Attivare l'autenticazione a due fattori via SMS serve comunque a qualcosa?

Sì, resta molto meglio che non avere alcun secondo fattore, perché blocca la grande maggioranza degli attacchi opportunistici in cui qualcuno possiede solo le tue credenziali di accesso. Il rischio specifico trattato qui, il SIM swap e l'intercettazione via SS7, richiede più impegno e un targeting mirato che la maggior parte degli attaccanti opportunisti non è disposta a investire, quindi il 2FA via SMS resta una base ragionevole per gli account meno sensibili, mentre migri quelli più importanti verso un'app di autenticazione o una chiave fisica.

Come posso accorgermi se il mio numero ha subito un SIM swap?

Il segnale più chiaro è una perdita improvvisa e inspiegabile di segnale cellulare, spesso accompagnata da un SMS dell'operatore che conferma l'attivazione di una SIM o un cambio piano che non hai richiesto. Potresti anche ricevere email di notifica di accesso per account che non hai usato, o scoprire che il telefono non può più inviare né ricevere chiamate e messaggi. Se succede qualcosa del genere, contatta subito il tuo operatore tramite chat web o un altro telefono, senza aspettare, perché ogni minuto in cui l'attaccante controlla il tuo numero aumenta il numero di account che può resettare.

Una VPN da sola può impedire un attacco di SIM swap?

No, una VPN non può impedire un SIM swap, perché quell'attacco prende di mira il processo di assistenza del tuo operatore telefonico, non la tua connessione internet. Il suo ruolo è a monte: riduce quanti dati personali su di te sono esposti tramite navigazione non cifrata e tracciamento, elementi che gli attaccanti usano per impersonarti in modo convincente davanti al personale di assistenza. Per fermare davvero il SIM swap servono protezioni lato operatore, come un PIN di portabilità, insieme allo spostamento dell'autenticazione a due fattori lontano dagli SMS.

Qualcuno può davvero intercettare il codice SMS della tua banca?

I codici via SMS sembrano sicuri ma possono essere dirottati con SIM swap o falle di rete: ecco come proteggere davvero i tuoi accessi.

Quel codice a sei cifre che arriva via SMS sembra una cosa privata e al sicuro, ma il canale che lo trasporta non è mai stato pensato per la sicurezza. L’Internet Crime Complaint Center dell’FBI ha registrato nel 2023 perdite per oltre $48 milioni legate a casi di SIM swapping — e si tratta solo dei casi denunciati negli Stati Uniti, quindi il danno reale a livello globale è quasi certamente più alto. Più in generale, una ricerca del Pew Research Center mostra che l’81% degli americani ritiene che i rischi legati alla raccolta dei propri dati personali superino i benefici, un disagio diffuso che riguarda anche la leggerezza con cui banche, app e operatori trattano il numero di telefono come prova d’identità. Nessuno dei due dati misura direttamente l’intercettazione degli SMS, ma insieme descrivono il contesto in cui un numero dirottato può fare danni concreti.

Come viene rubato davvero un codice monouso

La verifica via SMS non è mai stata progettata come protocollo di sicurezza: è un sistema di messaggistica pensato per la comodità, riadattato per proteggere bonifici e reset di password. L’attacco più comune è il SIM swap: un criminale raccoglie abbastanza dati personali, spesso presi da fughe di dati, profili social o liste di data broker, da convincere l’assistenza dell’operatore telefonico di essere te. Una volta superato questo scoglio, l’operatore trasferisce il tuo numero su una SIM controllata dall’attaccante. Da quel momento ogni SMS destinato a te, compresi i codici di accesso, arriva nelle sue mani, e spesso te ne accorgi solo quando il telefono perde completamente il segnale. Una seconda via sfrutta l’SS7, il vecchio protocollo di segnalazione che instrada chiamate e messaggi tra operatori di tutto il mondo: più ricerche hanno dimostrato che le sue falle permettono di intercettare SMS da remoto, senza toccare il dispositivo fisico né ingannare direttamente la vittima. Una terza strada, più semplice, è l’accesso diretto all’account presso l’operatore, ottenuto con phishing verso un addetto al servizio clienti o, più raramente, con la corruzione di un dipendente infedele. In ogni caso, il codice SMS è sicuro solo quanto l’anello più debole tra il tuo operatore, i suoi dipendenti, il negozio che emette le SIM e la rete telefonica globale di cui non hai mai scelto di fidarti. È proprio questo l’aspetto che sfugge a molti: la vulnerabilità raramente sta sul tuo telefono, sta in una coda di assistenza clienti, gestita da persone addestrate a essere disponibili più che sospettose.

Un numero dirottato, un proprietario escluso

Questo è uno scenario illustrativo, non un caso realmente documentato.

Qualcuno riceve un SMS insolito dal proprio operatore che conferma l’attivazione di una SIM mai richiesta. Nel giro di pochi minuti il telefono resta senza segnale. Quando riesce a chiamare l’assistenza con il cellulare di un conoscente, il truffatore ha già avviato il reset della password sull’app della banca e di due profili social, protetti ciascuno da un codice SMS che ora arriva su una SIM clonata dall’altra parte della città. L’attesa al servizio clienti dell’operatore è di 40 minuti. La linea antifrode della banca chiede un codice di verifica — proprio il tipo di codice che l’attaccante ha già usato per entrare, il che significa che la misura di sicurezza pensata per proteggere il conto ora gioca contro il suo legittimo proprietario. Il recupero richiede tre giorni di telefonate, una nuova SIM e una banca che accetta, con riluttanza, di annullare uno dei due bonifici fraudolenti. Il secondo è perso definitivamente, e nelle settimane successive la vittima cambia le password di tutto ciò che era anche solo vagamente collegato a quel numero.

Ridurre ciò che un numero dirottato può sbloccare

Non puoi rendere impossibile l’intercettazione degli SMS, perché la debolezza risiede in un’infrastruttura degli operatori telefonici che non controlli e non controllerai mai. Quello che puoi fare è ridurre il danno che un numero rubato può provocare e rendere un SIM swap molto più difficile da realizzare.

Sposta gli account critici fuori dagli SMS

Ovunque sia possibile, passa dall’autenticazione via SMS a un’app di autenticazione o a una chiave di sicurezza fisica. Dai priorità a conto bancario, email e archiviazione cloud, perché sono gli account che gli attaccanti collegano a cascata una volta ottenuto il controllo del tuo numero — l’email in particolare è spesso la chiave che apre tutto il resto tramite i link di reset password. Un’app di autenticazione genera codici direttamente sul dispositivo, senza nulla che transiti sulla rete dell’operatore, e una chiave fisica va oltre richiedendo il possesso reale dell’oggetto.

Blocca l’account direttamente presso l’operatore

Contatta il tuo operatore telefonico e chiedi un PIN di portabilità o un blocco che impedisca il cambio SIM senza riconoscimento di persona. Molte compagnie offrono questa opzione, ma raramente è attiva di default e quasi mai viene proposta spontaneamente dal personale commerciale. Questo singolo passaggio chiude esattamente la falla che trasforma una telefonata di social engineering in una presa di controllo completa dell’account, perché l’assistenza è poi obbligata a verificare l’identità oltre a nome, indirizzo e qualche domanda di sicurezza facilmente indovinabile.

Separa l’email di recupero dal numero di telefono

Molte procedure di recupero account tornano all’SMS come ripiego se altri metodi falliscono, reintroducendo di nascosto lo stesso anello debole che avevi cercato di eliminare. Usa un’email di recupero dedicata, non collegata al tuo numero, e controlla le impostazioni di recupero di ogni account importante singolarmente, senza dare per scontato che abbiano ereditato la scelta più sicura del 2FA — spesso tornano al numero registrato senza alcun avviso.

Presta attenzione ai primi segnali d’allarme

Un SMS inatteso di ‘SIM attivata’, una perdita improvvisa di segnale senza spiegazione, o notifiche di accesso che non hai richiesto sono i primi indizi di un SIM swap in corso. Considera questi segnali urgenti: contatta subito l’operatore tramite chat web o un altro telefono, e inizia a bloccare o monitorare i conti finanziari prima che l’attaccante finisca di lavorare sugli altri tuoi accessi. Qui i minuti contano molto più di quanto sembri.

Perché una VPN orientata alla privacy e il monitoraggio restano utili

Una VPN non fermerà un SIM swap né correggerà le falle dell’SS7, perché questi attacchi avvengono dentro l’infrastruttura telefonica, non sul tuo Wi-Fi. Interviene invece su una fase precedente e più silenziosa del problema: la scia di dati che permette a un attaccante di costruire un profilo abbastanza convincente da ingannare l’assistenza del tuo operatore. Numeri di telefono, indirizzi e dettagli degli account trapelano attraverso sessioni di navigazione non cifrate, raccolta dati da parte dei data broker e reti Wi-Fi pubbliche non protette — tutto materiale grezzo per il social engineering che precede un SIM swap. Una VPN affidabile cifra il traffico, così le tue abitudini di navigazione, i login e i dati di posizione non restano esposti su reti che non controlli, riducendo il bacino di informazioni personali disponibile a chi sta costruendo un pretesto per una richiesta fraudolenta di portabilità. Abbinala a un servizio di monitoraggio del dark web che segnali quando il tuo numero o la tua email compaiono in una violazione di dati, e ottieni un sistema di allarme preventivo invece di scoprire tutto solo quando il segnale sparisce. Niente di tutto questo sostituisce il blocco PIN presso l’operatore o il 2FA via app, ma elimina uno degli elementi su cui gli attaccanti si basano per impersonarti in modo convincente, spesso il fattore che determina se un tentativo di SIM swap riesce o viene respinto da un addetto all’assistenza diffidente. Pensala come un modo per ridurre i compiti a casa dell’attaccante: meno può imparare su di te da dati trapelati e traffico intercettato, più debole suona il suo copione quando infine chiama il tuo operatore fingendo di essere te.