Attacchi SIM swap: come i ladri rubano il tuo numero e come fermarli

Che cos'è un attacco di SIM swap?

Il tuo numero di telefono sembra qualcosa che controlli solo tu. Un attacco di SIM swap infrange questa convinzione.

In un SIM swap, un truffatore contatta il tuo operatore mobile fingendosi te—dichiarando uno smartphone smarrito o una SIM danneggiata—e convince l'operatore a trasferire il tuo numero su una SIM card nelle sue mani. Da quel momento, chiamate e messaggi destinati a te finiscono a lui. Il tuo telefono, intanto, perde il segnale senza motivo apparente: è spesso il primo indizio.

Gli attaccanti di solito riescono nell'impresa tramite social engineering: ricomponendo i tuoi dati personali da violazioni di dati e social media per superare i controlli di identità dell'operatore. Data di nascita, indirizzo, ultime quattro cifre di un documento: bastano dettagli che sembrano innocui ma che l'operatore accetta come prova d'identità. In alcuni casi, ricevono l'aiuto di un dipendente corrotto all'interno dell'operatore.

Il premio è il tuo numero come chiave principale. Con esso, gli attaccanti possono intercettare i codici 2FA basati su SMS, richiedere reimpostazioni di password che arrivano via SMS e leggere gli avvisi bancari—sbloccando account che la tua password da sola avrebbe dovuto proteggere. Email, social network e portafogli di criptovalute sono bersagli frequenti.

Perché gli aggressori vogliono il tuo numero di telefono

Il tuo numero di telefono è più di un modo per chiamare gli amici. Molti servizi lo usano ancora come strumento di sicurezza: banche, provider di email, social network e exchange di criptovalute inviano codici SMS come secondo fattore o usano il tuo numero per verificare le richieste di recupero dell'account.

Questo rende il tuo numero una chiave universale. Se un aggressore lo controlla, può intercettare quei codici ed effettuare l'accesso come te. Un numero dirottato è stato usato per violare caselle email, svuotare account su exchange di criptovalute e prendere il controllo di profili social — spesso in una sola serata.

Il pericolo si aggrava perché la tua email è la via di recupero per quasi tutto il resto. Perdi la casella, e seguono i reset delle password per decine di altri account. Chi ha il tuo numero può anche chiedere una SIM duplicata al tuo operatore fingendosi te al telefono: basta conoscere nome, data di nascita e ultime quattro cifre di un documento, dati spesso ricostruibili dai social.

Un errore comune è pensare di non essere un bersaglio perché non si possiedono criptovalute. I ladri scelgono vittime qualsiasi: un account di posta con anni di ricevute bancarie vale già abbastanza.

In breve: il tuo numero funziona da chiave di recupero per l'intera tua vita digitale, ed è esattamente per questo che i ladri lo prendono di mira.

Come si svolge tipicamente un SIM swap

Un SIM swap inizia molto prima che il ladro contatti il tuo operatore. Gli aggressori raccolgono prima i tuoi dati personali da violazioni di dati, messaggi di phishing o informazioni che condividi pubblicamente sui social media — la tua data di nascita, indirizzo e le ultime cifre dei conti che usi. Un errore comune è pubblicare il proprio numero di telefono o rispondere a quiz online ("qual è il nome del tuo primo animale?") che rivelano le stesse risposte usate dalle domande di sicurezza.

Muniti di questi dettagli, contattano il tuo operatore mobile, spesso per telefono o in negozio, e fingono di essere te. Una scusa comune è un telefono perso, rubato o rotto che richiede una nuova SIM card immediatamente. Alcuni arrivano persino a corrompere dipendenti interni per saltare i controlli d'identità.

Se i controlli dell'operatore sono deboli, il personale attiva una nuova SIM sul dispositivo dell'aggressore e vi trasferisce il tuo numero. Il tuo telefono perde improvvisamente segnale — niente chiamate, niente SMS. Poiché il tuo numero ora risponde sulla loro SIM, ogni codice via SMS destinato a te arriva sul loro telefono. Il tutto può avvenire in meno di un'ora, spesso mentre dormi.

Segnali d'allarme che il tuo numero è stato trasferito

Un SIM swap di solito si annuncia con il telefono che si comporta in modo strano.

• Perdita improvvisa di segnale con tutte le tacche altrove. Il telefono mostra "Nessun servizio" mentre le persone intorno a te sullo stesso operatore hanno copertura, e l'operatore conferma che non ci sono interruzioni nella tua zona. Prova la SIM in un secondo telefono: se non funziona nemmeno lì, il problema non è il tuo dispositivo.
• Chiamate e SMS non funzionano. Le chiamate in uscita si interrompono subito, gli SMS non si inviano, e un riavvio produce errori come "Nessuna SIM" o "SIM non provisionata". Attenzione all'errore comune: molti attribuiscono tutto a un guasto della SIM e ordinano una sostituzione dall'operatore, senza rendersi conto che il numero è già attivo su un'altra scheda.
• Avvisi di account inattesi. Email di reimpostazione della password o notifiche di "nuovo accesso" arrivano per account che non hai toccato — qualcuno potrebbe già usare il tuo numero per ricevere codici di verifica. Controlla anche se le tue chiamate in entrata vanno direttamente a segreteria: è un segno che la SIM originale non è più registrata sulla rete.

Anche uno solo di questi merita attenzione. Perdita di segnale combinata con avvisi di account significa agire immediatamente: il tuo numero potrebbe essere stato spostato su una SIM di un ladro, e ogni codice basato su SMS sta ora finendo nelle sue mani.

Imposta un PIN dell'operatore e la protezione dal port-out

Il tuo account mobile è la porta d'ingresso al tuo numero di telefono, quindi chiudila a chiave.

• Aggiungi un PIN o una parola d'ordine dell'operatore. La maggior parte degli operatori ti consente di impostare un PIN numerico o una parola d'ordine verbale richiesti prima che chiunque possa apportare modifiche all'account, ordinare una nuova SIM o contattare l'assistenza. Senza, un ladro ha bisogno solo dei tuoi dati pubblicamente noti—nome, indirizzo, compleanno—per impersonarti. Scegli un PIN diverso da quelli che usi altrove e mai composto da date di nascita o numeri presenti nei tuoi profili social: un aggressore li prova per primo. Evita anche sequenze ovvie come 1234 o l'anno di nascita.
• Attiva la protezione dal port-out. Questa impedisce il trasferimento del tuo numero a un altro operatore senza la tua approvazione, in genere di persona con un documento d'identità con foto o tramite una richiesta verificata. Neutralizza direttamente la fase di trasferimento di un SIM swap.
• Trova le impostazioni da solo. I nomi variano a seconda del provider: cerca "PIN dell'account", "blocco port-out" o "blocco numero" nella sezione sicurezza dell'app o del sito del tuo operatore. Se non le trovi, chiama l'assistenza e richiedi entrambe le funzionalità. Se l'operatore sostiene che non esistono, chiedi di parlare con un supervisore o valuta un passaggio a un provider che le offra.
• Verifica che il PIN funzioni davvero. Dopo averlo impostato, chiama l'assistenza da un altro numero e chiedi una modifica all'account: se ti lasciano procedere senza PIN, il blocco non è attivo e devi segnalarlo subito.
• Aggiorna il PIN se i dati dell'account trapelano. Se ricevi un avviso di violazione che coinvolge il tuo operatore, cambia il PIN immediatamente: i dati trapelati spesso includono informazioni usate per superare le verifiche verbali.

Se usi codici SMS per la banca, valuta una seconda linea economica usata solo per il 2FA della banca. Mantiene l'esposizione del tuo numero principale lontana dai tuoi account più preziosi.

Riduci la dipendenza dai codici SMS

Gli SMS sono la forma più debole di 2FA comune, perché il codice viaggia attraverso il tuo operatore—proprio il canale compromesso da un attacco di SIM swap. Le opzioni più sicure mantengono il codice sul tuo dispositivo o eliminano del tutto i codici.

App di autenticazione

App come Google Authenticator, Microsoft Authenticator o Authy generano i codici localmente sul telefono. Nulla viaggia sulla rete, quindi una SIM sostituita non rivela nulla. Attivale nelle impostazioni di sicurezza di ogni account e conserva i codici di backup offline. Errore comune: attivare l'app ma non salvare i codici di backup. Se perdi o cambi telefono senza di essi, rischi di restare escluso. Stampa i codici o salvali in un gestore di password, non come screenshot nella galleria del telefono.

Chiavi di sicurezza hardware

Per email, home banking e altri account critici, una chiave di sicurezza fisica (ad esempio una che supporta FIDO2) è l'opzione più solida. La chiave verifica direttamente il sito legittimo, quindi i siti di phishing falliscono automaticamente. Comprane due: una per l'uso quotidiano, una di backup conservata in un luogo sicuro. Verifica che il browser e il dispositivo le supportino prima di abbandonare il metodo precedente; su computer senza porta USB/NFC serve un adattatore.

Passkey e approvazioni dall'app

Quando un servizio offre passkey o approvazione dell'accesso dall'app, sceglili invece degli SMS. Le passkey sono legate al tuo dispositivo e non possono essere intercettate attraverso il tuo operatore. Nel passaggio, mantieni un secondo metodo attivo finché le passkey non funzionano su tutti i tuoi dispositivi.

Abitudini generali che riducono la tua superficie di attacco

Un SIM swap di solito inizia con le informazioni, non con la tecnologia. Gli aggressori mettono insieme dettagli dai social media, dalle violazioni di dati e dai registri pubblici, poi li usano per convincere il tuo operatore di essere te.

• Condividi meno online. Evita di pubblicare il tuo compleanno, i nomi degli animali domestici, la prima scuola o la città natale. Sono risposte comuni alle domande di sicurezza. I vecchi post possono rivelare quanto quelli nuovi: ogni tanto rivedi il tuo profilo e cancella o nasconde ciò che non aggiunge valore.
• Usa password lunghe e univoche. Un gestore di password le genera e le ricorda per te, così una password compromessa non apre mai più account. Se un servizio subisce una violazione, cambia subito quella password e ovunque tu l'abbia riutilizzata.
• Verifica le tue opzioni di recupero. Controlla le impostazioni di sicurezza dei tuoi account importanti. Rimuovi il numero di telefono dove non è richiesto, e preferisci un'app di autenticazione o una passkey come secondo fattore. Meno posti che possono reimpostare un accesso via SMS significano meno porte che una SIM trasferita può aprire.
• Diffida delle richieste insistenti. Chiamate o messaggi che chiedono codici, numeri di SIM o dati dell'operatore sono quasi sempre tentativi di ingegneria sociale. Riattacca e contatta tu l'operatore con un numero ufficiale.

Errore frequente: attivare la protezione solo sull'account di posta, lasciando gli account bancari collegati a quel recupero via SMS.

Cosa Fare Se Sei Stato Colpito

Agisci in fretta — ogni ora conta.

1. Chiama subito il tuo operatore. Usa un altro telefono o recati di persona in un negozio con un documento d'identità. Chiedi di disattivare la SIM fraudolenta, ripristinare il tuo numero sul tuo dispositivo e aggiungere o rafforzare subito un PIN presso l'operatore e la protezione contro il port-out. Se l'operatore chiede dettagli che non ricordi, come la data dell'ultima ricarica, non arrenderti: insisti per la procedura di frode, che ha priorità rispetto al normale supporto clienti. Chiedi anche un numero di pratica da citare nelle comunicazioni successive.

2. Metti in sicurezza i tuoi account, iniziando dall'email. La tua casella di posta è la chiave principale di tutto il resto. Cambia prima quella password, poi quelle di home banking, social media e di qualsiasi account collegato al numero. Ove possibile, revoca le sessioni attive, disconnetti tutti i dispositivi e aggiorna i numeri di telefono di recupero che un attaccante potrebbe aver aggiunto. Controlla le regole di inoltro automatico della posta: alcuni attaccanti ne creano una per ricevere copia dei messaggi di reset anche dopo che hai cambiato la password. Se non riesci ad accedere a un account, usa subito la procedura di recupero prima che l'attaccante lo blocchi a sua volta cambiando le credenziali.

3. Denuncialo. Presenta un reclamo per frode al tuo operatore, poi all'autorità nazionale per la tutela dei consumatori o per i crimini informatici. Questo crea una traccia documentale nel caso gli attaccanti abbiano aperto account a tuo nome o abbiano effettuato addebiti non autorizzati. Conserva screenshot, orari e riferimenti delle chiamate: servono come prova.

Un SIM swap è un disagio ma è superabile. I blocchi dell'operatore più le app di autenticazione invece degli SMS ti rendono un bersaglio molto più difficile la prossima volta.