Se il telefono mostra improvvisamente ‘nessun servizio’ o ‘solo SOS’ e niente riporta indietro le tacche, potresti star assistendo in diretta a un SIM swap. Non è un caso raro: l’Internet Crime Complaint Center dell’FBI ha registrato denunce di SIM swapping per perdite corrette pari a 68 milioni di dollari nel 2021 negli Stati Uniti. Il fenomeno è diventato talmente serio che la FCC ha proposto regole che obbligano gli operatori ad autenticare i clienti prima di eseguire un SIM swap, citando un’ondata di segnalazioni di trasferimenti non autorizzati. I trenta minuti dopo aver notato la caduta del segnale sono la finestra in cui puoi ancora impedire a un malintenzionato di svuotare gli account protetti da codici via SMS.
Come avviene davvero un SIM swap
Un SIM swap non richiede di toccare il tuo telefono. L’attaccante raccoglie prima abbastanza informazioni personali su di te — nome, data di nascita, indirizzo, magari le ultime cifre di un documento — spesso ottenute da una violazione di dati precedente o da un messaggio di phishing. Con questi elementi contatta il servizio clienti dell’operatore telefonico oppure usa un portale self-service fingendosi te, chiedendo che il tuo numero venga trasferito su una nuova SIM in suo possesso. Se la verifica dell’operatore è debole, il trasferimento va a buon fine in pochi minuti. Nel momento in cui si completa, il tuo telefono reale perde ogni segnale perché il numero non appartiene più alla tua SIM. Da quel momento, il dispositivo dell’attaccante riceve le tue chiamate e i tuoi SMS, compresi i codici monouso che banche, provider di posta elettronica ed exchange di criptovalute inviano per ‘verificare che sia tu’. Le regole di autenticazione proposte dalla FCC esistono proprio perché la verifica lato operatore è storicamente l’anello debole di questa catena, non il tuo telefono o le tue abitudini con le password. Vale la pena capire perché questo anello debole persiste: gli operatori del servizio clienti sono addestrati a risolvere i problemi in fretta, e chi chiama fornendo nome, indirizzo e ultime cifre di un documento suona, al telefono, esattamente come il vero titolare dell’account. Velocità e comodità dal lato dell’operatore diventano proprio gli strumenti che un attaccante sfrutta. Questo scarto tra ciò che uno script di assistenza chiede e ciò che dimostra davvero l’identità è l’intero meccanismo dietro un SIM swap, ed è per questo che la pressione normativa sugli operatori, non solo la vigilanza personale, è diventata parte della soluzione.
Una sequenza plausibile, non un caso reale
La sequenza seguente è illustrativa e costruita per mostrare come si sviluppa un SIM swap una volta iniziato, non è il resoconto di una persona reale.
Immagina qualcuno il cui telefono mostra tacche piene tutta la mattina, poi passa improvvisamente a ‘solo SOS’ durante una riunione. Pensa a un guasto di rete e continua a lavorare. Un’ora dopo prova ad accedere alla posta elettronica da un portatile e scopre che la password è stata cambiata. Poi l’app della banca invia un avviso di accesso da un dispositivo sconosciuto. Quando finalmente chiama l’operatore dal telefono di un collega, la SIM è già stata trasferita da circa novanta minuti, e in quel lasso di tempo una catena di reset delle password ha attraversato posta elettronica, banca e un portafoglio di criptovalute. L’operatore conferma che una richiesta di SIM swap è stata elaborata quella mattina tramite il portale online, approvata con un PIN dell’account che era stato probabilmente indovinato o trapelato mesi prima. Col senno di poi, i segnali d’allarme c’erano già prima ancora che il telefono perdesse il segnale: un’email di phishing su un presunto ‘problema di fatturazione’ una settimana prima, una password riutilizzata su due vecchi account, e un PIN mai cambiato da quando la linea era stata attivata. Nessuno di questi dettagli sarebbe sembrato allarmante da solo, ed è proprio per questo che i SIM swap riescono così spesso: i pezzi sembrano collegati solo dopo che il danno è già fatto.
Cosa fare nei primi trenta minuti
Tratta una perdita improvvisa e ingiustificata di segnale prima come un evento di sicurezza e solo poi come un problema di rete. La maggior parte dei guasti reali coprono un’area ampia e sono visibili sulla pagina di stato dell’operatore o sui suoi account social; un SIM swap colpisce solo te. La sequenza qui sotto presuppone che tu abbia accesso a un altro dispositivo — un portatile di lavoro, un tablet, il telefono di un familiare — dato che il tuo apparecchio è temporaneamente inutilizzabile per chiamate e SMS.
Verifica se è un SIM swap o un semplice disservizio
Controlla la mappa dei guasti o la pagina di stato del tuo operatore da un altro dispositivo, e chiedi a qualcuno vicino con lo stesso operatore se il suo segnale funziona normalmente. Se il suo funziona e il tuo no, senza alcuna spiegazione plausibile come viaggi o modifiche alle impostazioni, considera probabile un SIM swap invece di aspettare che passi da solo.
Chiama l’operatore da un canale alternativo
Usa un telefono fisso, il telefono di un amico o l’app dell’operatore su un secondo dispositivo per contattare il servizio sicurezza account, non l’assistenza generica. Comunica il sospetto di SIM swap non autorizzato e chiedi di bloccare subito la linea e annullare il trasferimento. Gli operatori che hanno adottato verifiche più rigorose, in linea con l’orientamento delle regole della FCC, dovrebbero poter bloccare l’account e richiedere una verifica rafforzata prima di qualsiasi ulteriore modifica.
Blinda gli account legati ai codici via SMS
Da un altro dispositivo, accedi a posta elettronica, home banking e qualsiasi account che sai basarsi su codici via SMS, e cambia subito le password. Dove possibile, passa dall’autenticazione a due fattori via SMS a un’app di autenticazione o a una chiave hardware, perché lo scopo stesso di un SIM swap è intercettare quei codici testuali. Dai priorità all’account email, poiché di solito è il canale di recupero per tutto il resto.
Monitora i conti finanziari e presenta denuncia
Controlla gli estratti conto bancari e delle carte per accessi o trasferimenti sconosciuti nei giorni successivi, e segnala qualsiasi anomalia all’istituto immediatamente. Presenta una denuncia alla polizia locale e, se possibile, documenta l’accaduto come le segnalazioni raccolte dall’FBI, che nel 2021 hanno portato a perdite corrette per 68 milioni di dollari: sono proprio questi report a spingere operatori e autorità a rafforzare i requisiti di verifica.
Perché un password manager chiude questa falla
Un SIM swap riesce perché un unico punto debole — il tuo numero di telefono — sta sotto troppi account come rete di sicurezza sia per il reset delle password sia per i codici a due fattori. La soluzione non è un telefono più robusto: è eliminare l’SMS come anello debole ovunque sia possibile. Un password manager che genera e memorizza password uniche e lunghe per ogni account rende più difficile indovinare PIN dell’operatore e risposte di recupero account, dato che spesso un tentativo di SIM swap parte proprio dopo aver trovato una password riutilizzata da una vecchia violazione di dati. Molti password manager includono anche una funzione di autenticazione integrata, che permette di spostare i codici a due fattori dall’SMS a un’app, codici che una SIM trasferita non può più intercettare. Oltre alla difesa immediata, un password manager segnala anche le password deboli o riutilizzate tra i tuoi account, permettendoti di individuare e correggere proprio il tipo di credenziale trapelata che ha dato a un attaccante abbastanza dettagli personali per farsi passare per te allo sportello dell’operatore. Non impedirà a nessuno di chiamare il tuo operatore, ma elimina gran parte di ciò che otterrebbe facendolo. Pensalo come un modo per ridurre la superficie d’attacco su entrambi i lati del SIM swap: una password forte e unica rende meno probabile la violazione iniziale che fornisce all’attaccante i tuoi dati personali, e un’app di autenticazione rende inutile il trasferimento stesso anche se dovesse riuscire.
Numero eSIMlink di affiliazione
Un secondo numero senza scheda SIM, in oltre 80 paesi