SIM swapping in Italia: la truffa del duplicato SIM e come difenderti
Il SIM swapping trasferisce il tuo numero sulla SIM del truffatore, che intercetta i codici della tua banca. Come funziona, i segnali d'allarme e come blindare la tua linea.
Riassumi questo articolo con
Nel SIM swapping, il criminale convince l'operatore a trasferire il tuo numero su una SIM nelle sue mani. Da quel momento riceve le tue chiamate e — ben peggio — gli SMS con i codici di verifica della tua banca. Ecco come fanno, cosa tradisce l'attacco e come proteggerti.
A differenza delle truffe che già conosci, qui nessuno ti inganna con una chiamata. Il colpo va a segno contro il tuo operatore. Per questo è così pericoloso: puoi fare tutto bene, non rispondere mai a numeri sconosciuti, e perdere comunque il controllo della tua linea. La buona notizia è che esistono difese concrete, e quasi tutte gratuite.
Cos'è esattamente il SIM swapping
Il tuo numero non vive dentro la tessera SIM di plastica. Vive nei sistemi dell'operatore, che associano quel numero a una SIM specifica. Quando perdi il telefono o la SIM si guasta, l'operatore disattiva la vecchia SIM e ne attiva una nuova con lo stesso numero. Un servizio legittimo e necessario.
Il SIM swapping (detto anche duplicato SIM fraudolento) avviene quando un criminale richiede quel duplicato fingendosi te. Se ci riesce, la tua SIM vera resta senza servizio nel giro di minuti e il tuo numero inizia a funzionare sul telefono dell'attaccante. Una variante vicina è la portabilità fraudolenta: spostare il tuo numero su un altro operatore con documenti falsi.
Da lì in poi, tutto ciò che dipende dal tuo numero finisce nelle sue mani: gli SMS con i codici di verifica della banca, dell'email e dei social; le chiamate di conferma che alcuni istituti fanno prima di un'operazione; e gli SMS di recupero password di decine di servizi. Con il codice arrivato via SMS, l'attaccante entra nel tuo home banking, autorizza bonifici o svuota il conto — senza che la tua password sia mai trapelata.
Come riescono a fingersi te davanti all'operatore
Il duplicato non è il primo passo della frode, ma l'ultimo. Prima, il criminale deve raccogliere abbastanza tuoi dati da convincere l'operatore di essere il titolare della linea. Quella fase preliminare è pura ingegneria sociale: fughe di dati, phishing e smishing che ti chiedono di "verificare" i tuoi dati, chiamate che si fingono la tua banca o il tuo operatore, e informazioni pubbliche dai tuoi social.
Per questo il SIM swapping è quasi sempre preceduto da un altro tentativo di truffa. Se di recente hai ricevuto una chiamata o un SMS che chiedeva dati personali, consideralo un preavviso.
Perché l'SMS non è più un secondo fattore sicuro
Per anni, ricevere un codice via SMS per confermare un'operazione sembrava sufficiente: solo tu hai il tuo telefono, quindi solo tu ricevi il codice. Il SIM swapping distrugge questa premessa alla radice. Se l'attaccante controlla il tuo numero, il codice arriva a lui.
La conclusione non è che l'SMS non serve a niente, ma che è il fattore più debole tra quelli esistenti. Se puoi scegliere un altro metodo di verifica, sceglilo.
I segnali di un SIM swap in corso
Il tuo grande vantaggio difensivo è che il SIM swapping lascia una traccia molto visibile: il tuo telefono smette di funzionare. Il problema è che molti lo scambiano per un guasto tecnico e tardano ore a reagire. Ogni minuto conta.
| Segnale | Cosa significa |
|---|---|
| Improvvisa perdita di rete senza motivo | La tua SIM è stata disattivata; il numero potrebbe già essere su un altro telefono |
| Il telefono mostra "Nessun servizio" o "Solo emergenze" | La linea non è più associata alla tua scheda |
| Smetti di ricevere chiamate e SMS di colpo | Il traffico del tuo numero è stato dirottato |
| Arriva un avviso di "sostituzione SIM" o portabilità mai richiesta | È stata lavorata una pratica a tuo nome |
| Avvisi della banca su accessi sconosciuti | Qualcuno sta usando il tuo numero per entrare nei tuoi conti |
| Non riesci più ad accedere a email o social | Hanno avviato il recupero password col tuo numero |
Il segnale regina è la perdita di rete inspiegabile. Se sei dove hai sempre campo e all'improvviso sparisce, e riavviare non risolve, non rimandare. Prendi un altro telefono e chiama il tuo operatore per confermare che la tua SIM sia ancora attiva e che nessuno abbia chiesto un duplicato.
Cosa fare nei primi minuti
- Chiama il tuo operatore (TIM, Vodafone, WINDTRE o Iliad) da un altro telefono e chiedi di bloccare qualsiasi duplicato o portabilità e di riattivare la tua SIM. Di' che sospetti una frode.
- Contatta la tua banca dal canale ufficiale (l'app o il numero sul retro della carta) e chiedi di congelare accessi e operazioni online.
- Cambia le password dell'email principale e della banca da un dispositivo fidato — non dal telefono colpito.
- Controlla i tuoi conti in cerca di movimenti che non hai fatto.
- Sporgi denuncia alla Polizia Postale e segnala all'AGCOM. Conserva tutti i riferimenti.
Come proteggerti prima che accada
Il PIN di sicurezza dell'operatore: il tuo scudo migliore
Gli operatori in Italia permettono di impostare un PIN o codice di sicurezza per le operazioni sensibili come duplicati SIM e portabilità. Senza quel codice, nemmeno con i tuoi dati personali dovrebbero autorizzare il cambio.
Non sempre è attivo di default. Richiedilo espressamente: chiama il tuo operatore o accedi all'area clienti, chiedi di attivare un PIN di sicurezza per le pratiche di linea, scegli un codice non indovinabile (niente date di nascita) e conservalo separato da tutto il resto. È gratis ed è la barriera più efficace contro il duplicato fraudolento.
Sostituisci l'SMS con verifiche più forti
Anche se subisci il SIM swap, se i tuoi conti critici non dipendono dagli SMS, l'attaccante resta senza il pezzo chiave:
| Metodo di 2FA | Resistenza al SIM swap | Comodità |
|---|---|---|
| Codice via SMS | Bassa: intercettato col duplicato | Alta |
| App di autenticazione | Alta: il codice vive sul tuo dispositivo, non sul numero | Media |
| Chiave fisica / passkey | Molto alta: richiede il dispositivo fisico | Media |
| Approvazione nell'app della banca | Alta: legata al dispositivo, non all'SMS | Alta |
La raccomandazione pratica: sposta il secondo fattore di banca, email e social su un'app di autenticazione o passkey dove possibile. Tieni l'SMS solo per i servizi senza alternative.
Riduci la tua impronta di dati e blinda l'email
Non dare mai dati personali a chi ti contatta senza che sia tu ad aver avviato il contatto, diffida dell'urgenza, rivedi cosa pubblichi sui social e agisci di fronte agli avvisi di fughe di dati. E ricorda che la tua email è la chiave maestra: proteggila con la verifica più forte disponibile e attiva le notifiche della banca per ogni accesso o movimento.
Il tuo piano anti-SIM swap
- Attiva il PIN del tuo operatore oggi stesso.
- Togli l'SMS dal tuo 2FA su banca, email e social.
- Tratta la perdita improvvisa di rete come un'emergenza, non come un guasto tecnico.
- Proteggi la tua email sopra ogni cosa e attiva gli avvisi bancari.
Il SIM swapping spaventa perché attacca qualcosa che credevi inviolabile: il tuo stesso numero. Ma è una delle frodi che meglio si prevengono in tempo: una chiamata al tuo operatore e mezz'ora a cambiare impostazioni.
Fonti e revisione
Revisionato:
La numerazione, gli strumenti degli operatori e le procedure di segnalazione possono cambiare. Verifica i passaggi sensibili presso l’autorità ufficiale indicata nel link.
Dettagli dell'articolo
Contenuti editoriali esaminati da NoCall con un contesto pratico per individuare chiamate e messaggi sospetti.
Hai ricevuto una chiamata sospetta?
Cerca il numero su NoCall prima di condividere dati, richiamare o cliccare qualsiasi link.
Cerca un numero di telefono o il nome di un'azienda (Enel, TIM e Vodafone...) per verificare se è stato segnalato come spam.