Il primo segnale è banale: il telefono smette di prendere campo e mostra "nessun servizio". Pensi a un guasto della rete. In realtà il tuo numero è appena stato trasferito su una SIM in mano a qualcun altro, che da quel momento riceve i tuoi SMS. Compresi i codici della banca.
Come funziona
Chi attacca chiede al tuo operatore la sostituzione della SIM o la portabilità del numero, spacciandosi per te. Per farlo servono i tuoi dati anagrafici e un documento: entrambi facilmente reperibili da vecchie violazioni o dai social.
Se la richiesta passa, il tuo numero viene attivato sulla loro scheda e la tua smette di funzionare. Da quel momento:
- Ricevono i codici OTP di banche e servizi.
- Possono usare il recupero password via SMS di email e social.
- Possono superare le verifiche telefoniche di molti servizi.
L'attacco è preceduto da una fase di raccolta: spesso hanno già la tua password bancaria, ottenuta con un phishing settimane prima. Il SIM swap serve a superare l'ultimo ostacolo.
Perché l'SMS non è più una buona protezione
La verifica via SMS è nata quando il numero di telefono era considerato saldamente legato alla persona. Oggi non lo è: si sposta con una procedura commerciale che può essere ingannata. Per questo le linee guida internazionali sconsigliano l'SMS come secondo fattore quando esistono alternative.
Meglio dell'SMS, in ordine:
- Chiave fisica di sicurezza (FIDO2/passkey su dispositivo hardware).
- App di autenticazione (Google Authenticator, Aegis, Authy) o l'app della banca con approvazione sul dispositivo.
- SMS, solo quando non c'è altro.
I segnali da non ignorare
- Il telefono perde il servizio senza motivo e riavviarlo non risolve.
- Ricevi una comunicazione dell'operatore su una richiesta di sostituzione SIM o portabilità che non hai fatto.
- Un familiare ti dice che il tuo numero risulta irraggiungibile mentre il telefono per te sembra acceso.
- Arrivano email di reimpostazione password per servizi che non hai toccato.
Se il telefono perde il servizio e attorno a te gli altri hanno campo, non aspettare: chiama l'operatore da un altro telefono.
Cosa fare nell'immediato
- Chiama l'operatore da un altro apparecchio e chiedi il blocco della SIM appena attivata e il ripristino del numero.
- Chiama la banca e fai bloccare conto e carte: è la finestra in cui stanno operando.
- Cambia le password di email, banca e servizi principali, da un dispositivo diverso.
- Sostituisci l'SMS con un'app come secondo fattore ovunque sia possibile.
- Sporgi denuncia e chiedi all'operatore copia della documentazione con cui è stata richiesta la sostituzione: serve nella pratica di rimborso.
Le protezioni da attivare prima
- PIN o password aggiuntiva sull'account dell'operatore: quasi tutti offrono un blocco della portabilità o un codice di sicurezza da fornire per qualunque modifica. Chiedilo esplicitamente, spesso non è attivo di default.
- Togli il numero come metodo di recupero dove puoi, sostituendolo con email sicura o codici di backup.
- Attiva il PIN della SIM: non ferma il SIM swap ma protegge in caso di furto del telefono.
- Riduci quello che pubblichi: data di nascita, indirizzo, nome della madre sono i dati con cui si superano le verifiche telefoniche.
- Salva i codici di backup dei servizi importanti in un password manager: se perdi il numero, sono la via di rientro.
Un caso frequente in azienda
Le utenze aziendali sono più esposte perché intestate alla società: chi chiama fingendosi un dipendente ha un compito più facile. Se in azienda ci sono numeri usati per l'accesso a servizi bancari, chiedi al gestore telefonico di attivare le procedure rafforzate e limita il numero di persone autorizzate a modificare le linee.
Conclusione
Il SIM swap non attacca il telefono, attacca la procedura commerciale dell'operatore. La difesa più efficace è togliere valore al numero: se i tuoi codici arrivano da un'app e non via SMS, chi ruba il numero non ottiene granché. Se vuoi rivedere come sono protetti gli accessi aziendali e sostituire gli SMS con metodi più solidi, possiamo occuparcene insieme.