SIM-swap fraude: AT&T opnieuw aangeklaagd voor $24 miljoen cryptodiefstal
Een Amerikaanse rechter heeft een eerdere rechtszaak uit 2020 tegen AT&T heropend. Het draait om de diefstal van $24 miljoen aan cryptocurrency via een “SIM-swapping” bij AT&T-klant Michael Terpin. Dit kan een belangrijke juridische precedent worden voor de mate van verantwoordelijkheid die telecombedrijven dragen bij dergelijke fraude.
Op 30 september 2024 oordeelde het Amerikaanse Hof van Beroep voor het Negende Circuit deels in het voordeel van Terpin. Het gerechtshof ging in beroep tegen een eerdere uitspraak van de districtsrechtbank van Californië, die Terpin’s zaak grotendeels had verworpen. Terpin beschuldigt AT&T van nalatigheid bij het beveiligen van zijn account en schending van de federale communicatiewet en Californische staatswetten.
De zaak
Michael Terpin, een bekende cryptocurrency-investeerder, verloor in 2018 ongeveer $24 miljoen aan crypto-activa door een SIM-swap. Dit gebeurde nadat hackers met behulp van een AT&T-medewerker toegang kregen tot zijn telefoonnummer en vervolgens zijn online accounts, waaronder een Microsoft OneDrive-account, konden overnemen. Daar vonden ze de toegangsinformatie tot Terpin’s cryptowallet.
Terpin klaagde AT&T aan wegens fraude, nalatigheid en contractbreuk. Volgens hem had AT&T beloofd extra beveiliging te bieden na een eerdere SIM-swap in 2017. De rechtbank van Californië had echter de meeste van zijn aanklachten afgewezen, waaronder zijn claims voor fraude en contractbreuk. Terpin besloot in hoger beroep te gaan.
Beslissing
Het hof verwierp een aantal van Terpin’s claims, waaronder fraude en contractbreuk, maar liet één belangrijke claim in leven: de schending van Sectie 222 van de Federale Communicatiewet (FCA). Deze wet verplicht telecombedrijven om vertrouwelijke netwerkgegevens van klanten te beschermen. Het hof oordeelde dat Terpin voldoende bewijs had geleverd dat AT&T door de frauduleuze SIM-swap hackers toegang had gegeven tot beschermde informatie.
Deze uitspraak kan grote gevolgen hebben voor de telecommunicatie-industrie en de mate van verantwoordelijkheid die bedrijven dragen bij het beveiligen van klantgegevens. De zaak zal nu worden terugverwezen naar de lagere rechtbank voor verdere behandeling, waarbij Sectie 222 van de FCA centraal staat. Als Terpin deze zaak wint, kan dit betekenen dat telecombedrijven in de toekomst strengere beveiligingsmaatregelen moeten nemen om te voldoen aan federale privacywetten.
AT&T heeft tot nu toe nog geen openbare verklaring gegeven over deze laatste ontwikkeling. De zaak zal de komende maanden waarschijnlijk verder worden behandeld in de rechtbank, waarbij de focus ligt op de vraag of AT&T zijn wettelijke plicht om klantinformatie te beschermen heeft geschonden.
