Attacco SIM swap: cos'è e come proteggersi

Un attacco SIM swap (chiamato anche SIM hijacking) si verifica quando il tuo numero di telefono viene trasferito su una SIM card in mano a un truffatore, senza che tu lo sappia. Una volta che il numero cambia mani, chiamate e messaggi inviati a quel numero non arrivano più al tuo telefono: vanno al dispositivo dell'aggressore. In questo articolo spieghiamo come funziona l'attacco, come riconoscerlo e, soprattutto, come proteggerti.

Cos'è esattamente uno SIM swap?

La tua SIM card è l'identità del tuo telefono sulla rete dell'operatore. Il tuo numero non è legato alla scheda di plastica in sé, ma a un record nei sistemi dell'operatore. Sostituire una scheda persa o danneggiata è una richiesta del tutto legittima e comune. Uno SIM swap è l'abuso di quel processo: il truffatore cerca di convincere l'operatore a trasferire il tuo numero su una scheda da lui controllata, di solito fingendosi te e usando dati personali raccolti altrove.

Il bersaglio non è il tuo telefono, ma gli account collegati al tuo numero. Quindi puoi essere vittima anche se il dispositivo è nelle tue mani, lo schermo è intatto e nessuno conosce le tue password.

Perché gli attaccanti vogliono il tuo numero?

Molti servizi inviano un codice SMS durante l'accesso e nei flussi di "password dimenticata". Chi controlla il numero può vedere quei codici, il che mette a rischio email, social network, conti bancari e altri account di valore.

C'è una distinzione importante. Il punto debole non è tanto la tecnologia degli SMS quanto l'idea che "chi possiede il numero sia il proprietario". Se il numero cambia mani, cambiano mani anche tutti i controlli costruiti su quel numero. Da qui nasce il principio fondamentale della protezione: non legare la sicurezza dei tuoi account più importanti al solo numero di telefono.

Quali sono i segnali di uno SIM swap?

Nessun segnale singolo è una prova, ma prendilo sul serio quando ne compaiono diversi insieme:

• Il telefono mostra improvvisamente "nessun servizio" o "solo chiamate di emergenza" e un riavvio non risolve.
• Chiamate e messaggi si interrompono del tutto mentre gli altri telefoni intorno a te funzionano normalmente.
• Ricevi un'inattesa notifica di "cambio SIM", "trasferimento del numero" o "nuova scheda" dal tuo operatore.
• Arrivano email di reimpostazione della password o avvisi di accesso da nuovi dispositivi che non hai avviato tu.
• App bancarie o di portafoglio digitale inviano notifiche che non riesci a spiegare.

Tieni presente che la perdita di segnale è più spesso un normale problema di rete. Mantieni la calma, ma non aspettare: usa un altro dispositivo per chiamare il tuo operatore e verificare cosa sta succedendo.

Protezioni lato operatore

Le opzioni cambiano da un operatore all'altro, quindi considera quanto segue come una lista di controllo:

1. Proteggi il tuo account presso l'operatore e la relativa app con una password forte e unica, e attiva la verifica in due passaggi se è offerta.
2. Chiedi se puoi aggiungere una password o un PIN aggiuntivo richiesto per qualsiasi cambio SIM sulla tua linea.
3. Tieni attive le notifiche dell'operatore (SMS, email, app) così noterai subito un tentativo di trasferimento.
4. Mantieni aggiornati i tuoi dati di contatto, come l'email e un numero di telefono alternativo.
5. Imposta un PIN sulla SIM che si trova nel tuo telefono. Aggiunge un ulteriore livello se il telefono viene perso o rubato.

Non dare mai la tua data di nascita, il numero di documento o il cognome da nubile di tua madre a chi ti chiama. Se chi chiama dice di lavorare per il tuo operatore, riattacca e richiama usando il numero ufficiale del servizio clienti.

Protezioni lato account

La vera resistenza si costruisce nelle impostazioni dei tuoi account:

• Un metodo più forte degli SMS: sugli account critici usa un'app di autenticazione o una chiave di sicurezza/passkey. Questi non dipendono dal tuo numero di telefono.
• Rendi la tua email una fortezza: gran parte del recupero degli account passa dall'email. Dalle una password unica e una verifica forte.
• Controlla le opzioni di recupero: se un servizio si affida solo al tuo numero di telefono per il recupero, aggiungi un metodo alternativo o, quando possibile, rimuovi il numero come percorso di recupero.
• Conserva i codici di backup: tieni offline i codici di backup forniti dai servizi, in un luogo sicuro.
• Attiva gli avvisi della banca: usa le notifiche sulle transazioni e, dove disponibili, i limiti di spesa.

Vale anche la pena controllare ogni tanto quale account è collegato a quale numero. Gli account vecchi che non usi più sono anelli della stessa catena.

Non consegnare il tuo numero reale a tutti

Un modo indiretto per ridurre il rischio di SIM swap è ridurre il numero di luoghi che conservano il tuo numero principale. Ogni modulo di registrazione lo aggiunge a un'altra banca dati, ampliando la superficie per spam e attacchi mirati. Ne abbiamo parlato in dettaglio in perché non dovresti dare il tuo numero di telefono ovunque.

Una suddivisione pratica funziona bene: tieni il tuo numero principale per la banca, l'email e gli account che contano davvero. Per situazioni a basso rischio, come prove veloci, test o un secondo account, puoi usare un numero virtuale monouso. Puoi consultare paesi e servizi disponibili nella pagina prezzi.

Ad essere onesti: i numeri virtuali sono monouso e non danno una proprietà permanente. Questo li rende inadatti alla verifica in due passaggi via SMS per un account a cui tieni. Dopo aver configurato un account, aggiungi un'app di autenticazione e un'email di recupero. Alcune piattaforme possono limitare i numeri virtuali, quindi rispetta i termini del servizio che usi.

Cosa fare se sospetti uno SIM swap

La rapidità conta. Segui quest'ordine:

1. Chiama il tuo operatore da un altro telefono, chiedi se è stato effettuato un cambio SIM e fai proteggere la linea.
2. Da un dispositivo sicuro, cambia prima la password dell'email, poi quella degli account critici come banca e social network.
3. Chiama la tua banca e chiedi di proteggere temporaneamente carte e conti.
4. Esci da tutte le sessioni e ricontrolla i metodi di verifica in due passaggi.
5. Segnala l'episodio alle autorità competenti e al tuo operatore per iscritto, e conserva gli screenshot di avvisi e notifiche.

Domande frequenti

Uno SIM swap è la stessa cosa del clonaggio della SIM?

No. Nello SIM swap il numero viene spostato su un'altra scheda tramite i registri dell'operatore. Il clonaggio significa copiare la scheda stessa ed è molto meno comune oggi. La logica di protezione è simile: non affidarti solo alla verifica basata sul numero.

Un'app di autenticazione protegge dallo SIM swap?

I codici di autenticazione sono legati all'app sul tuo dispositivo, non al tuo numero di telefono, quindi non viaggiano verso un aggressore anche se il numero viene preso. Conserva comunque al sicuro i codici di backup e proteggi il percorso di recupero dell'account.

Se il mio telefono non ha segnale, è uno SIM swap?

Nella maggior parte dei casi no. Interruzioni di rete, problemi con la scheda o copertura scarsa sono molto più comuni. Ma se la perdita di segnale coincide con avvisi di account che non riconosci, contatta subito il tuo operatore.

Un numero virtuale elimina il rischio di SIM swap?

Non da solo. Ti aiuta a non condividere inutilmente il tuo numero principale, ma la vera protezione è usare metodi diversi dagli SMS sugli account di valore. Per maggiori informazioni, consulta la nostra pagina delle domande frequenti.