Indice dei contenuti
- SIM swapping cos’è: un furto d’identità digitale
- Come fanno i criminali a prendere una SIM con il nostro numero
- La fase finale dell’attacco: frode al call center
- Dopo il furto della SIM: accesso totale alla vita digitale
- Attacco di SIM swapping: perché è così pericoloso
- Come difendersi da un attacco di SIM swapping
- SIM swapping: tornato di moda grazie alle criptovalute
- I sintomi che dovrebbero metterci in allarme
Negli ultimi anni, con la crescente digitalizzazione delle nostre vite, è aumentato anche il numero di minacce informatiche sempre più sofisticate e subdole.
Tra queste, una delle più insidiose è l’attacco di SIM swapping, noto anche come SIM swap o clonazione SIM. Si tratta di una tecnica fraudolenta che permette a un criminale informatico di clonare il numero di telefono di una vittima e ottenere così accesso a una vasta gamma di servizi personali e bancari.
Questo articolo analizza a fondo cos’è il SIM swapping, come avviene, perché è tanto pericoloso e soprattutto quali sono i segnali da riconoscere e i metodi più efficaci per difendersi.
SIM swapping cos’è: un furto d’identità digitale
Per capire quanto sia pericoloso il fenomeno del SIM swapping, è fondamentale partire dalla sua definizione. Ma SIM swap cos’è esattamente?
Il termine SIM swapping (o anche SIM swap, simswap) si riferisce a una tecnica di attacco informatico che consente a un malintenzionato di prendere il controllo di una SIM telefonica associata a un determinato numero.
In pratica, il truffatore convince il gestore telefonico a trasferire il numero di telefono della vittima su una nuova SIM in suo possesso. Una volta completato questo passaggio, l’attaccante può ricevere chiamate, SMS e soprattutto i codici OTP (One-Time Password) inviati tramite SMS per l’accesso a conti bancari, email, social network e servizi crittografici.
Non si tratta di una vera e propria clonazione SIM tecnica, ma di una migrazione autorizzata fraudolentemente del numero verso una nuova scheda: un vero furto d’identità, digitale e telefonica.
Come fanno i criminali a prendere una SIM con il nostro numero
Il primo passo per realizzare un attacco di SIM swapping è il furto di dati personali. Questo è il fondamento dell’intera truffa: senza informazioni sufficienti sull’identità della vittima, il criminale non ha alcuna possibilità di convincere un operatore telefonico a trasferire il numero.
Vediamo nel dettaglio i principali metodi con cui gli attaccanti raccolgono i dati necessari, con esempi concreti per ciascun caso.
Phishing mirato e generalizzato
Una delle tecniche più comuni è il phishing, ovvero l’invio di messaggi contraffatti che imitano comunicazioni ufficiali (di banche, servizi postali, fornitori telefonici, ecc.) per spingere l’utente a inserire dati sensibili su un sito trappola.
Esempio pratico
Ricevi un SMS apparentemente da Poste Italiane con scritto: “La tua SIM è bloccata. Visita questo link per verificare la tua identità”. Il sito, graficamente identico a quello ufficiale, ti chiede di inserire nome, cognome, codice fiscale, numero di telefono, numero della SIM, e magari anche una scansione del documento. In pochi minuti, il truffatore ha tutti gli elementi necessari per procedere con la clonazione della SIM.
Data breach e mercato nero dei dati
Ogni anno milioni di dati personali finiscono nel dark web a seguito di data breach, ovvero violazioni di sistemi informatici aziendali. Gli hacker possono acquistare interi database contenenti numeri di telefono, email, date di nascita e documenti di identità.
Esempio pratico
Un attaccante acquista un archivio proveniente da un portale e-commerce compromesso. All’interno trova i dati di Maria Rossi: email, numero di telefono, indirizzo, codice fiscale e password. Con queste informazioni, può chiamare il servizio clienti dell’operatore telefonico e simulare perfettamente una richiesta legittima di sostituzione SIM.
Social engineering e OSINT
L’ingegneria sociale (social engineering) è la capacità di manipolare gli esseri umani per ottenere informazioni. A volte, un profilo social pubblico può essere una miniera d’oro per un truffatore.
Esempio pratico:
Giovanni pubblica regolarmente su Facebook e LinkedIn. Dal suo profilo si può scoprire:
- Dove lavora (azienda + posizione)
- Dove vive
- La data del compleanno
- I nomi dei figli o del partner
Con pochi click, un attaccante può costruire un profilo falso credibile, telefonare al servizio clienti fingendosi Giovanni e rispondere alle domande di sicurezza con le informazioni ricavate online.
Da qui a ottenere una nuova SIM con il numero di Giovanni il passo è breve.
La fase finale dell’attacco: frode al call center
Raccolti i dati, il criminale passa all’azione. Contatta il call center del provider telefonico e simula un problema con la SIM originale. Di solito afferma di averla:
- Persa o rubata
- Danneggiata e quindi inutilizzabile
- Bloccata dopo un presunto tentativo di furto
Con tono agitato o autoritario (a seconda del profilo creato), richiede la riemissione urgente della SIM. Se l’operatore non è adeguatamente formato o se mancano misure di verifica avanzate, la procedura va a buon fine. A volte il criminale presenta anche documenti falsi, scannerizzati o manipolati digitalmente.
Esempio pratico reale: il caso di Michael Terpin
Nel 2018, Michael Terpin, un investitore in criptovalute, fu vittima di un sofisticato attacco di SIM swapping. Gli hacker riuscirono a convincere il suo operatore a rilasciare una nuova SIM senza il suo consenso.
In meno di 24 ore, persero il controllo di wallet contenenti oltre 24 milioni di dollari in criptovalute. Terpin fece causa al suo provider (AT&T), sostenendo che non aveva adottato misure di sicurezza adeguate.
Dopo il furto della SIM: accesso totale alla vita digitale
Una volta che il numero è stato clonato e trasferito su una nuova SIM, il criminale può:
- Ricevere OTP via SMS per accedere a conti bancari
- Recuperare password tramite il numero di telefono
- Accedere a wallet crypto con 2FA attiva
- Impersonare la vittima sui social
- Bloccare l’accesso della vittima agli account
La maggior parte delle persone si rende conto troppo tardi dell’accaduto, quando non riesce più ad accedere ai propri servizi, nota transazioni anomale o perde il segnale di rete sul proprio smartphone.
Questo processo dimostra quanto sia semplice per un cybercriminale, con una buona preparazione e le informazioni giuste, clonare un numero di telefono e ottenere una SIM attiva a nome della vittima.
Ed è proprio questa facilità il motivo per cui l’attacco SIM swapping è oggi considerato uno dei più pericolosi in assoluto.
Attacco di SIM swapping: perché è così pericoloso
Un attacco di SIM swap non è solo un fastidioso disguido: può trasformarsi in un vero disastro finanziario e personale. Il motivo? Oggi il nostro numero di telefono è la chiave d’accesso digitale per moltissimi servizi.
L’autenticazione a due fattori (2FA), ritenuta per anni un valido metodo di protezione, è spesso basata sull’invio di codici via SMS. Ecco alcuni scenari in cui l’attacco SIM swapping diventa devastante:
- Accesso a conti bancari online
- Recupero di password tramite SMS
- Accesso a wallet di criptovalute
- Controllo di account social (per estorsione o truffe)
- Accesso a email, dati personali, documenti sanitari
Una volta dentro, l’attaccante può svuotare conti correnti, trasferire crypto assets, cambiare password e persino bloccare l’accesso alla vittima, che si rende conto solo troppo tardi della clonazione SIM.
Come difendersi da un attacco di SIM swapping
Difendersi da un attacco di SIM swap non è solo possibile, ma è assolutamente necessario per chiunque oggi utilizzi uno smartphone per accedere a servizi bancari, email o wallet di criptovalute.
Tuttavia, non esiste una singola barriera che possa offrire protezione totale: serve un insieme di comportamenti, strumenti e configurazioni per rendere l’attacco quanto più difficile e improbabile possibile. Vediamo come fare, con esempi concreti.
1. Evita l’autenticazione via SMS
Gli hacker sfruttano il numero di telefono principalmente per intercettare OTP (codici monouso) inviati via SMS. Questo rende debole qualsiasi sistema che si affidi agli SMS per la verifica a due fattori (2FA).
Cosa fare:
Passa a metodi più sicuri, come le app di autenticazione:
- Google Authenticator
- Microsoft Authenticator
- Authy (che offre anche backup cifrato)
Esempio pratico
Marco accede abitualmente al suo conto PayPal tramite una verifica 2FA via SMS. Dopo aver letto di attacchi simswap, decide di passare a Google Authenticator. In questo modo, anche se qualcuno dovesse rubare il suo numero, non potrebbe comunque accedere senza il codice generato sull’app.
2. Proteggi i tuoi dati personali
Le informazioni che condividiamo online sono spesso sufficienti per un attacco di clonazione SIM. Post innocenti su social network, commenti, profili pubblici… tutto può essere usato contro di noi.
Cosa fare:
- Rendi privati i tuoi profili social
- Evita di pubblicare data di nascita, numero di telefono, indirizzo
- Non inserire il tuo numero su forum o siti non affidabili
Esempio pratico
Lucia ha sempre messo il suo numero WhatsApp nella bio di Instagram per facilitare i contatti professionali. Dopo aver scoperto che un attaccante lo aveva usato per simulare una richiesta di cambio SIM, ha deciso di rimuovere il numero e utilizzare un modulo di contatto sul sito web.
3. Imposta un PIN sulla SIM
Molti operatori telefonici permettono di impostare un PIN di sicurezza per bloccare l’accesso alla SIM e impedire la sostituzione senza verifica.
Cosa fare:
- Attiva un PIN SIM tramite le impostazioni del telefono
- Imposta un codice segreto sull’account cliente del tuo operatore
Esempio pratico
Francesco utilizza Iliad, che consente di proteggere la linea con un PIN e un codice PUK. Attiva il PIN ogni volta che accende il telefono: così, anche in caso di furto fisico del dispositivo, la SIM non potrà essere usata senza il codice.
4. Blocca il cambio di SIM con il tuo operatore
Alcuni operatori permettono di aggiungere un blocco amministrativo: nessuna sostituzione SIM può essere effettuata senza presentazione di documenti fisici in negozio o senza rispondere a una serie di domande di sicurezza personalizzate.
Cosa fare:
- Contatta l’assistenza del tuo operatore e chiedi:
- Se è possibile impostare un “block SIM swap”
- Quali misure adottano per verificare l’identità nei cambi SIM
Esempio pratico
Anna chiama Vodafone e chiede di inserire un blocco per impedire la sostituzione SIM da remoto. Da quel momento, qualsiasi cambio SIM può essere fatto solo in presenza fisica con documento originale in negozio.
5. Attiva notifiche di sicurezza e accessi sospetti
Molti servizi (Gmail, Facebook, Amazon, Binance, ecc.) permettono di attivare notifiche quando:
- Viene effettuato un login da un nuovo dispositivo
- Viene cambiata la password
- Si modifica il numero di telefono
Cosa fare:
- Vai nelle impostazioni di sicurezza di ogni servizio
- Attiva notifiche via email o app push
- Associa anche un’email secondaria per emergenze
Esempio pratico
Giulio riceve una notifica da Gmail: “Accesso effettuato da un dispositivo sconosciuto in Romania”. Capisce immediatamente che qualcosa non va, cambia tutte le password e contatta Google prima che l’attaccante prenda il controllo completo del suo account.
6. Utilizza password complesse e uniche
Molti utenti usano la stessa password per più servizi. Questo è un errore gravissimo: se un attaccante ottiene l’accesso a un sito, può provarla automaticamente su tutti gli altri. In ambito cyber si chiama credential stuffing.
Cosa fare:
- Usa un password manager (es. Bitwarden, 1Password, Dashlane)
- Genera password lunghe, uniche e complesse
- Cambia regolarmente le password più critiche (email, home banking, crypto)
Esempio pratico
Roberto usava la stessa password per la sua email e per un vecchio forum hackerato anni fa. Un attaccante ha usato la tecnica del credential stuffing per accedere alla sua casella email e poi ha avviato un SIM swap riuscito. Ora Roberto utilizza Bitwarden e ogni account ha una password diversa.
7. Controlla regolarmente i tuoi account
Non aspettare che sia troppo tardi: controllare periodicamente i tuoi account ti permette di intercettare attività sospette prima che diventino irreparabili.
Cosa fare:
- Accedi agli storici di accesso (Facebook, Google, Instagram lo permettono)
- Cerca dispositivi sconosciuti
- Verifica che email e numero associati siano corretti
Esempio pratico
Serena entra ogni settimana nelle impostazioni del suo account Google. Un giorno nota un accesso da Mosca avvenuto il giorno prima. Immediatamente cambia la password, disconnette tutti i dispositivi e aggiunge 2FA con app invece che via SMS.
BONUS: Chiedi un numero separato per i servizi importanti
Un buon metodo per ridurre il rischio di attacchi SIM swap è usare due numeri:
- Uno per contatti e vita sociale
- Uno dedicato esclusivamente a servizi bancari e di autenticazione
Esempio pratico
Davide attiva una SIM secondaria solo per ricevere i codici di autenticazione dei servizi crypto e della banca. Non la comunica a nessuno e non la usa mai sui social. Anche se il suo numero principale viene clonato, gli account più importanti restano al sicuro.
SIM swapping: tornato di moda grazie alle criptovalute
Con l’esplosione delle criptovalute, l’attacco di SIM swapping ha vissuto una seconda giovinezza. I wallet crypto sono spesso protetti da autenticazione a due fattori via SMS. Inoltre, molti exchange permettono il recupero dell’account tramite numero di telefono.
Gli hacker, una volta entrati in possesso del numero della vittima, possono rubare Bitcoin, Ethereum o altri token digitali, spesso senza possibilità di recupero, visto che le transazioni sono irreversibili. Alcune delle truffe più eclatanti hanno coinvolto influencer del settore crypto, che hanno visto sparire fondi per centinaia di migliaia di euro nel giro di pochi minuti.
I sintomi che dovrebbero metterci in allarme
Rendersi conto di essere vittima di un attacco di SIM swapping può non essere immediato, soprattutto se non si è molto esperti in materia di cyber security.
Tuttavia, ci sono segnali inequivocabili che, se colti in tempo, possono permettere di bloccare l’attacco o almeno limitarne le conseguenze. Conoscere questi sintomi è essenziale, perché il tempismo può fare la differenza tra una perdita contenuta e un disastro digitale completo.
1. La SIM smette improvvisamente di funzionare
Uno dei segnali più tipici è che la tua SIM si disattiva improvvisamente, senza apparente motivo:
- Nessun segnale sullo smartphone
- Impossibilità di fare/ricevere chiamate
- Messaggi SMS non inviati
- La rete dati risulta assente o in roaming
Esempio pratico
Chiara è in casa, collegata al Wi-Fi, e non si accorge subito che il suo iPhone mostra “Nessun servizio”. Solo quando prova a inviare un SMS per ricevere un codice OTP dalla banca, si rende conto che non può più usare la rete mobile. Il suo numero è già stato trasferito su una SIM truffaldina.
2. Notifiche di accesso sospetto su email o app
Molti servizi digitali inviano email di avviso in caso di:
- Accesso da un nuovo dispositivo
- Login da una posizione geografica insolita
- Cambio di password o numero associato all’account
Esempio pratico
Stefano riceve una mail da Google: “È stato effettuato l’accesso al tuo account da un nuovo dispositivo a Bucarest.”Lui, però, è a Roma. Questo è il primo segnale di un attacco in corso: l’attaccante ha già preso il controllo della SIM e sta violando gli account legati al numero.
3. Messaggi di reset password non richiesti
Se cominci a ricevere email o notifiche di recupero password da servizi come Instagram, Gmail, Amazon, Binance o WhatsApp, senza averne fatto richiesta, devi considerarlo un campanello d’allarme fortissimo.
Esempio pratico
Federica riceve in pochi minuti cinque email da diversi servizi: “Hai richiesto il reset della password”. Lei non ha fatto nulla. Questo comportamento è tipico di un attacco SIM swap in fase di esecuzione, dove l’hacker cerca di prendere il controllo di tutti gli account della vittima.
4. Non ricevi più SMS da servizi importanti
L’interruzione nella ricezione degli SMS è uno degli indizi più chiari. Se i tuoi contatti ti confermano di averti scritto, oppure non ricevi gli OTP della banca, dei social o della posta elettronica, qualcosa non va.
Esempio pratico
Alessio sta cercando di accedere alla sua home banking. Inserisce le credenziali corrette ma non riceve l’SMS con il codice di conferma. Dopo alcuni tentativi falliti, si accorge che nessun SMS gli arriva più, nemmeno da amici o servizi pubblici. A questo punto capisce che il suo numero è stato clonato.
5. Accesso negato ai tuoi account online
Un altro segnale grave è il blocco dell’accesso agli account digitali:
- La password risulta errata (anche se l’hai salvata nel password manager)
- Il numero di telefono per il recupero è stato modificato
- Gli indirizzi email di recupero risultano cambiati
Esempio pratico
Monica prova ad accedere al suo account Coinbase ma scopre che la sua password è stata cambiata. Chiede un reset, ma l’SMS per il codice non arriva. Quando cerca di recuperare tramite email, anche quella risulta modificata. Il criminale ha già preso possesso del suo profilo e del suo wallet crypto.
Conclusione: la consapevolezza è la migliore difesa
Il SIM swapping è un attacco silenzioso, ma devastante. Colpisce il cuore della nostra identità digitale: il numero di telefono. E anche se non è possibile eliminare del tutto il rischio, aumentare la consapevolezza e adottare misure di sicurezza adeguate è il modo migliore per proteggersi.
Ricorda: non si tratta solo di tecnologia, ma di comportamento. La clonazione della SIM non avviene per caso, ma grazie a una catena di ingenuità e disattenzioni. Rompere questa catena è il primo passo verso la sicurezza.
Domande e risposte
- Sim swapping cos’è in parole semplici?
È una truffa in cui un criminale trasferisce il tuo numero di telefono su una sua SIM, rubandoti così l’identità digitale. - Come fanno i truffatori a clonare una SIM?
Usano dati personali rubati o ottenuti con l’inganno per convincere l’operatore a trasferire il numero su una nuova scheda. - Sim clonata: come scoprirlo?
Segnali evidenti sono la perdita di segnale improvvisa e l’impossibilità di ricevere chiamate o SMS. - Cosa devo fare se la mia SIM è stata clonata?
Blocca subito la SIM con l’operatore, cambia le password dei tuoi account e sporgi denuncia. - Quanto è pericoloso il SIM swap?
Molto: consente ai truffatori di accedere a conti bancari, email, social e wallet crypto. - La SIM può essere clonata senza avere i miei dati?
È molto difficile: l’attacco richiede dati personali, spesso ottenuti tramite phishing o social engineering. - Quali operatori sono più a rischio?
Tutti, se non adottano sistemi di verifica avanzati. Chiedi sempre protezioni extra al tuo gestore. - Si può evitare il sim swap?
Non al 100%, ma si può ridurre il rischio usando autenticazioni che non passano via SMS. - Il simswap è un reato?
Sì, si configura come frode informatica e furto d’identità. È perseguibile penalmente. - Chi è più a rischio di attacchi sim swapping?
Chi ha molte attività online, usa criptovalute o è un personaggio pubblico.
