Immagina questa scena: sei tranquillo a casa, il telefono squilla… anzi no, non squilla più. Da qualche ora niente rete, niente tacche, niente “4G” in alto a destra. Pensi sia un problema temporaneo del tuo operatore. Nel frattempo, però, qualcuno da un’altra parte del mondo (o magari dietro l’angolo di casa tua) sta usando il tuo numero di telefono per resettare le password di WhatsApp, entrare nella tua home banking e svuotarti il conto. Benvenuto nel mondo del SIM swapping, una truffa che fa meno rumore del ransomware ma che può rovinarti la giornata (e il conto corrente) in modo spaventosamente efficace.
Ma cos’è esattamente il SIM swapping?
Il nome fa un po’ paura ma il concetto è semplice: un truffatore convince il tuo operatore telefonico a trasferire il tuo numero su una SIM che ha in mano lui. Non serve rubarti fisicamente il telefono: basta ingannare il servizio clienti, o corrompere un dipendente compiacente, o sfruttare falle nei sistemi di verifica dell’identità.
Una volta che il numero è “migrato” sulla SIM del truffatore, il tuo telefono smette di funzionare (niente rete, come dicevamo) e tutti gli SMS e le chiamate destinati a te arrivano a lui. Compresi, purtroppo, i codici OTP che usi per l’autenticazione a due fattori. Game over.
Perché il numero di telefono è così prezioso
Ci siamo abituati a pensare che il numero di telefono sia una cosa “pubblica”, quasi banale: lo diamo al ristorante per la prenotazione, lo mettiamo sui social, lo scriviamo ovunque. Ma nella pratica quotidiana è diventato una specie di chiave universale:
- Serve per ricevere i codici SMS dell’autenticazione a due fattori
- Serve per recuperare la password di email, social, app bancarie
- Spesso è collegato direttamente al conto corrente o al wallet di criptovalute
Insomma, chi controlla il tuo numero ha in mano una specie di passe-partout digitale. Ed è proprio per questo che negli ultimi anni il SIM swapping è diventato uno strumento preferito dai criminali per colpire soprattutto chi possiede criptovalute o grosse somme online.
Come fanno a convincere l’operatore?
Qui entra in gioco un mix di ingegneria sociale e informazioni personali raccolte in giro (magari proprio dai social, dove pubblichiamo data di nascita, città, nome della mamma da nubile senza pensarci troppo). Il truffatore chiama il call center fingendosi te, racconta una storia plausibile (“ho perso il telefono”, “mi hanno rubato la SIM”) e con qualche dato giusto riesce a farsi autorizzare il trasferimento del numero.
In alcuni casi, purtroppo, c’è anche la complicità di dipendenti infedeli che vengono pagati per effettuare lo swap senza troppe verifiche. Non è fantascienza: negli Stati Uniti ci sono stati casi eclatanti con perdite di milioni di dollari, e anche in Italia il fenomeno si sta facendo sentire, soprattutto tra chi maneggia criptovalute.
I segnali a cui fare attenzione
Il bello (si fa per dire) è che ci sono dei campanelli d’allarme abbastanza chiari, se sai cosa guardare:
- Il telefono perde improvvisamente la rete senza motivo apparente
- Ricevi un SMS o una mail dal tuo operatore che conferma una richiesta di cambio SIM che non hai fatto tu
- Non riesci più ad accedere a email o social e ricevi notifiche di reset password che non hai richiesto
Se ti capita anche solo uno di questi segnali, muoviti subito: chiama l’operatore da un altro telefono e blocca tutto.
Come proteggersi (senza diventare paranoici)
La buona notizia è che ci sono accorgimenti semplici che riducono drasticamente il rischio:
- Metti un PIN o una password aggiuntiva sul tuo account con l’operatore telefonico, se il servizio lo prevede. È una protezione in più contro chi prova a farsi passare per te al telefono.
- Abbandona l’SMS come metodo di autenticazione a due fattori quando possibile, e passa ad app di autenticazione (come Google Authenticator o Authy) o a chiavi fisiche di sicurezza. In questo modo, anche se ti rubano il numero, non ti rubano i codici di accesso.
- Riduci le informazioni personali pubbliche sui social: data di nascita, città natale, nome dei familiari sono tutte informazioni che un truffatore può usare per superare le domande di sicurezza.
- Attiva le notifiche di sicurezza su email e app bancarie, così se qualcuno prova ad accedere lo scopri subito.
- Se sei una persona particolarmente esposta (magari possiedi criptovalute o gestisci account con grandi somme), valuta di usare un numero di telefono dedicato, separato da quello che usi per la vita di tutti i giorni, solo per l’autenticazione.
Se ti è già successo
Niente panico, ma bisogna agire in fretta. Contatta subito l’operatore telefonico per bloccare la SIM fraudolenta, cambia immediatamente le password degli account più importanti (email prima di tutto, perché è la chiave di tutte le altre), e attiva l’autenticazione a due fattori tramite app appena riesci a rientrare negli account. Se ci sono stati movimenti di denaro sospetti, contatta anche la banca e valuta di sporgere denuncia.
Il numero di telefono ci sembra una cosa banale, quasi scontata, ma nel mondo digitale di oggi è diventato uno degli “asset” più preziosi che abbiamo. Trattarlo con più attenzione — magari togliendolo dal ruolo di unico guardiano dei nostri account — è uno di quei piccoli gesti che possono fare una grande differenza il giorno in cui qualcuno prova a fregarci.