hola @usuario 293

Como indicamos anteriormente, ya hemos trasladado esta información al área pertinente.

Una vez hecho esto, desde la Comunidad lo que podemos hacer es abrir una reclamación a nivel particular para que sea estudiada. Para ello, es necesario que nos enviéis por mensaje privado los datos del titular y el nº de la línea afectada.

Un saludo

Silvia

[coolshield]

@usuario_retirado 

Buenos días,

¿Tienes alguna novedad?

Saludos.

[usuario_retirado]

Buenos días @coolshield de momento no tengo ninguna novedad. Ayer consulté con la empresa del curro que también está afectada y el comercial sólo sabe decir que lo están tratando pero no dan más información. Realmente dudo que lo estén arreglando ya que de ser así lo mínimo que harían sería suspender el servicio hasta que quede resuelta la brecha de seguridad.

Respecto a las reclamaciones, ya están avisados también distintos departamentos de Telefonica, su presidente, organizaciones de consumo y demás y hasta la fecha sin respuesta. Lo único que queda es que sumes a tus denuncias la nueva denuncia ya que no tiene pinta de que esto lo vayan a resolver a la mayor brevedad. Es indignante lo de esta compañía. ¿Por tu parte tienes alguna novedad? A ver si @Comercial.Global_movistar nos dice que medidas de están adoptando mientras tanto arreglan el problema… pero algo me dice que finamente van a recibir otra multa.

[coolshield]

@Comercial.Global_movistar  @usuario_retirado 

He recibido respuesta a mi información sobre el fallo de facturación que afecta a 40.000.000 de usuarios:

Es decir, son conscientes que plataformas internacionales pueden modificar el remitente del número id del llamante, ustedes cobran por ese servicio, no poniendo las medidas necesarias para asegurarse que realmente se cobra quien hace ella llamada desde su número de teléfono.

Hay medidas más que suficientes para que puedan implantar la tecnología necesaria para cobrar por los servicios realmente utilizados y no por el simple hecho de identificar un número de teléfono como id de llamada, sin contrastar ningún tipo de información adicional, y es que ustedes están facturando a mucha gente que ni siquiera es consciente de este fallo.

¿Piensan pasar notificación a su departamento de ingeniería?

¿Que medidas se van a tomar?

¿Como es posible que este servicio lo tenga activado una tercera persona y se cobre a otra que no tiene contratado ese servicio?

¿No considera Movistar que es un engaño a sus clientes con el fin de abultar la facturación?

Inclusive sabiendo que se puede suplantar y hacer un consumo de mensajes dictados a un tercero, hasta el infinito!! a 0,50€ por cada SMS.

Por favor, @Comercial.Global_movistar  pronunciate y no te limites a tomar los datos de los que estamos denunciado esta situación, exijomos una solución definitiva para todos los clientes.

Es lo que ha respondido el DPO MOVISTAR:

Desde la Oficina Global de Protección de Datos de Telefónica, S.A. (DPO) acusamos recibo de su correo en relación con la modificación del número llamante en el servicio de Mensajes Dictados.

Internamente se ha procedido a estudiar su caso para darle respuesta. En el caso del buzón de DPO al que usted se dirige, procedemos a darle respuesta en el presente correo a las cuestiones que plantea desde el punto de vista de protección de datos. Atendiendo a su correo, nos informa de que desde aplicaciones de terceros, que permiten la modificación del número llamante, se pueden generar llamadas a clientes de Movistar que activan el servicio de Mensajes Dictados. En este sentido, debemos informarle que estas aplicaciones utilizan operadores extranjeros que, mediante tecnología de voz sobre IP, entregan llamadas a la red de Movistar a través de la interconexión de las redes de telecomunicaciones.  La red de Movistar no permite técnicamente la modificación del número llamante, sino que dicha modificación se produciría en su caso desde otros operadores que, directamente o a través de terceros, entregan llamadas a la red de Movistar.

En este orden de cosas, desde un punto de vista de protección de datos, debemos indicarle que la red de Movistar no permite la suplantación de identidad o la modificación del número llamante y bloquearía cualquier llamada de este tipo originada en su red, por lo que, en su ámbito como responsable del tratamiento, no realiza ninguna actividad contraria a la normativa de protección de datos y, en particular, al mantenimiento de la integridad del número llamante. En el caso de que dicha integridad haya podido ser vulnerada, se habría producido previamente, en el ámbito de terceros operadores que entregan llamadas a Telefónica.

Desde un punto de vista de consumo, los canales comerciales de Movistar han procedido a comunicarse con usted para validar la problemática concreta de su caso y proceder al reembolso según corresponda.

Quedamos a su disposición para cualquier cuestión sobre el particular.

Atentamente,

Oficina Global DPO – Telefónica, S.A.

[Comercial.Global_movistar]

Hola @coolshield

Sentimos las molestias ocasionadas y entendemos tu malestar.

Vamos a trasladar nuevamente la información al área responsable.

Un saludo

María

[usuario_retirado]

Buenas noches @Comercial.Global_movistar @coolshield 

Leyendo la respuesta del departamento DPO de Movistar, me he fijado especialmente en lo siguiente:

"debemos indicarle que la red de Movistar no permite la suplantación de identidad o la modificación del número llamante y bloquearía cualquier llamada de este tipo originada en su red, por lo que, en su ámbito como responsable del tratamiento, no realiza ninguna actividad contraria a la normativa de protección de datos y, en particular, al mantenimiento de la integridad del número llamante"

Parece que estas personas que responden a esto lo hacen sin comprobar correctamente el problema. He probado hace unos minutos a llamar desde una línea Movistar (A) a una línea Movistar (B) desde una aplicación que modifica el ID de llamada y es que ni si siquiera ha saltado el aviso de "Servicio de mensajes dictados", deja tu mensaje y lo enviaremos por SMS, sólo pagarás la llamada más 50 céntimos", en su lugar, directamente ha saltado el "Beep" y al colgar, han cargado al número Movistar (A) la cantidad de 0,41€ sin impuestos, que con IVA son 0,50€ céntimos. Si le hago esto a esa persona muchas veces ¿qué sucede?

¿A esto es a lo que ustedes se refieren en cuanto a bloquearía cualquier llamada de este tipo originada en su red? 

Según mi comprobación, Movistar no está bloqueando en su red una llamada originada con un identificador modificado ya que ha cobrado 0,50€ al teléfono en el cual he hecho la prueba nuevamente. En unos días recopilaré todas las pruebas necesarias para poner la denuncia ante la agencia de protección de datos, esto es un fallo que afecta a millones de clientes y la red de Movistar no bloquea ni identifica la llamada falsificada, al contrario, detecta que ambos números (A) Llamante y (B) receptor son líneas activas en Movistar y procede al cobro a la línea a la que (B) recibe la llamada. Además, esto no es un servicio que activan los clientes, cuando te das de alta en Movistar viene activado por defecto para TODOS los clientes y sólo se puede desactivar si ese cliente llama al 22217 lo que evitaría que únicamente no le pudieran dictar mensajes. El servicio para poder dictar mensajes está ACTIVADO para todos los clientes y NO se puede desactivar, cualquier número de Movistar PUEDE DICTAR mensajes, excepto aquellos clientes corporativos y grandes cuentas que sus líneas no permiten dictar mensajes simplemente por que a esos clientes y ese servicio sí que permite restringir los mensajes dictados salientes. Dentro del corporativo, configuración del perfil, permiso de aplicaciones y desactivando el check de mensajes dictados.

Como bien dice @coolshield, el departamento de ingeniería puede solucionar el inconveniente haciendo que la línea receptora (B) detecte que la llamada recibida (A) se esté realizando realmente desde un dispositivo móvil y no desde una red internacional VOZ IP.

Por tanto, ya no tengo más que comentar, si en las próximas semanas no está arreglado, tengo las pruebas necesarias de que tanto ustedes como varios departamentos de Movistar así como el presidente de la compañía están avisados del problema y no se ha hecho NADA para solucionarlo, por lo que espero que el organismo os sancione con una buena multa. A ver si así tomáis conciencia de que lo que hacéis es R0⁣BAR a los clientes y ESTA⁣FARLOS.

[Comercial.Global_movistar]

Hola @usuario_retirado

Vamos a realizar una consulta y volvemos a contactar contigo lo antes posible. 

Saludos

Margarita

[coolshield]

@Comercial.Global_movistar  @usuario_retirado 

Como el fallo afecta a Vodafone con quien tienen acuerdo para ofrecer exactamente el mismo servicio y presenta el mismo fallo, lo he comunicado a Vodafone España a través del departamento indicado para ello y me han facilitado esta información:

Estimado xxxx xxxxxxxxx,

Muchas gracias por su correo electrónico y la información que nos proporciona en el mismo.

Le informamos que estamos revisando internamente todos los aspectos resaltados en su correo electrónico y que tomaremos las medidas oportunas.

Aprovechamos la ocasión para enviarle un cordial saludo.

Atentamente,

Data Protection Officer
Grupo Vodafone España
Avenida de América, 115.

28042 Madrid. España

----------------

@Comercial.Global_movistar 

¿Movistar tiene algo que decir?

¿Como va la investigación?

25/05/2021

[usuario_retirado]

Hola @Comercial.Global_movistar han pasado 10 días desde que me indicaron que lo revisarían y se pondrían nuevamente en contacto conmigo. ¿Nos podéis decir por favor si tienen alguna novedad al respecto o si están tratando el tema para solucionarlo? Agradezcan nuestra paciencia con este tema y tómenlo como una advertencia ya que una vez presentada las denuncias correspondientes no habrá marcha atrás y estoy totalmente convencido que a los organismos le interesa este tema para que seáis sancionados. Cualquier responsabilidad recaerá sobre las personas que trabajan en la compañía y que no han puesto remedio para solucionar este problema. Seguimos a la espera tanto yo como @coolshield que os envió un mensaje hace unos días y tampoco le habéis contestado. ¿no han sido suficientes las multas graves que os han puesto por meter las zarpas en líneas ajenas que están protegidas? Pues bien, esto es algo mucho peor, millones de clientes están desprotegidos ante un fallo MUY GRAVE por lo que no podéis tomároslo con tanta calma como nos hacéis mostrar.

[coolshield]

Buenos días.

Seguimos sin respuesta.

[ChicheFlow]

.

[coolshield]

@Comercial.Global_movistar 

¿Con esta diligencia se toman los fallos de seguridad en Movistar?

¿O es que al ser un fallo con el que os ganais bastantes millones de €, robando a vuestros clientes haceis la vista gorda?

Desde el día 21 de mayo, no hay una respuesta por vuestra parte.