Un giorno il tuo telefono perde la linea. Niente chiamate, niente SMS, niente rete. Sembra un guasto, magari un problema dell’operatore. In realtà, in quello stesso momento qualcuno potrebbe aver preso il controllo del tuo numero e stare leggendo i codici che la tua banca ti manda per confermare un bonifico. Si chiama SIM swap, letteralmente “scambio di SIM”. Non è una truffa nuova, ma è ancora attiva, e si è fatta più organizzata.
⚡ In sintesi: il SIM swap
- Cos’è: i truffatori ottengono una SIM a tuo nome, o portano il tuo numero presso un altro operatore, per ricevere al posto tuo SMS e chiamate.
- A cosa serve: intercettare i codici di conferma (OTP) di banche, email e social.
- Segnale tipico: il telefono smette di funzionare e non si connette alla rete, anche dopo un riavvio.
- Difesa principale: non affidare tutto all’SMS. Usa un’app di autenticazione o le passkey.
- Se succede: chiama subito l’operatore e la banca, e denuncia alla Polizia Postale. Poche ore possono fare la differenza.
1. Come funziona
Il SIM swap di solito è l’ultimo passo di uno schema più lungo. Come descrive la Polizia di Stato nel raccontare un caso sventato dalla Polizia Postale di Cagliari, i criminali agiscono così:
- Rubano le credenziali di accesso all’home banking, con il phishing o comprandole sul dark web.
- Chiedono una nuova SIM a nome della vittima e l’annullamento di quella in uso, per mantenere lo stesso numero.
- Entrano nel conto e ricevono sul loro telefono la password temporanea (OTP) che la banca invia al numero associato al conto.
Esistono due strade principali per ottenere il numero: la sostituzione della SIM presso l’operatore (con un documento falso, oppure con la complicità o la leggerezza di chi lavora in un punto vendita) e la portabilità del numero verso un altro operatore, che sposta la linea dalla vittima ai truffatori.
2. Perché l’SMS è il punto debole
Per entrare in un servizio online non basta più la password: spesso serve anche un codice che arriva sul telefono. È la cosiddetta autenticazione a due fattori, un’ottima idea, ma con un limite. Se il secondo fattore è un SMS, chi controlla il tuo numero controlla anche quel codice. Il SIM swap non “rompe” la sicurezza della banca: fa in modo che il codice arrivi a un altro telefono.
3. I segnali di allarme
Secondo l’analisi di Agenda Digitale, il segnale principale è il telefono che, tutto insieme:
- smette di funzionare;
- non si connette alla rete;
- non permette di fare chiamate né di inviare SMS.
In questo caso conviene riavviare il telefono. Se il problema resta, bisogna contattare subito l’operatore e chiedere spiegazioni. Un altro campanello d’allarme può essere la telefonata di un finto operatore che avvisa di “problemi di linea”: può essere il primo passo di un attacco.
4. Cosa fare se sei vittima
Il tempo conta: accorgersi dello scambio con poche ore di ritardo può avere conseguenze molto pesanti. In ordine:
- Chiama l’operatore da un altro telefono e chiedi se la SIM è stata sostituita o il numero portato via. Fai bloccare la SIM.
- Avvisa la banca e controlla i movimenti sul conto. Se possibile, blocca l’accesso online e le carte.
- Cambia le password dei servizi importanti (email, banca, social), partendo dall’email, da cui si possono reimpostare tutte le altre.
- Denuncia alla Polizia Postale: è fondamentale anche per poter rientrare in possesso del numero.
5. Cosa hanno fatto le autorità
In Italia l’AGCOM ha rafforzato le regole sul cambio SIM e sulla portabilità con la delibera 86/21, dopo quello che ha definito un aumento preoccupante di segnalazioni di sostituzioni fatte all’insaputa del titolare. Gli operatori hanno avuto tempo fino al 15 novembre 2022 per adeguarsi. Le misure principali:
| Misura | In pratica |
|---|---|
| Identificazione | L’operatore deve identificare chi chiede la sostituzione o la portabilità con documento d’identità e codice fiscale, sia in negozio sia online. |
| Validazione | La richiesta va confermata con un SMS o una chiamata vocale registrata prima di procedere, sia per la sostituzione sia per la portabilità. |
| Avvisi al cliente | Nella portabilità, l’operatore che riceve il numero deve avvisare l’utente con SMS o chiamata in quattro momenti: registrazione della richiesta, risposta alla richiesta, passaggio del numero e disponibilità del credito residuo. |
| Furto o smarrimento | La sostituzione può proseguire solo dopo aver acquisito una copia leggibile della denuncia. |
| Deleghe | Per cambiare la SIM sono ammesse solo per le SIM aziendali e nei casi previsti. |
| eSIM | Le stesse regole si applicano anche alle SIM elettroniche. |
Sono regole utili, ma non rendono il fenomeno impossibile: lo stesso articolo osserva che le regole spesso faticano a tenere il passo con le nuove tecniche.
6. L’inganno che prepara il furto
I truffatori hanno bisogno dei tuoi dati personali, e li ottengono con altri tipi di inganno. Una campagna segnalata dai ricercatori italiani di D3Lab usava un sito praticamente identico a quello della Polizia Postale: il messaggio, arrivato via email o SMS, convinceva la vittima a “sostituire la SIM con una più sicura”, e per farlo chiedeva dati personali e della carta di pagamento. La Polizia Postale non invia queste comunicazioni. Il caso mostra come il SIM swap non sia solo tecnica: è soprattutto ingegneria sociale, e spesso inizia con phishing, smishing o telefonate (vishing).
7. Come difendersi: il secondo fattore giusto
Non tutti i secondi fattori sono uguali. Questa tabella confronta i più comuni rispetto al SIM swap:
| Metodo | Resiste al SIM swap? | Note |
|---|---|---|
| Codice via SMS | No | Il codice arriva sul numero che il truffatore può prendere. |
| App di autenticazione | Sì | Il codice è generato sul telefono, non dipende dalla SIM. Conserva con cura i codici di recupero. |
| Passkey o chiave fisica | Sì | Sono molto resistenti anche al phishing, ma il servizio deve supportarle. |
Alcune buone abitudini in più:
- Dove puoi, scegli l’app invece dell’SMS per email, social e servizi finanziari.
- Togli il numero di telefono dagli account in cui non serve, così in caso di swap non sono raggiungibili.
- Controlla il recupero dell’account: se un servizio permette di reimpostare l’accesso via SMS, quel canale resta il punto debole anche con un’app attiva.
- Non fornire mai dati personali a chi ti contatta per telefono, SMS o email dicendo di essere l’operatore, la banca o la polizia.
- Non cliccare sui link nei messaggi che chiedono di “sostituire” o “aggiornare” la SIM.
Conclusione
Il SIM swap non è una novità, e proprio per questo vale la pena di conoscerlo: funziona perché sfrutta una scelta comoda, quella di affidare la sicurezza a un numero di telefono. Cambiare abitudine costa pochi minuti: un’app al posto dell’SMS, il numero tolto dagli account non essenziali, e attenzione ai messaggi che chiedono di “fare qualcosa subito”. Se il telefono perde la linea senza motivo, non aspettare: chiama l’operatore e la banca.
📚 Fonti e approfondimenti
Questo articolo ha scopo informativo e non sostituisce l’assistenza del tuo operatore, della tua banca o delle forze dell’ordine.
Articolo a cura della Redazione di rfnode.net