⚠️ SIM SWAPPING: come gli hacker rubano i numeri di telefono

Immaginate di star vivendo una giornata normalissima. Siete al lavoro, avete il telefono in tasca, ogni tanto lo controllate perché state aspettando una risposta a un vostro messaggio. A un certo punto vi accorgete che il telefono non prende, non ha né la connessione di rete né quella internet. È un po' strano, però succede. Può essere un problema del telefono, dell'operatore, insomma è una cosa che ogni tanto capita. Provate a riavviare il telefono, ma neanche questo sembra funzionare. Comunque non ci fate troppo caso e andate avanti con la vostra giornata. La sera tornate a casa, vi collegate al Wi-Fi e provate ad aprire la vostra mail. Stranamente vi chiede di fare l'accesso e, cosa ancora più strana, vi dice che la password che usate da sempre è errata. Provate a fare il reset delle credenziali, ma il codice di verifica non vi arriva. E in effetti il vostro telefono non riceve SMS da ore. A quel punto vi viene un sospetto. Vi fate prestare il cellulare da un membro della famiglia e chiamate il vostro operatore telefonico. La persona al telefono vi dice che è normale che il vostro cellulare non prenda, è così che succede quando cambiate operatore mantenendo lo stesso numero di telefono. Solo che voi non avete mai cambiato operatore, qualcun altro l'ha fatto al vostro posto, spacciandosi per voi. Quello che voi pensavate fosse un semplice problema di rete era in realtà il momento del trasferimento del numero, che ha permesso al malintenzionato di far passare sul suo telefono tutti i codici di verifica della vostra mail, dei vostri account, magari anche del vostro home banking. Siete appena stati vittime di SIM swapping. Ciao a tutti e benvenuti in questo nuovo video in cui andremo a vedere una delle truffe forse più sottovalutate di tutte, perché meno frequente, ma non per questo meno devastante quando purtroppo colpisce qualcuno, visto che permette ai malintenzionati di intercettare tutte le vostre chiamate, gli account basati su un numero come WhatsApp e Telegram, e anche i codici di verifica che ricevete via SMS. E tutto questo senza avere neanche grandi competenze informatiche. Ma andiamo con ordine. Ormai sappiamo tutti che il nostro numero di telefono vive su quel piccolo chip che noi chiamiamo SIM. Sappiamo tutti anche che è possibile cambiare SIM e cambiare operatore senza per forza cambiare numero di telefono, sfruttando quella che viene chiamata portabilità del numero. Io posso dire che un certo numero di telefono mi identifica, che è quello che hanno tutti i miei contatti, e quindi non voglio né cambiarlo né, d'altra parte, rimanere vincolato a un operatore pur di non perdere quel numero. La portabilità del numero è un nostro diritto, in Italia è garantito dall'Agicom, l'autorità garante delle comunicazioni, ma purtroppo è anche quello che permette ai malintenzionati di impossessarsi del nostro numero e di fingersi noi. Di fatto al truffatore basta fingersi voi, attivare una nuova SIM e richiedere la portabilità del numero. Nel momento in cui il trasferimento viene completato, la vostra SIM diventa un pezzo di plastica inutilizzabile. E ora voi potreste giustamente chiedervi: ma scusa, non ci sono protezioni contro questa cosa? Non deve dimostrare di essere me per farlo, mostrare un documento, registrare un video, cose di questo tipo? In realtà sì, normalmente si deve andare di persona in negozio, devo mostrare all'operatore i documenti e se non corrispondono ovviamente non mi farà la nuova SIM. Il problema è che questa cosa è aggirabile e ci sono due pericoli in particolare a cui dobbiamo stare attenti. Il primo è il furto di carte d'identità. La scorsa estate diversi hotel in Italia sono stati colpiti da un attacco hacker che mirava proprio a mettere le mani sui dati dei clienti, approfittando del fatto che gli hotel sono obbligati per legge a raccogliere i documenti d'identità di chi pernotta. Le carte d'identità hanno un grande successo successo nel dark web, proprio perché permettono tutta una serie di attacchi che partono dal furto di identità, come il SIM swapping. Quindi sono un criminale, ho messo le mani sulla carta d'identità di un cliente di un hotel, e con un po' di fortuna anche del suo numero di telefono se lo ha lasciato per fare la prenotazione. Non posso andare in un negozio di telefonia e spacciarmi per lui, a meno che non siamo identici e quindi io non riesca a usare il suo documento per fingermi lui. Quindi che cosa faccio? Mi rivolgo a uno dei tanti servizi che permettono dicono di attivare una nuova SIM comodamente da casa. Molti di questi, penso a Iliad, ma ce ne sono anche altri, chiedono però un video di verifica in cui la persona guarda la telecamera e dice: io sono Tizio Caio e scelgo Iliad, oppure dichiaro di attivare il contratto con Vodafone, eccetera eccetera. A questo punto cosa fa il nostro cybercriminale? Cerca su internet tutte le foto e i video che riesce a trovare di quella persona, sfruttando anche i social in cui siamo direttamente noi a caricare le nostre foto foti e video come se nemmeno ci appartenessero e li usa per creare un deepfake. Nel video che ho fatto sui deepfake vi ho mostrato quanto è facile crearne uno anche gratuitamente che sia quasi indistinguibile dall'originale. A quel punto crea questo video, lo trasmette all'operatore e con un po' di fortuna il gioco è fatto. Non sempre andrà a buon fine, non sempre ci saranno sufficienti foto e video per fare un deepfake decente, non sempre l'operatore accetterà la richiesta perché magari appunto vedrà che il video è un po' strano, non gli qualcosa, ma l'importante è che qualche volta questa tecnica funzioni, e vi assicuro che qualche volta lo fa. Quindi la nostra vittima si trova con la SIM che improvvisamente smette di prendere, non ha campo, non ha internet, e ci mette un bel po' a capire di essere stata bersaglio di un attacco di SIM swapping. Intanto il malintenzionato, sempre sfruttando i dati che ha ottenuto su quella persona, come i dati di pagamento all'hotel, l'indirizzo mail, eccetera eccetera, può provare a entrare in tutti gli account che riesce. Come ormai avrete intuito, il SIM swapping non è il primo passaggio dell'attacco, anzi, è l'ultimo. D'altro canto, ha senso sbattersi per rubare il numero di telefono di una persona solo quando sono già stati rubati i suoi documenti di identità, le sue credenziali di accesso all'home banking e ad altri account con delle mail di phishing ben congegnate, perché altrimenti con il numero di telefono in sé si farebbe poco. Una volta che però si ha tutta una serie di informazioni informazioni sulla vittima, allora sì che ha senso rubarle anche il numero di telefono. Se sono riuscito a carpire le credenziali di accesso all'home banking di una persona perché le ho mandato una mail apparentemente proveniente dalla banca in cui si chiedeva di fare l'accesso cliccando su un link, e questa persona lo ha fatto, dandomi quindi le credenziali del suo account, è lì che mi serve il numero di telefono. Se ho creato un finto e-commerce clone di un vero sito web e la persona ha inserito i dati della sua carta, che quindi ora sono in mano a me, È lì che mi serve il numero di telefono, perché con un po' di fortuna la sua banca è ancora ferma all'autenticazione a più fattori basata sugli SMS. Posso quindi inserire la carta su altri siti per fare degli acquisti e inserire come conferma il codice che arriva via messaggio, perché una volta che ho rubato la SIM a una persona clonandole il numero, tutti i messaggi arrivano a me. Dicevo con un po' di fortuna perché oggi, soprattutto in Europa, svuotare un conto corrente con un SMS è molto più difficile. Si usano strumenti di autenticazione più forti, come l'inserimento dell'impronta digitale sull'app nel telefono, l'approvazione di una notifica e così via. Quindi non c'è più solo il semplice SMS, ma non per questo possiamo abbassare la guardia. Per esempio, nel 2019 Jack Dorsey, il fondatore di Twitter, è stato vittima di un attacco di SIM swapping. I malintenzionati hanno ottenuto il controllo del numero e hanno sfruttato un servizio chiamato Cloudhopper. Che permetteva di pubblicare tweet inviando degli SMS a un numero dedicato di Twitter. In pratica non hanno neanche dovuto trovare un modo per entrare nel suo account, hanno semplicemente mandato dei messaggi molto offensivi che venivano pubblicati automaticamente come tweet dal profilo di Dorsey perché provenivano dal suo numero di telefono. Twitter ha disattivato subito la funzione che permetteva di twittare usando degli SMS e l'account è stato poi ripristinato, ma il danno d'immagine è stato abbastanza grave. Anche in Italia Italia ci sono stati casi di SIM swapping. Quello sicuramente più rilevante è quello del 2018, che ha portato la Polizia Postale di Catania ad arrestare più di 40 persone che avevano costruito nel giro di qualche anno una vera e propria azienda di truffe basate sulle SIM. C'era chi si occupava di raccogliere le credenziali bancarie delle vittime, normalmente tramite comunicazioni di phishing via mail o SMS che imitavano le comunicazioni delle banche. C'era chi creava documenti di identità falsi come patenti e passaporti con i dati della vittima ma la foto di un membro del gruppo. E poi c'era chi si presentava fisicamente nei negozi degli operatori telefonici con quei documenti chiedendo la sostituzione della SIM. Una volta ottenuto il numero, accedevano all'home banking delle vittime e disponevano bonifici verso conti correnti intestati a dei prestanome, oppure ricaricavano delle carte prepagate per poterle svuotare poi con tutta calma. La Polizia Postale di Catania, come dicevo, è riuscita a a capire l'origine di queste truffe e a smantellare tutta l'operazione. Più di recente, nel 2023, anche la Polizia Postale del Lazio si è trovata ad affrontare una situazione simile. Anche qui si trattava di un gruppo che tramite SIM swapping rubava denaro alle vittime, ma era costruito ancora meglio perché avevano anche creato delle società fittizie da usare per ripulire il denaro. Il gruppo, prima che venissero arrestate 6 persone mettendo fine all'operazione, era riuscito a rubare milioni di euro alle vittime. In un caso che ha fatto storia, Storia poi, nel 2018 degli attaccanti sono riusciti a rubare per ben 2 volte il numero di telefono a Michael Terpin, uno degli imprenditori e investitori americani più famosi nel mondo delle criptovalute, arrivando a sottrargli la bellezza di 24 milioni di dollari. Ma questo caso ve lo racconto nel video della prossima settimana. Comunque, finora abbiamo parlato solo del SIM swapping, che consiste appunto nello sfruttare la portabilità del numero di telefono per spostarlo su un'altra SIM. Non è però l'unico modo in cui si può clonare il numero di telefono di qualcuno. Un'altra modalità utilizzata è la clonazione fisica della SIM, un approccio molto più tecnico e per questo meno diffuso, perché richiede chiaramente delle competenze più elevate. In quel caso l'attaccante riesce a duplicare fisicamente la vostra SIM copiando le chiavi crittografiche che la identificano sulla rete, e il risultato finale è che esistono due SIM identiche che la rete crede che siano la stessa, quindi i messaggi e le chiamate arrivano su entrambe le SIM. È un attacco più sofisticato che richiede o l'avere l'accesso fisico alla SIM o lo sfruttare delle vulnerabilità nelle reti più vecchie, quelle 2G e 3G, che sono ancora in uso in alcune zone del mondo. Con le reti moderne la clonazione è diventata molto più difficile, ma non completamente impossibile in tutti i contesti. La clonazione della SIM e il SIM swapping non vanno confusi con lo spoofing telefonico, che è tutt'altra cosa. Lo spoofing non ruba il vostro numero, ma lo imita. Il truffatore in pratica usa servizi o applicazioni che permettono di falsificare il numero che appare sul display di chi riceve la chiamata. Avete presente quando vi chiama un numero che sembra quello della vostra banca o sembra provenire dall'Italia ma in realtà non è così? Ecco, quello è spoofing. Non si richiede un accesso alla SIM o l'interazione con l'operatore per cambiare il numero perché di fatto è semplicemente un trucco. Lo scopo è ingannarci per farci credere di parlare con qualcuno di affidabile. Lo spoofing può colpire anche le mail, non solo le telefonate. Quindi a volte possiamo ricevere mail da qualcuno che conosciamo e in realtà è semplicemente un'imitazione. Anche su questo, per fortuna, ci sono tantissime protezioni tecniche che attuano direttamente i nostri provider, quindi senza che noi ce ne accorgiamo. Gmail, ad esempio, sa riconoscere il 99% delle mail che si fingono legittime e che in realtà sfruttano lo spoofing. Poi Poi anche il nostro telefono ora è più protetto grazie al fatto che l'Agcom a novembre 2025 ha introdotto degli obblighi nei confronti dei gestori di telefonia per impedire che un numero estero si spacci per un numero italiano. Molti clienti mi dicono: eh, prima le chiamate di spam erano tutte dall'Italia, adesso mi chiamano dal Bangladesh, dalla Francia, dal Marocco, dall'Irlanda. E io dico: no, non è che adesso ti chiamano dall'estero, è che adesso non possono più nascondere il numero per far finta che venga dall'Italia. Dietro a questo genere di attacchi ci sono delle vere e proprie SIM farm. Si tratta di un insieme di hardware chiamati SIM box che permettono di gestire contemporaneamente centinaia o migliaia di SIM collegate a internet. Ci sono proprio scaffali pieni di piccoli dispositivi, ognuno con decine di slot per le SIM, tutti collegati a un server centrale che può inviare e ricevere messaggi e chiamate da ognuna di quelle SIM in modo automatico. In questo modo i malintenzionati possono far partire migliaia di messaggi tutti insieme, usarle per mascherare il numero di telefono, e possono anche noleggiarle ad altri criminali sul dark web se qualcuno ha bisogno di fare un attacco di questo tipo. Un'altra cosa collegata a questo tema, ne ho parlato in uno short qualche tempo fa, ma sta tornando prepotentemente di moda, è la truffa della ballerina, o della pattinatrice, o della ginnasta, o comunque di qualunque bambina che faccia un qualunque sport. In pratica ricevete un messaggio su WhatsApp da qualcuno che conoscete, di cui avete il numero, con la richiesta di votare per la figlia di una loro amica che sta partecipando a un concorso. Cliccate sul link, vi si apre un sito fatto bene, votate per la ballerina come richiesto e il sito chiede di inserire il vostro numero perché devono controllare che non siate dei bot. Lo inserite e dicono: benissimo, ora dobbiamo fare la verifica del numero perché altrimenti non possiamo contare il tuo voto. Apri WhatsApp, clicca su dispositivi collegati e funziona questo QR code. Se lo fate, in realtà state autorizzando il computer del malintenzionato ad accedere al vostro WhatsApp. Da lì il criminale manda a metà dei vostri contatti il messaggio riguardante la truffa della ballerina e all'altra metà una richiesta di denaro: ciao, scusa se ti disturbo, sono dal dentista, ho la carta bloccata e non riesco a fare il pagamento. Potresti farmi un bonifico da €900? Stasera te li restituisco. Questo messaggio non sempre funziona, ma a volte può funzionare, soprattutto perché proviene da qualcuno che conosciamo e che pensiamo quindi che possa realmente avere bisogno di aiuto. Tra l'altro, furbescamente, non chiedono di fare un bonifico, mostrano una finta fattura del dentista o del meccanico, di qualunque cosa, e chiedono di pagare quella fattura lì, quando in realtà ovviamente l'IBAN è intestato ai malintenzionati. E anticipo già le vostre osservazioni: so che adesso le banche fanno la verifica incrociata fra intestatario del conto corrente e IBAN, Però c'è anche da dire che se io dico Dentista Mario Rossi, questo è l'IBAN, e la persona, il malintenzionato, si chiama Mario Rossi e ha quel IBAN intestato, la banca non nota niente di strano. O comunque voi magari vedete che avete inserito Dentista Mario Rossi e il conto intestato a Mario Rossi e non vi viene il dubbio che ci sia qualcosa che non va. Oppure, ancora più facilmente, intestano il conto a una società fittizia. Voi fate il pagamento a questa società fittizia che si chiama Pro Dental SRL, non ci vedete niente di strano, la banca avere che c'è una corrispondenza fra la società che si chiama realmente così e l'IBAN, e quindi neanche la banca vi avvisa che c'è qualcosa che non va. In ogni caso, se siete stati vittime della truffa della ballerina, mi raccomando, come primissima cosa andate su WhatsApp in dispositivi collegati e togliete tutti i dispositivi che non riconoscete. Almeno impedite ai malintenzionati di inviare altri messaggi dal vostro account. Questa truffa non riguarda la clonazione della SIM, perché è la vittima stessa a concedere l'accesso ai cybercriminali, ma mi è sembrato giusto includerla perché fa sempre parte di tutte le tecniche usate dagli hacker per fingersi noi sfruttando il nostro numero di telefono. Ora la domanda che possiamo farci è: come ci proteggiamo da questo genere di attacchi? Ovviamente dobbiamo sempre tenere alta l'attenzione per evitare di cadere nelle trappole classiche come la truffa della ballerina, la mail di phishing, eccetera eccetera, che servono ai malintenzionati per raccogliere dati su di noi e rendere più efficace poi la clonazione del nostro numero. Oltre a questo, il consiglio che mi sento di darvi è quello di evitare amonte di basare la vostra autenticazione a più fattori sugli SMS, perché è lo strumento più debole di tutti. Quando attiviamo l'autenticazione a più fattori su qualche account, normalmente ci viene chiesto quale deve essere il secondo fattore da chiederci oltre a username e password, e spesso una delle scelte è ricevi un codice via SMS. Ecco, noi non scegliamo questa modalità. Il NIST, l'ente americano che definisce gli standard di sicurezza informatica un po' per tutto il mondo, ha dichiarato che l'SMS non è efficace come fattore di autenticazione già nel 2016, quindi prima di tutti gli attacchi di cui ho parlato nel video, che sono tutti successivi. È molto più efficace usare strumenti come Google Authenticator, che genera sull'applicazione dei codici temporanei validi solo 30 secondi, oppure la ricezione di una notifica apposita sulla app per autorizzare l'accesso o il pagamento. Un'altra cosa da fare è attivare il PIN della SIM. Vi ricorderete che fino a qualche anno fa ogni volta che accendevamo il telefono dovevamo mettere il PIN del telefono e il PIN della SIM. Ora questa funzionalità non la tiene attiva quasi più nessuno, ma sarebbe bene invece reimplementarla. Poi voglio anticipare già una domanda che penso che avreste fatto nei commenti: e le eSIM, le SIM non fisiche ma virtuali, sono migliori, peggiori? Aiutano noi, aiutano i malintenzionati? La verità come sempre sta nel mezzo. Per chi non lo sapesse, le eSIM sono SIM integrate direttamente nel telefono, non sono schede fisiche che si inseriscono e si tolgono, ma numeri di telefoni digitali che vengono scaricati e attivati sul dispositivo. Ormai la maggior parte degli smartphone le supporta e molti operatori le offrono proprio come alternativa alle SIM tradizionali. Il vantaggio pratico è che potete attivare una linea senza aspettare che vi arrivi la schedina di plastica a casa, e anche il fatto che su molti telefoni potete avere più profili eSIM contemporaneamente. Detto questo, il punto fondamentale da capire è che il swapping non attacca la scheda fisica ma la procedura dell'operatore, perché il truffatore convince il vostro gestore a trasferire il numero su un'altra SIM. Quindi non sta facendo nulla alla vostra scheda, sta dicendo all'operatore: sposta questo numero da lì a qui. E questa cosa funziona esattamente allo stesso modo sia che il numero sia su una SIM di plastica sia che sia invece su una eSIM. Se il truffatore riesce a farsi attivare un profilo eSIM con il vostro numero su un suo dispositivo, il il risultato è identico. Voi perdete il segnale e lui riceve i vostri SMS. Anzi, per certi versi, la eSIM potrebbe addirittura semplificare le cose al malintenzionato, perché elimina il passaggio fisico. Non deve neanche andare in un negozio a ritirare una scheda o aspettare che gli arrivi a casa. Può fare tutto da remoto se riesce a superare le verifiche. Detto questo, alcuni operatori stanno implementando dei controlli più rigidi proprio sull'attivazione delle eSIM, come la richiesta di un QR code generato solo in negozio con documento alla mano o verifiche biometriche aggiuntive. Quindi la eSIM in sé non è più vulnerabile della SIM tradizionale, ma non è neanche la soluzione al problema. Il problema resta lo stesso: la sicurezza del vostro numero dipende dalla solidità delle procedure del vostro operatore e soprattutto da quanto siete attenti voi, non dal tipo di supporto su cui è registrato il numero. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate, Noi ci rivediamo al prossimo video. Finalmente un video crime dopo la serie dedicata alle A e quella dei computer quantistici, e vedremo il caso di Michael Turpin, vittima per ben 2 volte di sim swapping. A presto!