SIM Swap: il furto di identità che parte dal tuo numero

È una delle truffe digitali più distruttive e meno conosciute. La vittima non subisce un attacco informatico classico: subisce il furto del proprio numero di telefono. In pochi minuti, il criminale ottiene accesso ai tuoi conti bancari, alle tue criptovalute, ai tuoi social network. Tu rimani senza telefono, senza dati, senza soldi.

Il fenomeno del SIM Swap (detto anche SIM Jacking) è esploso negli ultimi anni, soprattutto in Italia e nei paesi europei. Non è un’ipotesi teorica: colpisce persone normali — imprenditori, professionisti, risparmiatori — persone che pensavano di essere al sicuro perché usano password forti e autenticazione a due fattori. Ma il SIM Swap aggira tutto questo.

In questa guida spieghiamo come funziona il SIM Swap, come riconoscere i segnali di pericolo, e soprattutto come proteggerti — e come Italia Investigazioni può aiutarti se sospetti di essere vittima di una frode digitale di questo tipo.

1. Cos’è il SIM Swap e come funziona

Il SIM Swap è una truffa che sfrutta un meccanismo fondamentale della telefonia mobile: il trasferimento di numero da una SIM all’altra. Qui il meccanismo è semplice.

Come funziona in pratica

Il criminale non hacka il tuo telefono e non accede al tuo operatore telefonico tramite sistemi informatici. Fa una cosa molto più semplice: chiama il servizio clienti del tuo operatore telefonico e dice di essere te. Dice di aver perso il telefono, di aver cambiato dispositivo, di voler trasferire il numero su una nuova SIM. L’operatore, senza verificare adeguatamente l’identità del chiamante, autorizza il trasferimento. A quel punto, il criminale ha il tuo numero di telefono su una SIM sua.

2. La catena dell’attacco SIM Swap

Un SIM Swap non è un improvviso colpo di fortuna per il criminale. Di solito è il risultato di settimane di preparazione, raccolta dati e coordinamento.

• 1
  Ricerca della vittima Il criminale identifica un bersaglio — spesso cercando su social network persone che postano foto di lusso, auto, vacanze, simboli di ricchezza. Oppure usa dati pubblici per trovare imprenditori, professionisti con alte probabilità di avere conti significativi.
• 2
  Raccolta di informazioni Il criminale raccoglie dati pubblici sulla vittima: numero di telefono (spesso visibile su siti aziendali), indirizzi email, nomi completi, date di nascita, codice fiscale, documenti online. Tutto questo è reperibile su siti pubblici, database esposti, social network.
• 3
  Contatto con l’operatore Il criminale chiama il servizio clienti dell’operatore telefonico della vittima. Si presenta usando i dati raccolti, dice di aver perso il telefono o di voler cambiare dispositivo. Chiede il trasferimento del numero su una nuova SIM.
• 4
  Autorizzazione del trasferimento Se l’operatore non verifica adeguatamente l’identità del chiamante (e spesso non lo fa, affidandosi solo a domande di sicurezza facilmente rispondibili con dati pubblici), autorizza il trasferimento. Il numero passa su una SIM del criminale.
• 5
  Accesso agli account Il criminale accede al profilo email della vittima (“password dimenticata” → riceve l’SMS di reset sulla SIM sua). Da lì, resetta le password di banche, conti crypto, social network, qualsiasi account protetto da autenticazione SMS.
• 6
  Furto di denaro Una volta dentro, il criminale trasferisce fondi su account estero, vende asset crypto, svuota conti correnti. Nel frattempo, la vittima è offline, senza telefono, senza accesso ai suoi account.

3. Come riconoscere un tentativo o una vittoria di SIM Swap

Il SIM Swap avviene velocemente, ma ci sono segnali che puoi cogliere prima che sia troppo tardi. Impara a riconoscerli.

4. Come proteggiti dal SIM Swap

La protezione dal SIM Swap passa per tre livelli: consapevolezza personale, contatti con i tuoi provider, e tecniche avanzate di sicurezza.

Livello 1: Ridurre l’esposizione online

• Non pubblicare il tuo numero di telefono su siti pubblici, social media o directory online. Se è già visibile, rimuovilo.
• Non condividere informazioni personali (data di nascita, codice fiscale, indirizzo) su social o siti pubblici.
• Usa email alternative e non pubbliche per i tuoi account importanti (banche, crypto, pagamenti). Non usare l’email del tuo dominio aziendale per conti personali.

Livello 2: Proteggi il tuo numero di telefono

• Contatta l’operatore telefonico e chiedi di aggiungere un PIN di protezione o una frase di sicurezza speciale. Ogni tentativo di trasferimento del numero dovrà fornire questo PIN.
• Registra il tuo numero presso il sito dell’operatore (crea un account online). Così potrai monitorare se viene richiesto un cambio di SIM e ricevere avvisi.
• Non condividere il numero del tuo operatore (quello con cui accedi al servizio clienti) con nessuno. Non è il tuo numero di telefono, è il numero del conto.

Livello 3: Cambia il metodo di autenticazione

• Abbandona l’autenticazione via SMS per account critici (banca, email principale, crypto). Usa app di autenticazione come Google Authenticator, Microsoft Authenticator o Authy. Queste app generano codici che non dipendono dal numero di telefono.
• Usa le chiavi di sicurezza hardware (come YubiKey) per i tuoi account più importanti. Non sono SMS, sono fisiche.
• Non usare il numero di telefono come metodo di recupero account. Usa indirizzi email alternativi e backup codes salvati in un posto sicuro.

5. Se sei già vittima di SIM Swap

Se pensi di essere vittima di un SIM Swap, agisci immediatamente. Ogni minuto conta. Ecco cosa fare:

Azioni immediate

• 1
  Usa un altro dispositivo Non aspettare il telefono. Usa un computer, tablet o il telefono di un amico per accedere ai tuoi account da internet.
• 2
  Cambia le password Inizia dalla email principale. Accedi da un computer, cambia la password (una nuova, forte e senza SMS). Da lì, cambia le password di banca, conto crypto, social network, tutto.
• 3
  Blocca le linee di credito Se il criminale ha accesso ai tuoi dati, potrebbe cercare di aprire crediti a tuo nome. Contatta le centrali rischi bancarie (CRIF, Experian, Equifax) e chiedi di bloccare il tuo profilo.
• 4
  Contatta l’operatore Chiama il tuo operatore e dichiara la frode. Chiedi di riavere il tuo numero e di bloccare la SIM del criminale. Documenta tutto.
• 5
  Denuncia alle autorità Fai denuncia alla polizia postale (Polizia di Stato – Sezione Crimini Informatici). Fornisci tutta la documentazione: numeri di conto, transazioni non autorizzate, comunicazioni con l’operatore.

Documentazione essenziale

Conserva tutto ciò che può provare l’attacco:

• Screenshot dei messaggi di reset password ricevuti non da te
• Estratti conto bancari e di crypto con le transazioni fraudolente
• Email e chat con l’operatore telefonico
• Storico degli accessi ai tuoi account (date, ore, IP address)
• Copia della denuncia alle autorità

6. Come Italia Investigazioni può aiutarti

Se sei vittima di un SIM Swap con importi significativi, la strada è spesso complicata. Le autorità agiscono lentamente, i dati digitali si disperdono, il criminale scompare. In questi casi, un’agenzia investigativa digitale specializzata può fare la differenza.

Tracciamento del denaro

Quando il criminale trasferisce fondi fuori dal tuo conto, il denaro passa attraverso una catena di movimenti: da un conto bancario a un’exchange crypto, da lì a wallet, da wallet a wallet. Questa catena lascia tracce. Italia Investigazioni lavora con partner specializzati per tracciare questi movimenti, identificare gli indirizzi crypto usati dal criminale, e potenzialmente congelare i fondi prima che scompaiano.

Analisi forense digitale

Recuperiamo dati da dispositivi compromessi, analizziamo log di accesso, identifichiamo IP address e metadati legati all’attacco. Questi dati sono fondamentali per il procedimento legale e per la presentazione alle autorità.

Coordinamento con gli organi competenti

Italia Investigazioni non sostituisce la Polizia Postale, ma lavora in parallelo. Prepariamo fascicoli documentali completi, coordinati con gli investigatori pubblici, per accelerare i tempi e aumentare le probabilità di successo.