Il SIM swapping non è più un aneddoto raro: il rapporto annuale 2023 dell’FBI Internet Crime Complaint Center ha registrato denunce per oltre 48 milioni di dollari di perdite in un solo anno. Nel frattempo gli operatori spingono forte sull’adozione della eSIM, e GSMA prevede che le connessioni compatibili eSIM raggiungeranno il 50% del totale degli smartphone entro il 2025. La domanda vera non è se la eSIM sia una tendenza, ma se passare a questo formato ti protegga davvero dalla frode che l’anno scorso ha causato 48 milioni di dollari di danni. La risposta onesta è più sfumata di uno slide pubblicitario, e dipende da dove si trova davvero il punto debole nella catena tra te e il tuo operatore.
Come viene dirottata davvero una SIM
Una SIM in plastica può essere rimossa fisicamente da un telefono e inserita in un altro dispositivo in pochi secondi, ma non è così che funziona quasi mai la frode moderna. La maggior parte degli attacchi di SIM swap non tocca affatto la scheda: un truffatore raccoglie nome, numero di telefono e qualche dettaglio personale — spesso da una violazione di dati o dai social — poi chiama o scrive al servizio clienti del tuo operatore fingendosi te. Chiede una ‘nuova SIM’ o il trasferimento del numero verso un dispositivo che controlla lui. Se l’operatore si convince, il numero si sposta all’istante, e ogni codice di accesso via SMS, avviso bancario o codice a due fattori finisce nelle mani dell’aggressore invece che nelle tue. La scheda fisica è quasi un dettaglio; il vero punto debole è il processo di verifica dell’identità dell’operatore. La eSIM cambia leggermente la meccanica, visto che non esiste una scheda da consegnare fisicamente, ma la vulnerabilità di fondo — un addetto che approva un trasferimento basandosi su controlli deboli — resta identica, a meno che l’operatore non rafforzi anche quel processo. Pensa alla SIM, fisica o incorporata, come a una chiave di una serratura. Se qualcuno riesce a convincere il fabbro a tagliare una nuova chiave senza verificare bene l’identità, non importa se la chiave originale era di metallo o memorizzata digitalmente: il giudizio del fabbro è il vero confine di sicurezza. Gli operatori migliori lo sanno, e per questo offrono livelli di verifica aggiuntivi oltre al formato della SIM, invece di trattare l’hardware come unica protezione. Capire questa distinzione conta, perché buona parte della comunicazione sulle eSIM lascia intendere che il formato da solo risolva il problema delle frodi, mentre in realtà elimina solo un vettore d’attacco specifico tra tanti.
Un numero portato via prima di cena
Quello che segue è uno scenario illustrativo, non un caso reale documentato legato a una persona specifica.
Immagina qualcuno che finisce una giornata di lavoro normale quando il telefono perde improvvisamente il segnale. Niente tacche, nessuna spiegazione. Pensando a un problema di rete, se ne dimentica finché un’amica non gli scrive che ha appena ricevuto un messaggio di saluto da quel numero, ma da un account sconosciuto. Quando riesce a contattare l’operatore, il numero è già stato trasferito, e due app bancarie hanno già inviato codici monouso a un dispositivo che non era mai stato suo. L’operatore ammette poi che la richiesta di trasferimento conteneva informazioni personali sufficienti — trovate in una fuga di dati precedente — per superare lo script di verifica al telefono. Nulla, in questa vicenda, dipendeva dal formato della SIM; a fallire è stata la catena di fiducia che ha permesso il trasferimento, e quella catena esiste identica sia che la scheda sia di plastica sia che sia incorporata nel dispositivo. Nelle ore successive il danno si allarga in silenzio: email di reset password intercettate, accesso a un backup cloud, un secondo conto bancario segnalato per un tentativo di bonifico importante prima che chiunque intorno si accorga di qualcosa. Niente di tutto questo richiedeva toccare una scheda fisica. Bastavano pochi minuti per convincere un operatore sconosciuto al telefono, ed è proprio per questo che passare alla eSIM, da sola, non avrebbe cambiato l’esito: l’aggressore non ha mai avuto bisogno di rimuovere o inserire nulla fisicamente.
Ridurre il rischio di swap, passo dopo passo
La tecnologia eSIM elimina un attacco specifico — il furto o lo scambio fisico di una scheda dal tuo dispositivo — ma da sola non fa nulla contro i tentativi di furto d’account condotti tramite l’assistenza dell’operatore. La protezione reale nasce combinando il formato più difficile da clonare con difese a livello di account che non dipendono dagli SMS.
Attiva un PIN operatore o un blocco al portabilità
Chiama il tuo operatore e chiedi espressamente un blocco sulla portabilità, un PIN per il trasferimento del numero o un vincolo sulle modifiche all’account. È il passo singolo più efficace contro gli swap ottenuti con l’inganno, perché costringe chiunque richieda un trasferimento — incluso un addetto raggirato — a fornire un codice che hai impostato tu, non solo nome e data di nascita. Quasi tutti i grandi operatori lo offrono gratuitamente, ma quasi nessuno lo attiva di default, quindi va richiesto espressamente. Annota il PIN da qualche parte diverso dal telefono, perché deve sopravvivere anche se il dispositivo è già compromesso.
Sposta i codici a due fattori fuori dagli SMS
Sposta i tuoi account più sensibili — email, banca, archiviazione cloud — su un’app di autenticazione o una chiave di sicurezza fisica invece che sui codici via SMS. L’autenticazione a due fattori via SMS è esattamente ciò che cercano gli aggressori quando portano via il tuo numero; quando l’autenticazione non dipende più dal ricevere un testo, uno swap riuscito diventa molto meno utile per loro. Comincia dagli account che potrebbero far cadere a catena altri servizi, come l’email principale, perché di solito è la chiave maestra per reimpostare tutto il resto.
Riconosci i primi segnali di uno swap
Una perdita improvvisa e inspiegabile del segnale, soprattutto accompagnata da messaggi inattesi del tipo ‘la tua SIM è stata aggiornata’, è un campanello d’allarme, non un semplice guasto da ignorare. Chiama subito l’operatore usando un numero salvato altrove (non a memoria sul telefono spento) e chiedi di controllare eventuali recenti modifiche alla SIM o al profilo eSIM sulla tua linea. I primi quindici minuti dopo uno swap sono di solito la finestra in cui il danno è ancora contenibile, quindi tratta un segnale assente con più urgenza di quanto sembri meritare.
Separa la tua identità dal tuo numero dove possibile
Per gli account e i servizi che non richiedono il tuo numero reale, usa un numero secondario o un piano dati eSIM non collegato alla tua identità principale. Questo limita il danno che un singolo numero compromesso può causare, perché meno servizi vi sono legati. Significa anche che se un numero viene mai portato via senza il tuo consenso, il danno resta circoscritto a quello specifico utilizzo, invece di estendersi in un colpo solo a conto bancario ed email.
Dove una eSIM aiuta davvero
Un piano dati eSIM per viaggi o come numero secondario non sostituisce le abitudini di sicurezza dell’account descritte sopra, ma chiude l’unica falla puramente fisica: non c’è una scheda da estrarre dal telefono, consegnare a uno sconosciuto o perdere insieme al portafoglio. Per una linea secondaria usata per verifiche di app, connettività in viaggio o per separare numero personale e professionale, attivare quella linea digitalmente tramite un servizio come Saily elimina del tutto il rischio di scambio della scheda fisica, dato che il profilo vive nel chip incorporato del dispositivo e non su hardware rimovibile. Evita anche un trucco specifico e poco sofisticato: clonare o riattivare una vecchia SIM scartata, operazione impossibile con un profilo eSIM legato al dispositivo. Nulla di tutto questo sostituisce un PIN di blocco portabilità o un’autenticazione a due fattori via app, ma come livello aggiuntivo tra tanti, mantenere un numero secondario su un piano eSIM elimina una superficie d’attacco fisica che una scheda in plastica non può evitare. È un miglioramento piccolo e concreto, non una soluzione completa — un inquadramento onesto che la maggior parte dei fornitori evita quando pubblicizza la eSIM come intrinsecamente più sicura.
Numero eSIMlink di affiliazione
Un secondo numero senza scheda SIM, in oltre 80 paesi