Attacchi SIM swap: come gli hacker dirottano il tuo telefono per rubare criptovalute

Un attacco SIM swap (scambio di SIM) si verifica quando un criminale prende il controllo del tuo numero di cellulare convincendo il tuo operatore a trasferirlo su una SIM che controlla lui. Con il tuo numero riceve i codici di accesso via SMS e i link per reimpostare la password, e può entrare nei tuoi account su exchange di criptovalute, email e social media nel giro di pochi minuti.

Chi possiede criptovalute è un bersaglio appetibile, perché le cripto rubate si spostano in fretta e sono difficili da recuperare. Chi parla pubblicamente dei propri investimenti è particolarmente a rischio. La buona notizia è che bastano alcune modifiche al modo in cui proteggi i tuoi account per rendere i SIM swap molto meno pericolosi.

Come funziona un attacco SIM swap

1. 1Ricerca. L’aggressore raccoglie dati personali — nome, indirizzo, data di nascita, numero di telefono — da violazioni di dati, social media o phishing.
2. 2Presa di controllo presso l’operatore. Contatta il tuo operatore fingendosi te, sostiene di aver perso o rotto il telefono e chiede una nuova SIM. Alcuni attacchi coinvolgono dipendenti corrotti o account dell’operatore compromessi.
3. 3Trasferimento del numero. Il tuo numero passa sulla sua SIM. Il tuo telefono resta senza servizio.
4. 4Reimpostazione degli account. Richiede il reset delle password dei tuoi account email ed exchange, riceve i codici via SMS ed effettua l’accesso.
5. 5Furto. Modifica le tue impostazioni di sicurezza, preleva le criptovalute verso i propri wallet e talvolta pubblica truffe dai tuoi account social.

L’intero processo può durare meno di un’ora. Sono stati colpiti anche account di alto profilo: nel gennaio 2024 la Securities and Exchange Commission, l’autorità di vigilanza sui mercati statunitense, ha dichiarato che un soggetto non autorizzato aveva preso il controllo del numero di telefono collegato al suo account X in quello che sembrava un SIM swap, e aveva poi usato l’account per pubblicare un falso annuncio.

Cosa possono e non possono fare gli aggressori

Per questo la difesa principale è fare in modo che il tuo numero di telefono non sia più la chiave dei tuoi account.

Segnali d’allarme che potresti essere una vittima

• Il telefono mostra all’improvviso nessun servizio o la modalità solo emergenze, mentre il Wi-Fi funziona ancora.
• Ricevi SMS o email inattesi su cambi di SIM, richieste di portabilità o reimpostazioni della password.
• Vieni disconnesso da account o app senza spiegazioni.
• Gli amici ti dicono di aver ricevuto messaggi strani da parte tua.

Se noti questi segnali, agisci subito: ogni minuto conta.

Come proteggerti dal SIM swap

Sistema l’autenticazione a due fattori

1. 1Passa dagli SMS a un’app di autenticazione o a una chiave di sicurezza hardware su exchange, email e qualsiasi account legato al denaro. La nostra guida all’autenticazione a due fattori per gli account crypto mette a confronto le opzioni.
2. 2Rimuovi il tuo numero di telefono come metodo di recupero ovunque il servizio lo consenta.
3. 3Conserva i codici di backup offline, non nella tua email.

Rafforza il tuo account telefonico

• Chiedi al tuo operatore un PIN di portabilità, un PIN dell’account o un blocco della SIM. Nomi e opzioni variano a seconda dell’operatore e del Paese.
• Usa una password unica e robusta per l’account online del tuo operatore.
• Chiedi se l’operatore offre verifiche aggiuntive per i cambi di SIM.

Riduci la tua esposizione

• Non rivelare pubblicamente quante criptovalute possiedi.
• Se possibile, usa un numero di telefono o un indirizzo email separato e riservato per gli account finanziari.
• Rendi privati i profili social che rivelano il tuo compleanno, il tuo indirizzo o il tuo numero di telefono.

Tieni gli investimenti a lungo termine in autocustodia

I fondi su un exchange sono sicuri solo quanto il tuo accesso a quell’exchange. I risparmi a lungo termine in un hardware wallet non sono raggiungibili tramite il tuo numero di telefono. Consulta come proteggere il tuo account su un exchange per le impostazioni specifiche degli exchange.

Falsi miti sul SIM swap

• «Il mio operatore non ci cascherebbe mai.» Gli aggressori usano dati personali rubati, ingegneria sociale e talvolta complici interni. Gli operatori hanno migliorato le protezioni, ma nessun sistema è perfetto.
• «Non sono abbastanza famoso da essere preso di mira.» Molte vittime sono persone comuni il cui numero di telefono è comparso in una violazione di dati o in un forum dedicato alle cripto.
• «Uso la 2FA, quindi sono al sicuro.» Se quella 2FA si basa sugli SMS, un SIM swap la neutralizza.
• «Basta una password robusta.» Le reimpostazioni della password via SMS aggirano anche la password più robusta.

Cosa fare se subisci un SIM swap

1. 1Chiama il tuo operatore da un altro telefono e denuncia la frode. Chiedi di ripristinare il tuo numero e di bloccare l’account.
2. 2Metti in sicurezza prima di tutto l’email, perché controlla le reimpostazioni delle password altrove. Cambia le password e disconnetti le altre sessioni.
3. 3Contatta i tuoi exchange per congelare account e prelievi.
4. 4Cambia password e 2FA su tutti gli account finanziari.
5. 5Avvisa i tuoi contatti che i messaggi provenienti dal tuo numero o dai tuoi account social potrebbero essere fraudolenti.
6. 6Denuncia il reato alla polizia e a eventuali autorità competenti per i crimini informatici, e conserva la documentazione. La nostra guida su cosa fare se il tuo wallet è compromesso illustra i passaggi correlati.

Diffida di chiunque ti contatti in seguito offrendosi di recuperare le tue criptovalute a pagamento: è una comune truffa successiva. Una volta che i tuoi account sono di nuovo al sicuro, ricontrolla ogni impostazione di sicurezza modificata in fretta e annota quali metodi di recupero usa ora ciascun account, così da non farti cogliere impreparato la prossima volta.

In conclusione

Gli attacchi SIM swap sfruttano il fatto che molti account considerano il tuo numero di telefono come prova d’identità. Elimina questa debolezza: passa dagli SMS a un’app di autenticazione o a una chiave di sicurezza, blinda il tuo account presso l’operatore, limita ciò che condividi pubblicamente e tieni i risparmi in autocustodia. Così un numero dirottato diventa un fastidio anziché un disastro. Per altre difese, sfoglia le nostre guide sulla sicurezza.