Il numero di telefono è la chiave d’accesso a quasi tutti i tuoi account, perché reset delle password e codici di verifica arrivano proprio lì — eppure secondo Pew Research Center, l’81% degli americani ritiene che i rischi della raccolta dati da parte delle aziende superino i benefici. Questa sfiducia è motivata: lo stesso studio di Pew Research Center rileva che il 67% degli americani capisce poco o nulla di ciò che le aziende fanno realmente con dati come il numero di telefono una volta raccolti. Gli operatori telefonici possiedono dati sufficienti per trasferire il tuo numero su una nuova SIM in pochi minuti — a volte bastano solo nome e data di nascita.
Come un numero viene sottratto senza che tu te ne accorga
Portare via un numero non richiede il possesso fisico del telefono. Un truffatore che ha raccolto qualche dato identificativo — spesso da una violazione di dati, un foglio elettronico trapelato o un SMS di phishing — chiama il tuo operatore o un operatore concorrente fingendosi te, chiedendo di attivare il numero su una nuova SIM. Se la verifica dell’identità è debole, un nome, un codice postale di fatturazione e una storia plausibile possono bastare. Una volta completata la portabilità, il tuo telefono perde subito la copertura e ogni codice di verifica via SMS finisce nelle mani del truffatore. Da lì, resetta la password dell’email, poi quella della banca, poi tutto ciò che è protetto da un codice SMS. La finestra tra la portabilità e il momento in cui te ne accorgi è spesso l’unica occasione per agire, e può chiudersi in meno di un’ora se l’attaccante è veloce. Questo è proprio il motivo per cui il fatto che il 67% degli americani non capisca cosa succede ai propri dati, come documentato da Pew Research Center, conta così tanto nella pratica: la maggior parte delle persone non pensa mai al proprio numero di telefono come a una credenziale di sicurezza fino al momento in cui viene usato contro di loro. Il numero in sé raramente è l’obiettivo finale — è un trampolino comodo verso tutto il resto che si fida di esso. Gli operatori hanno migliorato i controlli negli ultimi anni dopo casi eclatanti di SIM swap, ma il processo continua a basarsi su operatori del servizio clienti che prendono decisioni sotto pressione, e le decisioni umane possono essere manipolate. È esattamente questa debolezza strutturale che un blocco di portabilità è pensato per chiudere: toglie la decisione dalle mani dell’operatore e la lega a qualcosa che solo il vero titolare dell’account dovrebbe conoscere.
Un tranquillo martedì pomeriggio
Questo scenario illustrativo descrive una situazione che potrebbe capitare a chiunque, non un caso reale e verificato.
Una grafica freelance vede improvvisamente sparire il segnale dal telefono verso le 14. Pensa a un guasto della rete e continua a lavorare. Due ore dopo prova ad accedere all’email dal computer e si ritrova bloccata fuori — il codice di recupero è arrivato a un numero che non è più suo. Quando raggiunge di persona il negozio del suo operatore con un documento d’identità, il suo numero è già stato usato per resettare tre altri account, incluso uno collegato a un’app di pagamento. L’operatore alla fine ripristina il numero, ma sistemare il danno richiede quasi una settimana e diverse telefonate a banche e piattaforme a cui non avrebbe mai pensato di collegare la sicurezza al proprio numero di telefono. Quello che rende utile raccontare questa vicenda non è l’esito — alla fine recupera tutto — ma la tempistica. Nulla nel suo comportamento quel giorno era stato imprudente: non ha cliccato su un link sospetto né risposto a una chiamata strana. L’attacco è riuscito interamente grazie a informazioni probabilmente presenti in una vecchia violazione di dati, unite a un processo del servizio clienti che non ha chiesto nulla che non fosse già stato rubato altrove. Un PIN di portabilità avrebbe bloccato il trasferimento fin dal primo passaggio, prima che accadesse il resto di quel pomeriggio.
Chiudere la porta prima che qualcuno provi la maniglia
Un blocco di portabilità e un PIN sull’account dell’operatore trasformano un numero di telefono da una porta aperta a una che richiede una chiave che solo tu possiedi. La maggior parte dei principali operatori offre entrambe le funzioni gratuitamente, ma nessuna delle due è attiva di default, e nessuna aiuta retroattivamente una volta che la portabilità è già avvenuta. L’obiettivo è far sì che la richiesta di trasferimento richieda qualcosa che un truffatore difficilmente possiede.
Imposta un PIN di portabilità con il tuo operatore
Chiama il tuo operatore o usa la sua app per aggiungere un PIN numerico specifico legato alla portabilità e alle modifiche dell’account, separato dalla password di accesso ordinaria. Questo PIN deve essere fornito prima che qualsiasi richiesta di trasferimento venga approvata, bloccando lo schema comune di ingegneria sociale in cui un truffatore recita semplicemente nome e indirizzo a un operatore del servizio clienti. Annota il PIN da qualche parte offline, non in un’app di note che si sincronizza sullo stesso telefono. Alcuni operatori permettono di impostare questo PIN solo tramite telefonata e non tramite app, quindi vale la pena verificare entrambi i canali se l’opzione online non è visibile.
Attiva il blocco o il congelamento della portabilità a livello di account
Oltre al PIN, la maggior parte degli operatori ha un’impostazione distinta di ‘blocco portabilità’ o ‘blocco numero’ che impedisce qualsiasi richiesta di trasferimento finché non la rimuovi tu stesso di persona o tramite un canale verificato. Questo è un controllo più forte del solo PIN perché può richiedere una verifica dell’identità più difficile da falsificare al telefono. Controlla le impostazioni del tuo account o chiedi direttamente a un operatore, perché questa opzione spesso non è pubblicizzata. Se il tuo operatore non lo offre con questo nome, chiedi specificamente di ‘protezione SIM swap’ o ‘protezione trasferimento numero’ — la terminologia varia abbastanza tra i fornitori da far passare inosservata una domanda generica.
Sposta l’autenticazione a due fattori fuori dagli SMS dove possibile
Anche un numero bloccato è più sicuro di uno sbloccato, ma i codici via SMS restano un anello debole perché dipendono ancora dall’infrastruttura dell’operatore. Sposta gli account critici — email, banca, cloud storage — su un’app di autenticazione o una chiave di sicurezza hardware ovunque sia possibile. In questo modo, una portabilità riuscita non consegna automaticamente i tuoi account più importanti. Dai priorità alla tua email principale, poiché di solito è il percorso di recupero per tutto il resto, poi passa agli account finanziari e a qualsiasi servizio che conserva dati di pagamento.
Fai attenzione ai segnali di un attacco in corso
Un messaggio inaspettato di ‘SIM attivata’ o ‘nessun servizio’, specialmente accompagnato da un SMS su modifiche all’account che non hai richiesto, significa che devi chiamare immediatamente il tuo operatore da un altro telefono. Agire nel giro di minuti anziché ore riduce drasticamente il numero di account a cui un truffatore può accedere prima che tu riprenda il controllo. Tieni il numero della linea antifrode del tuo operatore salvato da qualche parte diverso dai contatti del telefono, perché è esattamente il dispositivo a cui potresti non avere accesso proprio quando ne hai più bisogno.
Perché uno strato di monitoraggio conta anche con il blocco attivo
Un blocco di portabilità e un PIN riducono le probabilità di una sottrazione riuscita, ma non ti avvisano nel momento esatto in cui qualcosa riesce a passare, e le linee di assistenza degli operatori non sempre reagiscono in fretta anche quando chiami tu stesso. Un servizio di monitoraggio della privacy e dell’identità colma questo vuoto, sorvegliando i segnali che indicano che il tuo numero, la tua email o i tuoi dati personali circolano in violazioni di dati o vengono usati per aprire nuovi account, avvisandoti prima che il danno si aggravi. Quell’allarme precoce è ciò che trasforma un tentativo intercettato in un episodio senza conseguenze anziché una settimana di recupero degli account. Aiuta anche nella parte che un blocco del numero non può coprire: sapere quali altri tuoi account dipendono ancora dal recupero via SMS e ricordarti discretamente di sistemare la cosa prima che diventi il prossimo anello debole. Abbinare un blocco lato operatore a uno strato di monitoraggio esterno copre entrambi gli estremi del problema — la porta e l’allarme. Considerando che l’81% delle persone, secondo Pew Research Center, ritiene già che i rischi della raccolta dati superino i benefici, ha senso trattare il monitoraggio come un complemento di questo istinto piuttosto che una contraddizione: non stai cercando di impedire a ogni azienda di detenere mai i tuoi dati, stai cercando di sapere rapidamente quando quei dati iniziano a essere usati in modo improprio.
Numero eSIMlink di affiliazione
Un secondo numero senza scheda SIM, in oltre 80 paesi