SIM swap: cos'è, come riconoscerlo e come difendersi

All'improvviso il telefono non ha più campo. Nessuna chiamata, nessun SMS, solo il Wi-Fi funziona. Può essere un guasto di rete, ma può essere anche un SIM swap: qualcuno ha convinto il tuo operatore a trasferire il tuo numero su una SIM che controlla lui. In questa guida spieghiamo come funziona, che cosa fare nei primi minuti e come ridurre il rischio, soprattutto per banca ed email.

Informazioni generali, non parere legale.

Cos'è il SIM swap

Il SIM swap (o sim swapping) è una truffa in cui un malintenzionato ottiene il controllo del tuo numero di telefono. Il suo scopo non è il telefono in sé, ma tutto ciò che usa quel numero per identificarti: i codici SMS per accedere alla banca, il recupero della password di email e social, la verifica in due passaggi.

Come ci riescono, secondo le guide di settore: fingendosi te presso un negozio o un call center dell'operatore con documenti falsi o dati raccolti altrove, sfruttando controlli deboli, o in alcuni casi con la complicità di un dipendente. Per questo il dato personale è prezioso: più sanno di te, più sono credibili.

Come riconoscerlo

Il sintomo tipico è la perdita improvvisa del segnale senza ragioni apparenti. Altri indizi:

• il telefono non riceve più chiamate e SMS, ma il Wi-Fi funziona;
• ricevi SMS di conferma di "sostituzione SIM" o di "portabilità" che non hai richiesto;
• ricevi email di sicurezza o reset password di servizi che non hai attivato;
• il tuo operatore ti avvisa di una richiesta di cambio SIM che non hai fatto;
• vedi accessi o operazioni sul conto che non riconosci.

Non tutti i casi di assenza di campo sono SIM swap: la prima verifica è escludere un guasto di rete (prova con un altro telefono nello stesso luogo, controlla la pagina di assistenza dell'operatore dal Wi-Fi).

Cosa fare subito se sospetti un SIM swap

L'ordine conta, perché il truffatore ha poco tempo per agire.

1. Contatta il tuo operatore da un altro telefono (o dal numero verde gratuito dalla linea fissa) e chiedi se è stata richiesta una sostituzione di SIM o una portabilità. Se sì, fai bloccare la SIM e chiedi il ripristino.
2. Avvisa la banca e blocca l'accesso online e le carte, se vedi operazioni sospette: vedi cosa fare se hai già comunicato dati.
3. Cambia le password di email e account principali da un dispositivo che sai essere pulito, e attiva un secondo fattore non basato su SMS: autenticazione a due fattori.
4. Ignora SMS e link che chiedono di confermare una sostituzione SIM o una portabilità: non cliccare e non rispondere.
5. Denuncia alla Polizia Postale, tramite commissariatodips.it o di persona; per le urgenze chiama il 112 o il 113. Una segnalazione rapida può aiutare a fermare un trasferimento fraudolento.
6. Conserva le prove: SMS ricevuti, orari, email dell'operatore.

Per i passaggi successivi con la banca (reclamo, esposto alla Banca d'Italia, ABF) vedi la pagina della Banca d'Italia su cosa fare se si viene truffati.

Perché il SIM swap è pericoloso per la 2FA via SMS

Se ricevi i codici di accesso via SMS, chi controlla il tuo numero li riceve al posto tuo. Con quei codici può reimpostare password e accedere a servizi che ritieni protetti. Non significa che la 2FA via SMS sia inutile: è molto meglio di niente. Ma dove puoi, preferisci:

• app di autenticazione (i codici vengono generati sul dispositivo, non viaggiano via rete telefonica);
• passkey o chiavi di sicurezza, più resistenti al phishing;
• notifiche della banca dentro l'app, protette dal dispositivo.

Come ridurre il rischio

1. Non usare il numero di telefono come unico metodo di accesso o di recupero per gli account importanti.
2. Proteggi l'account con l'operatore con le opzioni di sicurezza che offre (PIN o password per modifiche alla linea, alert su cambio SIM): chiedi quali sono disponibili con il tuo operatore.
3. Non condividere mai PIN, password o codici con sconosciuti, nemmeno se dicono di essere dell'operatore o della banca.
4. Limita le informazioni personali pubbliche: data di nascita, indirizzo e numero di telefono sui social e negli elenchi rendono più facile impersonarti. Ti aiutano il Registro delle opposizioni e la rimozione da elenchi telefonici (vedi le pagine di rimozione).
5. Diffida di chi ti chiama per "verificare" la tua SIM o il tuo conto: leggi il finto operatore della banca.

Cosa chiedere al tuo operatore

Non tutti gli operatori offrono le stesse protezioni, quindi conviene chiedere in modo esplicito. Alcune domande utili da fare al servizio clienti o in negozio:

1. Come verificate l'identità di chi chiede una nuova SIM o una portabilità? Ci sono controlli aggiuntivi che posso attivare?
2. Posso ricevere un avviso quando viene richiesta una modifica alla mia linea?
3. Esiste un PIN o una parola chiave da dover fornire per le modifiche?
4. Che cosa succede in caso di sostituzione SIM e quanto tempo passa prima che quella vecchia venga disattivata?

Annota le risposte. Se qualcuno nella tua famiglia usa il telefono per accedere alla banca, fai lo stesso per la sua linea.

I dati che rendono il SIM swap più facile

Per impersonarti un truffatore usa dati veri: nome, codice fiscale, data di nascita, indirizzo, numero di telefono. Spesso provengono da vecchie violazioni, da elenchi ceduti o da messaggi di phishing in cui qualcuno ha inserito i propri dati. Non puoi cancellare ciò che è già trapelato, ma puoi ridurre ciò che è disponibile e sapere dove compare il tuo indirizzo email.

• Dai un'occhiata alle pagine di rimozione dai data broker: per esempio TIM e CRIF mostrano i contatti privacy per esercitare i tuoi diritti.
• La scansione gratuita di VINDICIS ti dice se il tuo indirizzo email risulta in violazioni note o in casi di infezione da infostealer; l'abbonamento mensile (14,99 € al mese) ripete il controllo ogni mese e ti avvisa subito se compare qualcosa di grave e nuovo.

Domande frequenti

Se il telefono non ha campo, è sicuramente un SIM swap?

No. Può essere un guasto di rete o un problema del telefono. Escludi prima le cause semplici (altro telefono nello stesso luogo, pagina di assistenza dell'operatore), ma non aspettare ore: se hai dubbi, contatta l'operatore da un altro telefono.

Un SIM swap può svuotarmi il conto?

È il motivo per cui è pericoloso: chi controlla il tuo numero può ricevere codici di autorizzazione. Per questo la banca va avvisata subito e conviene usare, per i pagamenti, un secondo fattore non basato su SMS.

Cambiare operatore mi protegge?

Non da solo. Il rischio dipende dai controlli dell'operatore e dai tuoi dati in circolazione. Contano le opzioni di sicurezza attive e l'uso di metodi di autenticazione più robusti dell'SMS.

Posso essere rimborsato?

Dipende dal caso concreto: la normativa prevede il rimborso delle operazioni non autorizzate salvo colpa grave dell'utente. Avvisa subito la banca, conserva le prove e segui reclamo ed eventuale ricorso all'ABF.

Dove segnalo un tentativo di SIM swap?

All'operatore telefonico (per bloccare la richiesta) e alla Polizia Postale. Se hai ricevuto SMS o email sospette, conservali come prova.