SIM swapping: come proteggersi da questo genere di truffa telematica

Un’improvvisa perdita di rete, attività sospette dell’account o SMS sconosciuti dal vostro operatore di telefonia mobile: tutti questi possono essere segnali di un attacco di SIM swapping. Ma di che si tratta? E soprattutto: come proteggersi? 

Tramite SIM swapping, i criminali si impossessano del vostro numero di telefono per accedere a online banking, account di posta elettronica e altri servizi sensibili. Spesso le vittime si accorgono dell’attacco solo quando è troppo tardi, e a quel punto non sono solo i dati personali a essere a rischio, ma anche le finanze. Dovreste quindi confrontarvi con questo tipo di cyber-attacco per individuare per tempo i segnali e adottare le giuste contromisure.

Che cos’è il SIM swapping?

Il SIM swapping è un nuovo metodo utilizzato dalla criminalità informatica. Mediante questa truffa particolarmente perfida i criminali cercano di trasferire il numero di telefono della vittima su una nuova carta SIM. In questo modo possono accedere a SMS, chiamate e spesso anche ad account sensibili che utilizzano l’autenticazione a due fattori tramite telefono cellulare, ad esempio online banking o servizi di posta elettronica. 

Ecco come funziona un attacco SIM swapping

I criminali utilizzano diversi metodi per assumere il controllo di un numero di telefono. 

• Phishing e social engineering: gli autori del furto si spacciano ad esempio per collaboratori di un operatore di telefonia mobile oppure utilizzano le e-mail di phishing per ottenere dati personali. 
• Fughe di dati e furto d’identità: i dati personali già in circolazione vengono utilizzati per falsificare un documento d’identità. 
• Manipolazione dell’operatore di telefonia mobile: con le informazioni sottratte, i truffatori chiedono una nuova carta SIM per il numero di telefono della vittima. Una volta attivato, il titolare effettivo perde il controllo del numero. 

Perché il SIM swapping è pericoloso?

Non appena i truffatori hanno il controllo di un numero di telefono tramite SIM swapping possono, in teoria, accedere a conti protetti con il numero di telefono tramite TAN SMS o codice di sicurezza via SMS. Con il trasferimento del numero di telefono è possibile accedere ai relativi conti. Gli effetti di questa acquisizione possono quindi avere effetti diversi a seconda del conto. Di seguito sono elencati alcuni esempi: 

• Account di posta elettronica (ad es. Gmail, Outlook): accesso alla comunicazione e-mail tramite ripristino della password e intercettazione del secondo fattore per l’autenticazione 
• Social network (ad es. Facebook, Instagram, LinkedIn): diffusione di messaggi di phishing o altre truffe a nome e tramite il numero di telefono della vittima 
• Conti bancari o servizi di pagamento (ad es. Paypal, Twint): effettuare pagamenti collegando il conto bancario della vittima al numero di telefono che è sotto il controllo del truffatore. 
• Servizi cloud (ad es. Google Drive, iCloud): accesso a documenti, foto e dati personali salvati tramite ripristino della password e intercettazione del secondo fattore per l’autenticazione. 

Segnali di SIM swapping

Un attacco di SIM swapping arriva di solito inaspettatamente ed è proprio questo che lo rende così pericoloso. Ma ci sono alcuni segnali d’allarme a cui prestare attenzione. 

Improvvisamente non c’è più copertura mobile

• Lo smartphone visualizza «Nessuna rete» o «Solo chiamate di emergenza», anche se non è nota alcuna interferenza con l’operatore di telefonia mobile. Le telefonate e gli SMS non arrivano più. 

Attività del conto insolite

• Riceverete notifiche via e-mail sui tentativi di accesso a servizi online che non avete eseguito personalmente. Vengono segnalate reimpostazioni delle password o modifiche sconosciute nei vostri account. 

Messaggi imprevisti dall’operatore di telefonia mobile

• Ricevete un SMS o un’e-mail di conferma della «nuova scheda SIM» o dell’«attivazione della scheda», anche se non avete richiesto una nuova scheda SIM. 

SMS o e-mail sospette provenienti da banche e servizi online

• Ricevete avvisi sui nuovi dispositivi collegati al tuo account o sui tentativi di accesso non riusciti. 

Quali sono le conseguenze del SIM swapping?

Un attacco di SIM swapping riuscito può avere gravi conseguenze. Poiché molti servizi online utilizzano il numero di telefono per verificare l’identità, i truffatori possono accedere a dati sensibili e conti finanziari con il controllo della carta SIM delle vittime. Le conseguenze vanno da danni finanziari fino all’abuso di identità. 

Perdite finanziarie

• I truffatori possono effettuare il login all’online banking delle vittime, poiché sono ora in grado di intercettare TAN via SMS o codici di verifica mobile. Ciò consente di effettuare bonifici su conti di terzi o acquisti online a spese delle vittime. 

Abuso di identità

• I criminali utilizzano il numero di telefono rubato per accedere a social network, account e-mail o servizi cloud. I dati personali possono inoltre essere utilizzati abusivamente per stipulare contratti o abbonamenti. Identificando le vittime si possono inoltre creare falsi profili o inviare messaggi fraudolenti. 

Danneggiamento permanente della vostra sicurezza online

• Gli account compromessi sono spesso difficili da recuperare, soprattutto quando gli aggressori cambiano impostazioni come indirizzi e-mail o numeri di telefono. L’accesso agli account di posta elettronica consente ai truffatori di reimpostare un’altra password e acquisire così ulteriori account online. 

Conseguenze giuridiche e organizzative

• Se i cybercriminali commettono attività fraudolente a vostro nome, potreste incorrere in difficoltà legali. Il processo di recupero dell’account è spesso lungo e richiede molto coordinamento con le banche, gli operatori di telefonia mobile e le piattaforme interessate. 

Misure di protezione dal SIM swapping 

Poiché molti servizi online utilizzano il numero di telefono come elemento di sicurezza, è particolarmente importante disporre di una protezione efficace contro lo scambio di SIM. Fortunatamente esistono diverse misure con cui tutelarsi. 

Utilizzo di metodi di autenticazione alternativi 

• Utilizzate un’autenticazione sicura a due fattori (2FA): ad esempio un’app come Google Authenticator o Authy per proteggere ulteriormente i vostri login. Una password rubata da sola non basta più. 

• Chiedete alla vostra banca delle alternative sicure: oggi molte banche offrono push TAN o dispositivi speciali (hardware token), che vi proteggono molto meglio rispetto a un SMS. 

Proteggere il conto di telefonia mobile

• Attivate il codice di sicurezza per la carta SIM: molte società di telecomunicazioni offrono il blocco dello scambio di SIM. Così eviterete che qualcuno trasferisca la vostra SIM su un altro dispositivo senza il vostro consenso 

• Impostate il PIN per il servizio clienti: questo PIN personale vi protegge dal furto d’identità – viene sempre richiesto quando chiamate il vostro provider. 

Protezione dei dati personali 

• Non rivelate pubblicamente il vostro numero di telefono: non pubblicate il vostro numero su social network, forum o commenti. In questo modo eviterete che finisca nelle mani sbagliate. 
• Fate attenzione ai tentativi di frode: non cliccate sconsideratamente sui link contenuti nelle e-mail o negli SMS. Quando venite chiamati non fornite alcun dato personale non verificato, anche se la persona che chiama sembra affidabile. 

Effettuare regolarmente controlli di sicurezza

• Tenete d’occhio i vostri conti bancari e online: controllate regolarmente i movimenti di conto per individuare tempestivamente transazioni sospette o sconosciute. 
• Utilizzate password forti e individuali: utilizzate una password sicura per ogni account. L’ideale è utilizzare un password manager che memorizzi in modo sicuro i dati di accesso. 
• Impostate messaggi di avviso: attivate le notifiche in caso di attività sospette. Ad es. in caso di nuovi login o modifiche alle impostazioni dell’account. In questo modo sarete informati immediatamente se c’è qualcosa che non va. 

Cosa fare dopo il SIM swapping?

In caso di sospetto di SIM swapping, è fondamentale agire rapidamente. Prima prendete provvedimenti, minore sarà, nella maggior parte dei casi, il danno. 

1. Contattare subito l’operatore di telefonia mobile

• Chiamate il servizio clienti del vostro operatore di telefonia mobile e spiegate la situazione. 
• Fate bloccare la carta SIM e richiedete una nuova SIM. 

2. Cambiare subito le password

• Reimpostate le password per gli account e-mail, l’online banking e i profili social media interessati e scegliete password uniche, lunghe e complesse. 
• Se utilizzate i TAN via SMS per l’online banking, informate direttamente la vostra banca del tentativo di frode. 

3. Informare la banca e i servizi interessati

• Fate controllare le vostre carte e i vostri accessi all’online banking. 
• Segnalate l’accaduto a tutti i servizi online interessati e mettete al sicuro i conti. 
• Se il numero di telefono è stato utilizzato per l’autenticazione a due fattori (2FA), aggiornarlo con un nuovo metodo. 

4. Sporgere denuncia

• Denunciate la frode alla polizia. 
• Documentate come prove tutte le e-mail, gli SMS o i tentativi di accesso sospetti. 
• Se si sono verificati danni finanziari, verificate con la vostra banca o assicurazione possibili indennizzi.