Europol ha anunciado -a través de un comunicado- la detención de cinco delincuentes de nacionalidad letona y la incautación de la infraestructura usada para cometer delitos contra miles de víctimas en toda Europa.  Esta operación, nombrada como 'SIMCARTEL', también ha supuesto el arresto de otros dos sospechosos, la incautación de 1.200 dispositivos SIM BOX y 40.000 tarjetas SIM activas. 

•  Europol desmantela banda traficaba con tarjetas SIM en la operación SIMCARTEL
•  El grupo utilizó dos sitios web públicos (gogetsms[.]com y apisim[.]com) para alquilar el acceso a números de teléfono de 80 países. 

Operación SIMCARTEL de Europol: detienen a una banda que alquilaba miles de tarjetas SIM para todo tipo de estafas y crímenes

Se calcula que la red criminal habría cometido ciberfraude, dejando más de 1.700 víctimas individuales en Austria y 1.500 en Letonia, con unas pérdidas económicas que alcanzarían varios millones de euros. Solo en Austria estas llegarían a los 4,5 millones de euros y a 420.000 euros en el país báltico. 

Según han destacado las autoridades, la red criminal y su infraestructura eran técnicamente muy sofisticadas y permitían a delincuentes de todo el mundo usar dicho servicio de SIM-box para llevar a cabo una amplia gama de ciberdelitos vinculados a las telecomunicaciones, así como otras tropelías.

La red criminal había creado un servicio online para ofrecer números de teléfono registrados a personas de más de 80 países para su uso en actividades delictivas. Gracias a él los actores de amenazas podían crear cuentas falsas en redes sociales y plataformas de comunicación que, a posteriori, usaban para cometer ciberdelitos, ocultando su verdadera identidad y ubicación.

"Para preparar la jornada de acción en Letonia, Eurojust y Europol aprovecharon sus fortalezas para aunar la labor policial internacional. Colaboraron en la planificación y administración de la operación, con el apoyo de Austria, Estonia y Letonia, socios del Equipo Conjunto de Investigación, así como de Finlandia. Europol envió especialistas a Riga para ayudar a las autoridades letonas, y ambas agencias proporcionaron apoyo financiero para equipo técnico, viajes y gastos de traducción", ha señalado la policía Europa. 

Los números de la operación

Los que contrataban los servicios de estos ciberdelincuentes podían llevar a cabo phising y smishing apoyándose en las cuentas falsas. Entre ellas, está la clásica estafa del hijo que dice que ha cambiado de número y pide dinero a su madre, el fraude de inversión, las tiendas y páginas web bancarias falsas o el hacerse pasar por la policía. 

Sin embargo, la red también estuvo vinculada con otros delitos como el fraude, la extorsión, el tráfico de migrantes y la distribución de material sexual infantil. 

Las cifras que deja la jornada ascienden a 5 personas detenidas, 26 registros realizados, 1.200 dispositivos SIM-box incautados que operaban con 40.000 tarjetas SIM y cientos de miles de tarjetas SIM adicionales, 5 servidores incautados que daban soporte a la infraestructura del servicio ilegal, 2 sitios web intervenidas y 431.000 euros congelados en cuentas bancarias de los sospechosos. 

También se congelaron 330.000 dólares en cuentas de criptomonedas y se incautaron 4 vehículos de lujo. No obstante, la magnitud completa de la red aún tardará un tiempo hasta poder dimensionarse, aunque sí se sabe que se llegaron a crear más de 49 millones de cuentas online mediante el servicio ilegal prestado por los sospechosos. 

Estas cuentas se utilizaban posteriormente para realizar ataques de phishing y SMiShing, así como para cometer fraudes financieros, engañando a las víctimas para que invirtieran sus fondos en esquemas comerciales falsos. Otro método consistía en contactarlas por WhatsApp haciéndose pasar por su hijo o hija, alegando que ya tenían un número nuevo y pidiéndoles que transfirieran dinero de cuatro cifras para una emergencia.

Otros delitos que se posibilitaron a través de la plataforma incluían extorsión, tráfico de migrantes y distribución de Material de Abuso Sexual Infantil (MASI).

Según imágenes capturadas en Internet Archive, GoGetSMS se promocionaba como una forma de obtener "números de teléfono temporales rápidos y seguros", con más de 10 millones de números disponibles, y recibir códigos de verificación de más de 160 servicios en línea.

En su sitio web, GoGetSMS también ofrecía la posibilidad de monetizar tarjetas SIM existentes, convirtiéndolas en "poderosos activos para generar ingresos pasivos mediante su software especializado", lo que permitía a los titulares de tarjetas obtener ingresos por cada mensaje SMS que se les enviara. 

En el sitio web de reseñas Trustpilot, usuarios de pago se quejaron de problemas para obtener un número temporal a través de GoGetSMS. Un usuario afirmó haber pagado por un número estadounidense en la plataforma y no haber recibido un número operativo a cambio. "Lo intenté varias veces, perdí tiempo y dinero. El servicio de atención al cliente es completamente inoperante: no hay ayuda, no hay reembolso, nada", añadió el usuario. 

La Policía Estatal de Letonia, en un comunicado coordinado, declaró que la plataforma fue diseñada para comunicaciones y pagos anónimos, afectando a 3.200 personas en varios países. 

El crimen como servicio llega a las tarjetas SIM

Lo que hacía esta banda era ofrecer en alquiler tarjetas SIM falsas, a través de dos páginas web (gogetsms.com y apisim.com) que operaban utilizando 1.200 SIM Box y cinco servidores, para mantenerlas activas por su cuenta. En el momento de la detención, más de 44.000 estaban en funcionamiento, pero tenían cientos de miles a la espera.

Los clientes, de más de 80 países, alquilaban por horas o días uno o varios números de teléfono, para llevar a cabo todo tipo de crímenes en donde se requiere un móvil para estafas de phishing o voz. También para registrarse con datos falsos en servicios que exigen la verificación mediante un código enviado al móvil.

Fuentes:

https://www.europol.europa.eu/media-press/newsroom/news/cybercrime-service-takedown-7-arrested