Attacco SIM Swap: come rubano il tuo numero per svuotare il tuo conto crypto

Immagina che il tuo telefono smetta improvvisamente di funzionare, niente rete, niente chiamate, e che pochi minuti dopo iniziano ad arrivarti notifiche di cambio password e prelievi dal tuo saldo. È esattamente ciò che accade in un attacco di scambio della SIM (SIM swap), una delle tecniche più pericolose per violare gli account crypto: non prende di mira direttamente il tuo wallet, ma il numero di telefono su cui hai costruito tutta la tua sicurezza.

In questa guida spieghiamo, in parole semplici, come funziona l'attacco, perché gli SMS sono un punto debole reale, e quali passi concreti trasformano il tuo account da bersaglio facile a fortezza difficile da violare.

Cos'è un attacco di SIM swap?

L'idea di base è che l'aggressore convince l'operatore telefonico di essere te, facendosi trasferire il tuo numero su una nuova SIM in suo possesso. Una volta riuscito, tutti i messaggi e le chiamate destinati a te arrivano al suo dispositivo invece che al tuo.

Perché è così pericoloso? Perché molte piattaforme inviano i codici di verifica via SMS e permettono di recuperare la password proprio tramite il numero di telefono. Se l'aggressore controlla il tuo numero, può ricevere questi codici, reimpostare le password e aggirare la verifica in due passaggi basata su SMS.

Il risultato: il tuo numero, da strumento di protezione, diventa la chiave che apre tutti i tuoi account all'aggressore.

Come eseguono l'attacco, passo dopo passo

Non è un'operazione tecnica complessa, ma una catena di inganno e informazioni trapelate:

1. Raccolta di informazioni: l'aggressore raccoglie i tuoi dati personali da vecchie violazioni di dati, dai tuoi post pubblici, o da messaggi di phishing che si spacciano per una piattaforma o una banca.
2. Impersonazione: contatta l'operatore telefonico o si presenta in un negozio, sostenendo di aver perso il telefono e di voler trasferire il numero su una nuova SIM.
3. Aggiramento della verifica: usa le informazioni trapelate (data di nascita, ultimi pagamenti, indirizzo) per convincere l'operatore del servizio clienti di essere il vero titolare del numero.
4. Attivazione della nuova SIM: una volta attivata, la tua SIM smette di funzionare e il tuo numero inizia a operare sul dispositivo dell'aggressore.
5. Presa di controllo degli account: richiede il reset delle password, riceve i codici via SMS, ed entra nella tua email, nelle tue piattaforme e nei tuoi wallet.

Perché gli SMS non sono una protezione sufficiente

Gli SMS sono comodi e semplici, ma rappresentano l'anello più debole. Il codice che ricevi via SMS è legato al tuo numero, non al tuo dispositivo, e chi controlla il numero controlla il codice. Per questo si consiglia sempre di passare alle app di autenticazione, che generano i codici localmente sul telefono senza passare dalla rete dell'operatore.

In sintesi: usa gli SMS solo quando non hai altra alternativa, mai per proteggere la tua email o i tuoi account finanziari.

Come proteggerti: passi pratici

La protezione è fatta di livelli successivi; ogni livello rende l'attacco più difficile e costoso per l'aggressore.

1. Attiva l'autenticazione tramite app invece degli SMS

Sostituisci la verifica in due passaggi su email e piattaforme con un'app di autenticazione basata su codici temporanei (TOTP), oppure usa una chiave di sicurezza fisica per gli account più importanti. È il singolo passo più importante che puoi fare oggi.

2. Richiedi un codice PIN dal tuo operatore telefonico

La maggior parte degli operatori permette di aggiungere un PIN o codice di sicurezza sull'account, richiesto prima di qualsiasi trasferimento del numero o cambio SIM. Attivalo, e scegli un codice che non abbia nulla a che fare con la tua data di nascita o numeri facili da indovinare.

3. Metti in sicurezza prima la tua email

La tua email è la chiave di tutto; è da lì che si reimpostano le password. Usa una password forte e unica, con una verifica in due passaggi tramite app o chiave fisica, mai via SMS.

4. Riduci ciò che riveli pubblicamente

Non pubblicare il tuo numero di telefono, i tuoi dati identificativi, o quanto possiedi in criptovalute. Ogni informazione che condividi è uno strumento in più nelle mani di chi vuole impersonarti davanti all'operatore telefonico.

5. Usa un gestore di password e password uniche

Una password diversa per ogni account significa che la violazione di un singolo sito non apre tutti gli altri. Un gestore di password rende tutto questo semplice e realistico.

6. Separa il tuo numero dai tuoi account finanziari sensibili

Dove possibile, non collegare il numero di recupero dei tuoi account importanti al numero principale che usi pubblicamente. Alcuni utenti preferiscono dedicare un numero separato, riservato, solo per gli account finanziari.

Cosa fare se sospetti di essere vittima?

La velocità è tutto. Se perdi improvvisamente la rete o noti un'attività sospetta:

• Contatta subito l'operatore telefonico da un'altra linea per bloccare il numero e recuperare la tua SIM.
• Cambia le password della tua email e poi delle tue piattaforme finanziarie da un dispositivo sicuro, e attiva una verifica che non dipenda dagli SMS.
• Controlla l'attività del tuo account e la cronologia degli accessi, e segnala qualsiasi operazione non autorizzata il prima possibile.
• Documenta tutto (orari, messaggi, numeri): potresti averne bisogno per una denuncia ufficiale.

In sintesi

L'attacco di SIM swap non viola la crittografia, ma l'anello più debole: la nostra dipendenza dal numero di telefono e dagli SMS. Quando sposti la tua protezione su app di autenticazione, aggiungi un PIN di sicurezza presso l'operatore telefonico, metti in sicurezza la tua email e riduci ciò che riveli pubblicamente, chiudi tutte le porte su cui l'aggressore fa affidamento. Pochi minuti oggi per configurare queste impostazioni possono risparmiarti una perdita difficile da recuperare.