SIM swapping: cosa occorre sapere per essere protetti

Il tuo numero di telefono è più potente di quanto pensi: è la chiave per recuperare l’accesso al tuo conto bancario, alla tua e-mail, al tuo portafoglio crypto e ai tuoi feed social. Ma questa comodità ha un lato negativo, in quanto i criminali possono rubare il tuo numero senza nemmeno toccare il tuo telefono e poi saccheggiare i conti che utilizzano codici SMS per l’accesso o il recupero. Possono reimpostare le tue password, accedere ai tuoi conti e impedirti di accedere alla tua stessa identità.

Questa tattica, chiamata SIM swapping, è costata agli americani quasi 49 milioni di dollari solo nel 2023. Recentemente è stato anche rivelato che una delle più grandi rapine di criptovalute della storia è stata effettuata utilizzando il SIM swapping: 400 milioni di dollari di asset sono stati rubati dall’exchange di criptovalute FTX.

Questa guida spiega che cos’è il SIM swapping, come funziona, come individuarne i segnali d’allarme e soprattutto come fermarlo. Che tu abbia già a che fare con attività sospette o che stia semplicemente cercando di stare al sicuro, qui troverai consigli chiari e pratici su cui basarti.

Che cos’è una scheda SIM e come funziona?

Una Sim (Subscriber Identity Module) è un chip delle dimensioni di un’unghia che comunica alla rete chi sei, attraverso:

1. Identità e posizione: la SIM memorizza l’dentità internazionale dell’abbonato mobile (IMSI) e un identificativo della scheda a circuito integrato (ICCID). L’IMSI identifica l’abbonamento alla rete, mentre l’ICCID e l’ID univoco della scheda SIM. Insieme, questi identificatori consentono alla rete mobile di autenticare e gestire la connessione.
2. Chiavi di sicurezza: la SIM contiene chiavi crittografiche utilizzate per autenticare il tuo dispositivo con la rete mobile prima dell’avvio di una chiamata, di un SMS o di una sessione dati. Queste chiavi funzionano come un segreto condiviso tra la tua SIM e la rete, utilizzato per dimostrare la tua identità in modo sicuro. Questo "scambio di password” avviene dietro le quinte ogni volta che il tuo telefono interagisce con la rete per garantire che solo i dispositivi autorizzati possano accedere ai servizi mobili.

Senza un profilo SIM valido, la rete non instraderà chiamate, messaggi di testo o dati. Quando si sposta la scheda SIM su un telefono nuovo, la propria identità viene trasferita con essa. Con le eSIM, il proprio numero può essere trasferito digitalmente tramite il proprio operatore a un nuovo dispositivo senza bisogno di una scheda SIM fisica. Questo trasferimento così facile è ciò che rende lo scambio di SIM così dirompente.

Che cos’è il SIM swapping?

Il SIM swapping, talvolta chiamato SIM swap, SIM jacking, o SIM porting, avviene quando un malintenzionato inganna o corrompe un operatore telefonico affinché trasferisca il tuo numero di telefono su una scheda SIM da lui controllata.

Una volta effettuato il trasferimento, tutte le chiamate vocali e i codici SMS a te destinati vengono reindirizzati al suo telefono. Con questi codici monouso, il truffatore può reimpostare le password, svuotare i portafogli o acquistare criptovalute a tuo nome.

Non ci vuole molto per diventare un bersaglio. I numeri di telefono sono collegati a più account di quanto la maggior parte delle persone creda. Se un truffatore ottiene l’accesso, non sta solo dirottando il tuo numero: sta rubando la tua identità digitale. Analizziamo la situazione.

Come funziona il SIM swapping?

Gli aggressori seguono solitamente una strategia in quattro fasi:

1. Data mining: raccolgono informazioni dai post pubblici sui social media, inviano e-mail di phishing o utilizzano le informazioni divulgate in seguito a violazioni dei dati per ottenere la tua data di nascita, il tuo indirizzo e le risposte alle domande di sicurezza più comuni;
2. Contatto con l’operatore: Utilizzando questi dati, si fingono te in una chat online o in un call center e affermano: "Mi hanno rubato il telefono, ho bisogno di una SIM sostitutiva”. Per riuscire ad ingannare l’operatore in questa fase, è spesso necessario aggirare le procedure di verifica dell’identità. Esse spesso variano da paese a paese, soprattutto a seconda di quanto siano severe le leggi locali in merito alla registrazione delle schede SIM.
3. Trasferimento del numero: se l’operatore crede alla storia, trasferisce il tuo numero di telefono su una nuova SIM o su un nuovo profilo eSIM, interrompendo il servizio sul tuo dispositivo. A questo punto, tutte le chiamate e i tuoi messaggi saranno indirizzati al truffatore.
4. Acquisizione dell’account: se i tuoi account utilizzano l’autenticazione a due fattori (2FA) tramite SMS, gli hacker possono usare quei codici per resettare le password, svuotare i portafogli o comprare criptovalute a tuo nome.

In alcuni casi più rari, lo scambio della SIM viene effettuato da un insider: un dipendente dell’operatore viene corrotto per effettuare il cambio. Indipendentemente dal metodo, il risultato è lo stesso: la tua vita digitale passa attraverso le mani di qualcun altro.

💡Consiglio: sii proattivo. Se ti trovi negli Stati Uniti, il servizio di rimozione dei dati di ExpressVPN, parte della suite di Identity Defender, può aiutarti a limitare la quantità di informazioni personali disponibili ai broker di dati, rendendo in primo luogo più difficile per gli hacker raccogliere dettagli su di te.

Segnali che potrebbero indicare che sei una vittima di SIM swapping

Ecco una guida dettagliata per capire se sei stato vittima di uno scambio di SIM.

Improvvisamente perdi la connessione cellulare

Il segnale più immediate ed evidente l’improvvisa perdita della connessione cellulare. Nel telefono compare la scritta "nessun servizio” oppure "solo chiamate di emergenza” anche se ti trovi in un’area con una buona copertura e il piano telefonico è stato pagato. Se il riavvio del telefono non risolve il problema, potrebbe significare che il tuo numero è stato trasferito su una SIM diversa-

Non puoi inviare o ricevere messaggi ed effettuare chiamate

Se il tuo telefono ha perso il servizio cellulare, non sarai in grado di effettuare chiamate né inviare o ricevere SMS standard. Ciò vale sia che tu sia connesso o meno al Wi-Fi, in quanto chiamate e messaggi dipendono dalla tua rete mobile, che viene disattivata durante lo scambio di SIM.

Attività sospette su conti bancari o account social media

I SIM swappers agiscono rapidamente. Una volta ottenuto il tuo numero, cercano di accedere agli account che utilizzano codici di sicurezza basati su SMS. Potresti ricevere numerose e-mail di reimpostazione della password, notare nuovi accessi da dispositivi o luoghi sconosciuti oppure ricevere un avviso finanziario relativo a un trasferimento che non hai mai effettuato.

Ricevi una notifica che il tuo numero è stato registrato su un nuovo dispositivo

In alcuni paesi, gli operatori di telefonia mobile inviano ora avvisi quali "scambio di SIM in sospeso” o un SMS che conferma che il tuo numero di telefono è stato attivato su un nuovo dispositivo. Se ricevi questo tipo di notifica e non hai richiesto la modifica, il tuo numero potrebbe essere sotto attacco. Ricorda: non approvare mai una richiesta che non hai avviato.

Cosa fare se la tua SIM viene sostituita

La rapidità è la tua miglior difesa. Nel momento in cui ti accorgi di un’interruzione del servizio o un’attività insolita, segui i passaggi riportati di seguito e prendi nota man mano che procedi:

1. Chiama il tuo operatore di telefonia mobile

Usa un altro telefono per contattare l’assistenza e segnalare che sospetti uno scambio di SIM. Chiedi all’operatore di sospendere la nuova SIM e ripristinare il tuo numero su una SIM o un profilo eSIM sotto il tuo controllo. Prendi nota della data, dell’ora e del nome dell’operatore.

2. Metti al sicuro i tuoi soldi

Chiama quindi la tua banca o l’emittente della carta. Spiega lo scambio, blocca le transazioni e controlla le attività recenti mentre sei in linea con un operatore dell’assistenza. Se individui trasferimenti non autorizzati, avvia immediatamente la procedura di contestazione. Mantieni attivi gli avvisi di spesa in tempo reale in modo da non perdere di vista gli addebiti recenti.

💡Consiglio: gli utenti statunitensi possono anche usufruire del servizio di protezione dell’identità di ExpressVPN, Identity Defender con Credit Scanner, che è grado di monitorare attentamente i propri rapporti di credito per individuare eventuali nuovi conti o attività sospette.

3. Reimposta le password e passa dall’autenticazione a due fattori (2FA) basa su SMS a un’app

Inizia dal tuo account di posta elettronica principale, poi passa a quello bancario, ai social media e a qualsiasi servizio cloud. Cambia tutte le password e sostituisci i codici SMS con un’app di autenticazione come Google Authenticator, che il truffatore non può intercettare. Quando l’operatore ripristina la tua linea, riattiva l’autenticazione a due fattori utilizzando il nuovo metodo per chiudere definitivamente la falla.

4. Segnala il reato

Sporgi denuncia presso l’unità nazionale competente per i reati informatici. Comunica i numeri di riferimento alla tua banca e al tuo operatore telefonico; spesso la pratiche burocratiche ufficiali accelerano i rimborsi e le indagini interne.

5. Tieni traccia di ogni passo che fai

Annota ogni chiamata, numero di ticket e azione promessa, quindi effettua un follow-up entro 24 ore per confermare lo stato di avanzamento. Una cronologia chiara aiuta a risolvere eventuali futuri disaccordi e rafforza l’idra che state seguendo attivamente la questione.

Come prevenire lo scambio di SIM

Non collegare il tuo numero di telefono agli account online

Evita di utilizzare il tuo numero di telefono come metodo di accesso o recupero, quando possibile. Invece, utilizza un indirizzo e-mail o un’app di autenticazione per accedere e recuperare il tuo account. Ciò reduce il rischio di diventare vittima di un furto del numero di telefono. Ricorda però che anche gli account e-mail possono essere compromessi (e sono spesso bersaglio degli hacker), quindi tra le due opzioni l’app di autenticazione è la scelta più sicura.

Utilizza l’autenticazione a più fattori

Oltre ad affidarsi solo a una password, l’autenticazione a più fattori (MFA) aggiunge ulteriori livelli di sicurezza ai tuoi account:

• App di autenticazione: queste generano codici sul tuo dispositivo, non tramite messaggi di testo, rendendoli immuni agli attacchi di SIM swap. Ciò significa che se anche qualcuno ottiene il controllo del tuo numero, non può accedere ai tuoi codici 2FA. App come Google Authenticator, Authy, o Microsoft Authenticator sono ottime opzioni.
• Biometria: molti dispositive e app offrono ora l’autenticazione biometrica tramite impronta digitale o riconoscimento facciale. Esso aggiunge un solido livello di sicurezza a livello di dispositivo, impedendo l’accesso a determinate app o azioni anche se qualcuno ottiene il tuo numero di telefono.
• Chiavi di sicurezza fisiche: i token fisici come YubiKeys offrono un metodo di autenticazione altamente sicuro. Spesso richiedono un’interazione fisica e utilizzano chiavi crittografiche, rendendoli molto difficili da compromettere. Sono particolarmente utili per proteggere gli account di posta elettronica e quelli finanziari.

Chiedi al tuo operatore un PIN o un blocco per il tuo account

La maggior parte degli operatori consente di impostare un PIN specifico per l’account o una domanda di sicurezza. Ciò rende più difficile per gli hacker impersonarti.

Alcuni offrono anche funzioni di blocco del numero o dell’account, che aggiungono un ulteriore passaggio di verifica prima che il tuo numero possa essere trasferito su un’altra SIM.

Altri forniscono una verifica tramite richiamata, in cui chiamano il numero registrato per poter confermare eventuali modifiche all’account. Se abilitato, questo passaggio aggiuntivo potrebbe impedire un cambio di SIM in corso.

Imposta avvisi sui tuoi account

Molte banche e servizi online consentono di attivare avvisi per tentativi di accesso, modifiche della password o prelievi. Questi possono fornire un preavviso in caso di anomalie.

Controlla regolarmente i tuoi account più sensibili

Controlla le impostazioni di sicurezza dei tuoi account finanziari, e-mail e social media. Cerca segnali di accessi non autorizzati, aggiorna i tuoi metodi di recupero e verifica quali account utilizzano il tuo numero di telefono per l’accesso o per il recupero.

Segui le regole fondamentali della sicurezza online

Infine, adottare abitudini online intelligenti può aiutarti a bloccare la maggior parte dei tentativi di cambio di SIM prima ancora che abbiano inizio.

• Fermati prima di cliccare: ignora i link e gli allegati nei messaggi inaspettati, anche se sembrano familiari. In questo modo impedirai agli hacker di rubare le informazioni personali che utilizzano per impersonarti in una richiesta di scambio;
• Non divulgare dettagli riservati: non pubblicare né condividere il tuo numero di telefono, indirizzo o numeri di documenti d’identità su siti pubblici. Meno informazioni vengono divulgate, meno possibilità hanno i truffatori di superare i controlli di sicurezza degli operatori;
• Verifica ogni chiamante: se qualcuno afferma di chiamare per conto del tuo operatore telefonico, riattacca e chiama il numero di assistenza ufficiale del tuo operatore. Richiamare un numero verificato impedisce agli ingegneri sociali di dirottare il tuo servizio in tempo reale;
• Non fornire mai le credenziali dell’account: il tuo operatore non ti chiederà mai passowrd, PIN o dati bancari per telefono, e-mail o SMS. Proteggendo questi codici impedisci agli hacker di accedere ai dati necessari per trasferire il tuo numero;
• Utilizza password uniche ovunque: utilizzando login distinti per ogni servizio online, compreso il tuo account dell’operatore telefonico, limiti notevolmente i danni causati da una violazione dei dati. Se un sito viene compromesso, i criminali non avranno automaticamente accesso agli altri tuoi account sensibili. Un gestore di password come ExpressVPN Keys ti aiuta a creare e memorizzare password complesse senza utilizzarle.
• Evita il riempimento automatico nell’app: non usare le funzioni di compilazione automatica integrate nei browser e nelle app, che possono essere meno sicure rispetto all’uso di un gestore di password dedicato. Se il tuo telefono viene smarrito o compromesso da malware, i dati salvati per la compilazione automatica possono fornire agli hacker l’accesso su un piatto d’argento.

Esempi reali di truffe tramite scambio di SIM (e cosa c’è davvero in gioco)

Lo scambio di SIM non è solo un problema tecnico, ma anche personale. Per molte vittime, tutto inizia con un piccolo inconveniente che poi si trasforma in un furto di denaro, un danno alla reputazione e anni di recupero.

Prendiamo il caso di Jack Dorsey, ex CEO di Twitter. Nel 2019, alcuni hacker hanno utilizzato lo scambio di SIM per prendere il controllo del suo numero di telefono. In pochi minuti, hanno utilizzato un servizio di invio di SMS per pubblicare Tweet offensivi dal suo account. La violazione non è durata a lungo, ma ha fatto notizia a livello mondiale e ha messo in luce quanto possano essere vulnerabili anche i leader del settore tecnologico.

Oppure prendiamo in considerazione Micheal Terpin, un investitore in criptovalute che ha perso più di 20 milioni di dollari dopo che il suo numero di telefono è stato violato. L’hacker ha aggirato le protezioni dell’account, ha ottenuto l’accesso al suo portafoglio digitale e lo ha svuotato. Terpin ha successivamente citato in giudizio il suo operatore di telefonia mobile, sostenendo che i controlli interni insufficienti avevano permesso il furto.

Questi non sono casi isolate. Il SIM swapping è stato collegato ad attacchi diffusi che hanno colpito persone si ogni tipo, dalle celebrità di alto profilo agli utenti comuni.

Ecco che cosa gli hacker possono fare:

• Furto d’identità: una volta che qualcuno ha il controllo del tuo numero, può impersonarti online, impossessarsi della tua e-mail, accedere al tuo conto bancario e reimpostare la password. Può anche utilizzare i dati personali dei tuoi account per richiedere prestiti o linee di credito a tuo nome;
• Danno finanziario: un numero rubato può portare al prosciugamento di conti bancari, ad acquisti non autorizzati con carta di credito e persino al furto di criptovalute. Se I tuoi conti finanziari si basano sull’autenticazione a due fattori tramite SMS, uno scambio di SIM fornisce ai truffatori esattamente ciò di cui hanno bisogno;
• Violazione della privacy: uno scambio di SIM ben riuscito può esporre i tuoi messaggi di testo, le foto salvate su app di messaggistica collegate al cloud e la tua rubrica. L’hacker potrebbe utilizzare il tuo numero per inviare messaggi ai tuoi amici, richiedere codici di accesso o curiosare nelle tue conversazioni personali a tua insaputa;
• Danno alla reputazione: qualcuno che utilizza il tuo numero potrebbe pubblicare post sui tuoi social medica, spacciarsi per te nei messaggi o truffare i tuoi contatti. A seconda della situazione, ciò potrebbe danneggiare le tue relazioni o influire sulla tua carriera.

Considerazioni finali: anticipare le truffe sui dispositivi mobili

Il furto di un numero di telefono non è solo un fastidio ma anche una minaccia alla tua vita digitale. Dal conto bancario alla posta elettronica e account social media, il tuo numero può sbloccare quasi tutto. Ecco perché proteggersi è fondamentale.

Utilizza app di autenticazione, imposta PIN per gli account, evita di utilizzare il tuo numero di telefono per effettuare il login e presta attenzione alle attività sospette. La prevenzione richiede pochi minuti. Il recupero da un furto d’identità può richiedere anni.

Sebbene una VPN non impedisca lo scambio di SIM, rimane comunque un modo intelligente per proteggere la tua attività online, specialmente sulle reti Wi-Fi pubbliche. ExpressVPN crittografa il tuo traffico, aggiungendo un solido livello di privacy affinché i tuoi dati rimangano al sicuro mentre sei connesso.