GOBIERNO DE PUERTO RICO
20ma. Asamblea 1ra. Sesión
Legislativa Ordinaria
CÁMARA DE REPRESENTANTES
P. de la C. 632
12 DE MAYO DE 2025
Presentado por el representante Robles Rivera
Referido a la Comisión de Asuntos del Consumidor
LEY
Para prohibir que toda empresa o comercio que no esté autenticado envíe mensajes SMS a sus clientes conteniendo enlaces o “links” para redirigir a páginas de internet; requerir autenticación mutifactor obligatoria en servicios críticos; establecer las obligaciones de los operadores de servicio móvil; crear un registro de remitentes de SMS autenticados; establecer multas por incumplimiento; y para otros fines relacionados.
EXPOSICIÓN DE MOTIVOS
En Puerto Rico ha tomado auge la modalidad de fraude cibernético valiéndose del llamado “shiming”, el cual consiste en una palabra compuesta por “SMS” (mensajes de texto) y “pshishing” (estafa que consiste en simular una página web oficial o un remitente de correo electrónico auténtico para que la víctima se confíe y comparta datos o haga clic en un enlace o archivo malicioso. Principalmente, los textos fraudulentos están relacionados a alegados problemas de seguridad con las cuentas bancarias, problemas con el sistema de ATH Móvil; entre otros.
La estafa, que consiste en el envío de mensajes SMS al móvil con la finalidad de convencer a los ciudadanos para que introduzcan su información personal. En particular, los cibercriminales o “hackers” intentan conseguir que el usuario normalmente revele información bancaria o datos personales; ya sea un nombre de inicio de sesión, contraseña o información de sus tarjetas de crédito, con el propósito de suplantar su identidad y acceder a su dinero. Asimismo, la fraudulenta práctica suele llevar a las víctimas a responder preguntas por mensajes SMS o pedirle que llame a un determinado número para que se impongan cargos. En resumen, el objetivo del “shiming” es obtener las claves de usuario o información personal, robar su dinero y hasta infectar los dispositivos móviles de las víctimas.
Existen dos métodos diferentes para obtener la información confidencial de las víctimas a través del “shiming”. La primera de ellas, lo es la descarga del “malware”, mediante el envío de un mensaje de texto SMS para que se descargue e instale automáticamente en el dispositivo móvil. Dicho “malware” suele tener una apariencia de una aplicación legítima, engañando a las victimas para que introduzcan información confidencial y enviar la data a los cibercriminales. La segunda modalidad es la “web” fraudulenta. En esta modalidad, se recibe un enlace por mensaje SMS para redirigir a una dirección de una página de internet fraudulenta, pero de una apariencia legítima. Una vez allí, los “hackers” obtienen la información de usuarios y otros datos que ingresa la víctima.
Cabe destacar que el uso de dispositivos móviles ha ido en incremento con el paso de los años. Hoy en día, muchos de los teléfonos inteligentes han reemplazado nuestras agencias y hasta nuestras computadoras. La rápida transformación tecnológica ha traído consigo un reto para los ciudadanos; principalmente para las personas de edad avanzada. Si bien es cierto la mayoría de nuestros jóvenes hacen uso de dispositivos móviles, su exposición a la información que circula en la Internet los alerta sobre modalidades de fraude y son precavidos a la hora de confiar en el recibo de mensajes no solicitados o de remitentes desconocidos. En cambio, es común ver cómo diariamente muchas personas de edad avanzada resultan víctima del llamado “shiming” o estafa cibernética.
Según la Comisión Federal de Comunicaciones (FCC, por sus siglas en inglés), las estadísticas subrayan la gravedad del problema, habiéndose reportado un aumento de más de 500% en quejas por mensajes SMS fraudulentos en los Estados Unidos en los últimos años. Tan solo de 2015 a 2022, las quejas de los consumidores por ¨robotexts¨ (mensajes automáticos no deseados) crecieron de 3,300 a 18,900 al año. Dichos mensajes a menudo contienen enlaces de ¨phishing¨ o ¨malware¨, por lo que representan un serio riesgo para los usuarios. Tan solo para el 2020, se estimó que los estafadores robaron más de $86 millones de dólares a través de fraude vía SMS en los Estados Unidos.
A nivel internacional, los esquemas de ¨phishing¨ han sido notables. Por mencionar un ejemplo, en Singapur un solo esquema contra clientes de un banco local afectó a 469 personas y conllevó pérdidas superiores a los $6.3 millones de dólares. Asimismo, redes de ¨malware¨ móvil como FluBot infectaron a miles de teléfonos Android en Europa mediante mensajes SMS de suplantación, robando contraseñas e información bancaria.
En Puerto Rico, las autoridades locales reconocen la creciente amenaza. El Negociado de la Policía de Puerto Rico (NPPR), cuenta con una División de Crímenes Cibernéticos, la cual les brinda servicio a las trece (13) Áreas Policiacas y busca erradicar los delitos cometidos utilizando un medio electrónico, computadora, dispositivo móvil, red o internet. Los agentes del orden público se mantienen ocupados atendiendo la proliferación de casos de fraudes cibernéticos. Dicha División ha exhortado al público a tomar precauciones, como por ejemplo el portal gubernamental ¨Protege tus Datos¨, mediante el cual se instruye a los usuarios a reenviar mensajes sospechosos al 7726 (SPAM) para que los proveedores de celulares puedan bloquear a los remitentes maliciosos.
Por otro lado, mientras todo eso sucede, las empresas no descansan en fortalecer las medidas de ciberseguridad, los bancos locales han lanzado campañas informativas e implementado controles múltiples, como por ejemplo la doble autenticación, para garantizar los datos confidenciales de las personas. Estas iniciativas de concienciación pública son un pilar importante para mitigar el fraude. No obstante, se pueden complementar con medidas regulatorias y tecnológicas más robustas.
Esta Asamblea Legislativa tiene un firme compromiso con establecer política pública en protección de los ciudadanos, promoviendo su calidad de vida y hasta protegiendo vida y propiedad. Por ello, no podemos quedar silentes ante la vulnerabilidad de los ciudadanos que a diario son víctimas de fraude cibernético.
Mediante esta Ley, establecemos un marco equilibrado que combina la autenticación, verificación de remitentes, filtrado proactivo y educación ciudadana; lo que puede reducir drásticamente el ¨shiming¨, sin coartar el crecimiento del comercio digital. A su vez, coloca a Puerto Rico en sintonía con las mejores prácticas federales e internacionales, al tiempo que refuerza la confianza de los consumidores en los canales electrónicos.
Por las razones antes expuestas, resulta conveniente y necesario prohibir que toda empresa o comercio no autenticado envíe mensajes SMS a sus clientes conteniendo enlaces o “links” para redirigir a páginas de internet. En cambio, las comunicaciones deben limitarse a solicitar que sus clientes ingresen a las páginas de internet legítimas para realizar cualquier trámite, protegiendo así la información personal de los ciudadanos y evitando que éstos puedan ser víctimas del “shiming”.
DECRÉTASE POR LA ASAMBLEA LEGISLATIVA DE PUERTO RICO:
Artículo 1.-Prohibición de envío de mensajes SMS a dispositivos móviles celulares conteniendo enlaces o “links”
Se prohíbe a toda empresa o comercio que no esté autenticado envíe mensajes SMS a los dispositivos electrónicos móviles de sus clientes conteniendo enlaces o “links” para redirigir a páginas de internet o aplicaciones.
Toda comunicación requiriendo a los clientes algún contacto o información particular, deberá ser remitida solicitando que éstos se comuniquen con la empresa a través de las páginas de internet o números telefónicos legítimos. Para ello, no se podrán utilizar enlaces directos que redirija a los clientes a determinada dirección electrónica o aplicación móvil.
Artículo 2.-Excepciones
La prohibición establecida en el Artículo 1, no aplica en las siguientes circunstancias:
Aquellas entidades excluidas de las disposiciones de esta Ley y que hagan uso de mensajes SMS conteniendo enlaces o ¨links¨, deberán asegurar que sus mensajes provengan de números verificados y que existen los controles adecuados para garantizar la seguridad de los datos compartidos por los clientes.
Artículo 3.-Campaña educativa
El Departamento de Asuntos del Consumidor y el Puerto Rico Innovation and Technology Service (PRITS) deberán llevar a cabo una campaña de educación y concienciación para que los consumidores puedan contar con herramientas para identificar mensajes fraudulentos. Asimismo, toda institución bancaria autorizada a realizar negocios en Puerto Rico, deberá realizar campañas educativas anualmente para que sus clientes estén prevenidos sobre el llamado ¨phishing¨, sobre los ¨malware¨ y cualquier otra modalidad de fraude que comprometa su información confidencial.
Como parte de la campaña educativa requerida por esta Ley, se deberán utilizar materiales multi-media fáciles de entender, segmentados por edad y nivel de alfabetización digital.
Artículo 4.-Autenticación multifactor obligatoria en servicios críticos
Para reducir el impacto del robo de credenciales, será obligatorio que se implemente un segundo factor (código, ¨push¨ o llave física) que sea resistente al ¨phishing¨.
Artículo 5.-Obligaciones de los ¨carriers¨ o compañías de teléfonos móviles
Los ¨carriers¨ o compañías de teléfonos móviles deberán establecer controles para el filtrado inteligente y bloqueo automático de mensajes maliciosos antes de que lleguen a los usuarios.
Artículo 6.-Registro de Remitentes de SMS Autenticados de Puerto Rico
Se crea el Registro de Remitentes de SMS Autenticados de Puerto Rico, el cual estará adscrito al Puerto Rico Innovation and Technology Service of Puerto Rico (PRITS). Todas las empresas o comercios interesados en enviar mensajes SMS a sus clientes conteniendo enlaces o ¨links¨ para redirigir a páginas de internet, plataformas o aplicaciones digitales, deberán registrarse en el registro creado en virtud de esta Ley. Dicho registro, tiene la finalidad de impedir la suplantación de marcas confiables.
Para mantener este Registro, PRITS podrá establecer los acuerdos colaborativos que estime convenientes con las compañías de teléfonos móvil que operan en Puerto Rico.
Artículo 7.-Multas por incumplimiento
Se dispone que aquellas empresas o comercios que incumplan con las disposiciones de esta Ley y envíen mensajes SMS a sus clientes conteniendo enlaces o ¨links¨ para redirigirlos a páginas de internet, plataformas o aplicaciones digitales, vendrán obligados a satisfacer una multa de hasta cinco mil ($5,000.00) dólares por infracción. Dichos fondos ingresarán a una cuenta especial en el Departamento de Hacienda y serán utilizados exclusivamente para los fines establecidos en esta Ley.
El dinero ingresado por concepto de las multas impuestas por violaciones a las disposiciones de esta Ley será utilizado por DACO y por PRITS para llevar a cabo las campañas de educación y concienciación que exige esta Ley. Asimismo, PRITS podrá utilizar dichos recaudos para la reinversión en ciberseguridad.
Artículo 8.-Reglamentación
La Oficina del Comisionado de Instituciones Financieras (OCIF) y el Puerto Rico Innovation and Technology Service (PRITS) establecerán mediante reglamento el procedimiento a seguir para establecer autenticación multifactor e identificarán cuáles serán considerados servicios críticos. La reglamentación deberá establecer que toda transacción sensitiva incluya una autenticación multifactor (MFA, por sus siglas en inglés).
Asimismo, PRITS adoptará aquella reglamentación que estime necesaria para cumplir con lo dispuesto en los Artículos 6 y 7 que anteceden, en lo que concierne al Registro de Remitentes de SMS Autenticados de Puerto Rico y los procesos para la imposición de multas.
Artículo 9.-Esta Ley comenzará a regir inmediatamente después de su aprobación.
Documento oficial de SUTRA convertido a texto para facilitar la lectura. El formato puede variar respecto al original; para la versión exacta usa “Descargar original”.