SIM swap in Italia: riconoscere la truffa, bloccare la linea, costruire la prova

Nel SIM swap non viene violato il telefono: viene emessa una scheda nuova per una linea che non è la tua. È un'operazione di sportello o di portale, non un attacco informatico, e proprio per questo funziona. In Italia il fenomeno è diventato un problema regolatorio prima che tecnico: l'Autorità per le garanzie nelle comunicazioni ha dedicato alla sostituzione della SIM la delibera n. 86/21/CIR dell'8 luglio 2021, che ha reso obbligatoria la validazione del cambio scheda e ha introdotto un codice di blocco uguale per tutti i gestori. Questo articolo ricostruisce cosa quella delibera impone davvero, dove il controllo si rompe comunque, come si blocca una linea nelle prime ore, quali documenti esistono presso il gestore e come si fanno uscire, cosa si denuncia e con quale termine, e su quale base l'Arbitro Bancario Finanziario ha riconosciuto il rimborso delle operazioni eseguite dopo la sostituzione. Non consigli generici: i riferimenti, gli articoli e le scadenze che servono davanti a un gestore, a una banca e a un giudice.

Cos'è un SIM swap, in termini tecnici

Una linea mobile non è identificata dal telefono, ma dalla scheda. La rete non consegna chiamate e SMS al dispositivo: li consegna alla carta che in quel momento risulta provisionata su quel numero. Quando una nuova scheda viene attivata sulla stessa numerazione, la consegna si sposta. La vecchia carta perde l'aggancio alla rete, la nuova lo acquisisce. Per il sistema di rete questo non è un'intrusione: è un cambio di profilo, identico a quello che avviene quando un cliente dichiara un furto, una scheda guasta o il passaggio a eSIM.

Vale la pena fissare una distinzione che molta divulgazione confonde. La clonazione della SIM era la tecnica degli anni Novanta: si copiavano i parametri di autenticazione di una carta per farne funzionare una seconda in parallelo. Il SIM swap moderno non copia nulla: sposta la numerazione su una carta legittima, emessa dal gestore, con un contratto o una richiesta di sostituzione a nome della vittima. Non c'è malware, non c'è un exploit, e non c'è nulla da disinfettare nel telefono: il telefono è sano, è la linea che è stata trasferita. È anche la ragione per cui l'antivirus sul dispositivo non ha alcun ruolo nella vicenda, e per cui chi subisce l'attacco spesso non capisce cosa stia succedendo.

Le tre strade per arrivare allo stesso punto

La sostituzione della scheda. L'attaccante chiede una nuova SIM al posto di quella smarrita, rubata o guasta, al punto vendita, al servizio clienti o sul portale. È il percorso più frequente perché è il più ordinario: gli operatori eseguono sostituzioni ogni giorno e la procedura è progettata per essere rapida.

L'eSIM. La scheda non è un pezzo di plastica ma un profilo che viene caricato da remoto su un dispositivo, tramite QR code o direttamente dal portale del gestore. Non c'è nessuna consegna fisica, quindi non c'è nessun momento in cui una persona possa accorgersi che la carta è finita in altre mani. Per chi attacca è la via più comoda; per chi indaga è quella con meno tracce materiali.

La portabilità. L'attaccante apre un contratto presso un altro operatore e chiede che il numero della vittima venga portato lì. La numerazione cambia gestore e, insieme al gestore, cambia la scheda su cui viene consegnata. Il contratto che rende lecita l'operazione lo firma l'attaccante stesso, con le generalità della vittima.

Le tre strade convergono su un unico punto: la prova dell'identità di chi chiede. Ed è esattamente il punto che la regolazione italiana ha provato a rinforzare.

Cosa impone la delibera AGCOM 86/21/CIR

La delibera n. 86/21/CIR parte da una constatazione che l'Autorità scrive nel provvedimento: le segnalazioni di sostituzioni di SIM effettuate all'insaputa del titolare erano aumentate, anche per il tramite di offerte di sostituzione gestite per via telematica, e la sostituzione di una scheda da parte di un terzo non autorizzato consente di intercettare i codici necessari a compiere frodi presso gli istituti bancari. Il testo che ne è uscito è la fonte normativa più utile che un utente italiano abbia in mano, perché fissa obblighi verificabili.

Art. 1, chi può chiedere il cambio. La richiesta di cambio SIM, compresi i casi di portabilità, di furto, di smarrimento e le modifiche virtuali come l'eSIM, può essere effettuata esclusivamente dal titolare della SIM. In caso di furto, smarrimento o malfunzionamento la nuova scheda si ottiene solo presso il proprio operatore, e la portabilità può essere chiesta solo dopo aver sostituito la scheda. L'uso di deleghe è ammesso solo per le SIM aziendali. È una disposizione che vale la pena citare testualmente quando un punto vendita propone una procedura diversa.

Art. 2, identificazione del richiedente. Il gestore deve identificare chi chiede la sostituzione, sia allo sportello sia per via telematica, e acquisire copia leggibile del documento d'identità e di un documento attestante il codice fiscale, la vecchia SIM e, in caso di furto o smarrimento, la relativa denuncia. Per le eSIM l'identificazione avviene prima del caricamento del profilo da remoto o della sua attivazione in rete.

Art. 3, validazione obbligatoria. Il gestore deve sempre validare la richiesta: invia un SMS al cliente per informarlo che è stata chiesta la sostituzione e per chiedergli conferma, oppure lo chiama registrando la chiamata. In assenza di conferma il processo può proseguire solo in due casi: SIM rubata o smarrita con denuncia acquisita, oppure SIM guasta con restituzione della vecchia scheda. Lo stesso articolo ha reso obbligatoria, modificando l'art. 6 della delibera 147/11/CIR, la validazione parziale preventiva nel processo di portabilità.

Art. 3, comma 4, come si interrompe. I gestori devono offrire una procedura semplice per fermare una sostituzione indesiderata: rispondere negativamente al messaggio ricevuto, oppure inviare un SMS a un numero prestabilito uguale per tutti i gestori con il codice «40», oppure chiamare il servizio clienti, oppure ancora accedere all'area riservata. Nel caso di portabilità, il messaggio di blocco sospende la procedura e, dopo le verifiche, la annulla se la richiesta non è partita dal cliente.

Art. 5, informazione durante la portabilità. Il gestore deve informare il cliente, in modo puntuale, in quattro momenti: quando la richiesta di portabilità viene registrata, quando arriva la risposta dell'altro operatore, quando il numero passa, e quando il credito residuo viene accreditato sulla nuova SIM.

Art. 6, M2M e IoT. Per le SIM usate in servizi machine-to-machine il gestore deve acquisire una numerazione alternativa su cui inviare le comunicazioni di validazione e riportarla nel contratto. È la norma che spiega perché una linea dati aziendale senza numero alternativo registrato è un bersaglio silenzioso.

A monte della delibera sta l'obbligo di identificazione degli utenti dell'art. 98-undetricies del Codice delle comunicazioni elettroniche (D.Lgs. 207/2021): ogni impresa deve rendere disponibili al centro di elaborazione dati del Ministero dell'interno gli elenchi degli abbonati e degli acquirenti di traffico prepagato, identificati prima dell'attivazione del servizio, acquisendo i dati anagrafici del documento e la riproduzione del documento stesso. L'obbligo di identificazione per attivazione o sostituzione di una SIM risale, nella sua forma attuale, alla cosiddetta legge Pisanu (legge 155/2005), che il Garante per la protezione dei dati personali richiama espressamente nei propri provvedimenti in materia.

Dove il controllo si rompe comunque

La validazione arriva al numero che si sta spostando. È il punto più delicato e il meno discusso. L'SMS di conferma viene inviato alla linea oggetto della richiesta: se la sostituzione è già tecnicamente in corso, il messaggio può arrivare alla scheda nuova. Il meccanismo presuppone che la linea sia ancora in mano al titolare, ed è per questo che la delibera ha affiancato alla validazione una procedura di blocco attivabile dal cliente.

La conferma si può carpire. La validazione chiede al cliente di confermare che la richiesta è sua. Un attaccante che chiama fingendo di essere il servizio clienti, o che invia un SMS che invita a rispondere «SÌ» per annullare un cambio SIM, ottiene esattamente la conferma che gli serve. Ne discende una regola secca: nessun operatore chiede per telefono di confermare un cambio SIM che il cliente non ha chiesto, e ogni messaggio che invita a rispondere per «bloccare» va verificato chiamando il numero ufficiale.

I punti vendita. L'Autorità scrive nel provvedimento che nella gestione di queste operazioni non sussiste un'adeguata segregazione informatica dei dati personali dei clienti rispetto all'accesso da parte dei titolari dei punti vendita, il cui operato non è facilmente controllabile dal fornitore del servizio. È una frase amministrativa che descrive un rischio concreto: chi lavora in un negozio può vedere dati che non dovrebbe vedere, e quei dati sono la materia prima del social engineering.

L'eSIM. Senza consegna fisica, la fase in cui qualcuno potrebbe accorgersi di una carta anomala non esiste. Chi controlla il portale del gestore carica un profilo su un dispositivo che non è il vostro.

La portabilità. Il contratto che legittima il passaggio lo produce l'attaccante. Il controllo di merito finisce quindi sul gestore cedente, che deve verificare se chi chiede è davvero il titolare, e la verifica avviene spesso con un SMS al numero che sta per essere portato via.

Perché una linea telefonica apre quasi tutto

Il numero di telefono non è stato progettato come fattore di autenticazione, ma è diventato il fattore più diffuso. È il recapito dei codici usa e getta, il canale di recupero delle password, il secondo fattore di molti istituti di credito, l'identificativo di accesso a messenger e piattaforme social, il recapito su cui arrivano le notifiche di sicurezza. Sotto la direttiva sui servizi di pagamento, l'autenticazione forte del cliente può essere completata con un codice inviato via SMS: se quel codice arriva a qualcun altro, l'operazione risulta autorizzata dal punto di vista tecnico e non autorizzata dal punto di vista del titolare.

Chi controlla la linea non deve indovinare password. Avvia su ogni servizio che accetta il numero come fattore una procedura di recupero, intercetta il codice e si prende l'accesso. La debolezza non è nel singolo servizio: è nell'idea che una numerazione provi un'identità. È anche il motivo per cui l'Autorità, nella stessa delibera, collega esplicitamente la sostituzione della SIM alle frodi bancarie.

La cascata: in che ordine cade un conto

Nella quasi totalità dei casi l'ordine è lo stesso. Primo, la rete. La scheda perde l'aggancio. I segnali tipici sono l'assenza di segnale senza motivo, il messaggio di SIM non supportata, la richiesta del PIN che non compare più al riavvio, le chiamate che finiscono subito su una segreteria senza messaggi nuovi. Secondo, i codici. Chi ha la linea riceve adesso tutti gli SMS di verifica. Terzo, i recuperi. Posta elettronica, social, messenger, portali di servizi: ovunque la numerazione sia registrata come canale di recupero. Quarto, la casella di posta. È il vero premio, perché da lì partono tutti i recuperi successivi. Quinto, il denaro, tra home banking, carte, portafogli digitali e piattaforme di scambio. Sesto, l'identità, con profili che iniziano a scrivere ai contatti del titolare.

Per la prova questa sequenza è un vantaggio, non solo un danno: ogni passaggio lascia una marca temporale in un sistema diverso, e quelle marche devono stare in un ordine che non è spiegabile senza l'attivazione di una nuova scheda. Un codice di conferma non può essere recapitato prima del momento in cui la carta è stata attivata in rete.

Le prime ore, nell'ordine giusto

La priorità non è la password: è la linea. Finché la numerazione è in mano a qualcun altro, ogni credenziale cambiata passa comunque per i suoi codici.

• Chiamate subito il servizio clienti del vostro gestore. Chiedete il blocco della scheda e, insieme, il blocco di ulteriori sostituzioni e di portabilità sulla linea fino alla chiusura della pratica. Fatevi dare il numero di pratica: è il riferimento che vi servirà con la banca, con l'Autorità e in denuncia.
• Se la scheda è stata rubata o smarrita, presentate denuncia. Non è un passaggio burocratico facoltativo: la delibera 86/21/CIR prevede che, in caso di furto o smarrimento, il gestore acquisisca copia della denuncia per procedere alla sostituzione senza la conferma del cliente. Senza denuncia la linea si recupera più lentamente e con più attrito.
• Chiamate la banca dal numero stampato sul retro della carta o dall'app in Wi-Fi, mai da un recapito ricevuto per messaggio. Fate bloccare carte e accesso all'home banking e chiedete l'elenco delle operazioni delle ultime 48 ore.
• Mettete in sicurezza la posta elettronica prima di tutto il resto: cambio password, fattori su un'app di autenticazione, revoca di tutte le sessioni attive, controllo di inoltri automatici e regole sui filtri. Gli inoltri silenziosi sono il modo in cui un attaccante continua a leggere anche dopo che avete ripreso il controllo.
• Denunciate quando il danno è fermo, portando documenti e non descrizioni: schermate con data visibile, intestazioni delle email di recupero, movimenti bancari, numero di pratica del gestore.
• Cambiate le password solo alla fine, in un unico passaggio, quando i recapiti di recupero sono di nuovo sotto il vostro controllo. Cambiarle mentre la linea è ancora altrui significa consegnare al ladro la nuova chiave insieme alla vecchia.

Non esiste un 116 116 italiano: come si blocca davvero

Una nota pratica che circola poco. In Germania esiste un numero unico nazionale per la sospensione delle schede; in Italia non c'è un equivalente generalizzato, e il blocco passa dal servizio clienti del singolo gestore. Il meccanismo del codice «40» previsto dalla delibera non è un numero di emergenza: serve a interrompere una sostituzione o una portabilità che è stata richiesta e che il cliente non riconosce, inviando un SMS al numero prestabilito indicato dal proprio operatore, oppure rispondendo negativamente al messaggio di validazione.

Due conseguenze operative. La prima: tenete a portata di mano, su carta o in un gestore di password accessibile senza la linea, il numero del servizio clienti e il codice cliente. La seconda: quando chiamate, chiedete esplicitamente il blocco della scheda e il blocco delle successive operazioni di sostituzione e portabilità. Sono due richieste diverse, e la prima senza la seconda lascia aperta la strada a una seconda sostituzione poche ore dopo.

Quattro classi di prova da mettere in fila

1. La documentazione di attivazione della linea. Chi ha chiesto la sostituzione, con quale documento, presso quale punto vendita o canale, a che ora. È il documento che la delibera rende obbligatorio: l'identificazione del richiedente con copia del documento e del codice fiscale, e per le eSIM l'identificazione prima del caricamento del profilo. Se il gestore sostiene che la richiesta proveniva dal titolare, questa è la prima cosa da chiedere.

2. La traccia della validazione. L'SMS scambiato e la chiamata registrata sono il cuore del meccanismo: la delibera prevede che il gestore invii il messaggio o registri la chiamata. Nel processo di portabilità è previsto espressamente che il gestore destinatario conservi la documentazione relativa e mantenga traccia dello scambio degli SMS e della chiamata registrata. Se non esiste traccia, la validazione non è avvenuta.

3. I log dei servizi e della banca. Accessi da dispositivi nuovi, indirizzi IP, orari, metodo di autenticazione usato per ogni operazione contestata. Per un'operazione di pagamento la domanda decisiva è una sola: con quale fattore è stata completata l'autenticazione forte, e quel fattore era un SMS.

4. Le intestazioni delle email di recupero. Un messaggio di reimpostazione password contiene la data, l'ora e spesso l'indirizzo IP del richiedente. Conservateli come file originali, non come schermate: le intestazioni complete hanno valore probatorio, le immagini no.

L'ordine in cui queste quattro classi si incastrano è l'argomento tecnico della vicenda: la linea è stata spostata alle 14:07, il codice di accesso bancario è stato usato alle 14:19 su un dispositivo nuovo, il bonifico è partito alle 14:31. Nessuna di queste cose è spiegabile se la scheda non è stata attivata da un terzo.

L'istanza di accesso ex art. 15 GDPR che restituisce documenti

Il gestore è titolare del trattamento dei dati della vostra utenza, e l'art. 15 del Regolamento europeo vi dà diritto a ottenere conferma del trattamento, accesso ai dati, copia degli stessi e le informazioni elencate al primo paragrafo, compresi i destinatari a cui i dati sono stati comunicati. Il termine è di un mese dalla richiesta, prorogabile di due mesi per richieste complesse, con obbligo di motivare la proroga. La copia va fornita in formato strutturato e di uso comune, e per i dati che avete fornito il diritto alla portabilità dell'art. 20 permette di chiederli in un formato leggibile da dispositivo automatico.

Un'istanza utile non chiede «tutti i miei dati», perché una richiesta generica produce un estratto conto e niente altro. Chiede sette cose precise: copia del contratto e dell'ordine di sostituzione della SIM con data e ora; identificativo del punto vendita o del canale che ha eseguito l'operazione; copia del documento d'identità e del codice fiscale acquisiti in quell'occasione; esito della validazione, con la traccia dell'SMS o della chiamata registrata; elenco dei destinatari a cui sono stati comunicati i dati dell'utenza; log di accesso all'area riservata e alle richieste di sostituzione degli ultimi dodici mesi; indicazione del periodo di conservazione applicato a ciascuna categoria.

Due dettagli che fanno la differenza. Primo: il titolare non è sempre e solo il gestore della rete. Il Garante ha accertato la titolarità del trattamento in capo a un punto vendita che aveva attivato due SIM a nome di una persona senza che questa avesse mai prestato il consenso, contestando la violazione degli artt. 5, par. 1, lett. a), 6 e 13 del Regolamento e applicando al rivenditore una sanzione di 90.000 euro, oltre al divieto di ulteriore trattamento. L'istanza va quindi inviata anche al rivenditore, se è identificabile. Secondo: se la risposta non arriva o è incompleta, il reclamo al Garante è ex art. 77 del Regolamento ed è gratuito. Il Garante ha già chiuso un procedimento su SIM intestate a clienti ignari con sanzioni a quattordici rivenditori per oltre 500.000 euro complessivi, a tutela di 142 persone: è un precedente che vale la pena citare nel reclamo.

Profilo penale: cosa si denuncia, con quale termine

Nel codice penale italiano non esiste un reato chiamato «SIM swap». Esistono figure che si applicano ai singoli passaggi, e la qualificazione dipende da cosa l'attaccante ha fatto dopo aver preso la linea.

Accesso abusivo a un sistema informatico, art. 615-ter. Punisce chi si introduce abusivamente in un sistema informatico o telematico protetto da misure di sicurezza, o vi si mantiene contro la volontà espressa o tacita di chi ha diritto di escluderlo. La pena è della reclusione fino a tre anni; sono previste circostanze aggravate, che comportano pene più elevate, quando il fatto è commesso con violenza, con abuso della qualità di operatore del sistema, o su sistemi di interesse pubblico. Il delitto è punibile a querela della persona offesa, salvo che ricorra una delle aggravanti, nel qual caso si procede d'ufficio.

Frode informatica, art. 640-ter. Punisce chi, alterando il funzionamento di un sistema informatico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi, procura a sé o ad altri un ingiusto profitto con altrui danno. La pena base è della reclusione da sei mesi a tre anni e della multa da 51 a 1.032 euro. La pena è più grave se il fatto è commesso con trasferimento di denaro, di valore monetario o di valuta virtuale, o con abuso della qualità di operatore del sistema, o ancora se ricorrono le aggravanti comuni della minorata difesa e del danno di rilevante gravità. Negli stessi casi la procedibilità passa d'ufficio.

Sostituzione di persona, art. 494. Si applica quando l'autore, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore sostituendo illegittimamente la propria all'altrui persona: è la figura che descrive chi si presenta al punto vendita con le generalità della vittima.

Il termine. Per i reati punibili a querela, la querela va presentata entro tre mesi dalla conoscenza del fatto, secondo l'art. 124 del codice penale. Non è un termine «di comodo»: oltre quella data l'azione penale per la fattispecie base non è più esperibile, mentre per le ipotesi aggravate, procedibili d'ufficio, la denuncia resta utile anche dopo. La denuncia si presenta presso un qualsiasi ufficio di Polizia o dei Carabinieri, oppure alla Polizia postale, e va corredata di tutto ciò che avete già raccolto: numero di pratica del gestore, documentazione bancaria, intestazioni delle email. Chiedete sempre la copia della denuncia o il numero di registro: banche e gestori la richiedono per istruire le pratiche.

La banca: rimborso, onere della prova, e la linea dell'Arbitro Bancario Finanziario

Il rapporto con la banca è regolato dal D.Lgs. 11/2010. L'art. 11 prevede che, in caso di operazione di pagamento non autorizzata, il prestatore di servizi di pagamento rimborsi l'utente senza indebito ritardo e comunque entro la fine del giorno lavorativo successivo, salvo che abbia fondati sospetti di frode, nel qual caso può sospendere il rimborso ma deve informare l'utente per iscritto e notiziare la Banca d'Italia. L'art. 12 limita la responsabilità dell'utente per operazioni non autorizzate a 50 euro, salvo che abbia agito con dolo o colpa grave, nel qual caso sopporta l'intero danno: ed è il prestatore a dover provare la frode, il dolo o la colpa grave.

Su questo secondo punto si è formata una linea interpretativa favorevole a chi subisce il SIM swap. L'Arbitro Bancario Finanziario ha stabilito che la frode da sostituzione della SIM opera non sul versante della colpa grave del cliente, ma su quello dell'autenticazione, rendendo insufficiente la prova dell'autenticazione forte offerta dall'intermediario: se il codice è stato consegnato a una carta che non era del titolare, l'operazione non è autenticata, e il rimborso è dovuto per intero. In una decisione del Collegio di Torino l'Arbitro ha disposto la restituzione di 28.853 euro, qualificando il SIM swap come truffa particolarmente insidiosa, tale da escludere di per sé la colpa grave del cliente salvo casi particolari. In un'altra, il Collegio di Milano ha osservato che nei casi di frode da sostituzione della SIM le richieste del cliente risultano generalmente meritevoli di accoglimento integrale, perché la sostituzione della scheda va equiparata alla mancanza di autenticazione dell'operazione.

In pratica: contestate per iscritto, subito, indicando data e ora dell'operazione, importo, canale e il fatto che la linea era stata sostituita da un terzo; allegate la denuncia e la pratica del gestore. Il vademecum della Polizia di Stato ricorda che la contestazione va fatta appena possibile e comunque entro i termini contrattuali, che indica in tredici mesi dalla data del pagamento. Se la banca non risponde o risponde negativamente, il ricorso all'Arbitro Bancario Finanziario è gratuito, si presenta online, non richiede avvocato e non richiede alcuna conciliazione preventiva.

Il reclamo al gestore e ConciliaWeb

Contro il gestore la strada è diversa e più rapida di quella giudiziaria. Il primo passo è un reclamo scritto, con numero di pratica, data dell'evento e richiesta precisa: ripristino della linea, rimborso dei canoni del periodo di indisponibilità, indennizzo per il disservizio, consegna della documentazione. Il gestore deve rispondere entro 45 giorni; la risposta negativa o il silenzio aprono la seconda fase.

La seconda fase è la conciliazione obbligatoria davanti all'Autorità per le garanzie nelle comunicazioni, attraverso la piattaforma ConciliaWeb, disciplinata dalla delibera 203/18/CONS. È gratuita, si svolge online, richiede l'identità digitale, e la sua attivazione è condizione di procedibilità per le controversie che rientrano nella competenza dell'Autorità: senza il tentativo di conciliazione non si va davanti al giudice. La procedura ha tempi definiti, un tentativo di accordo e, in caso di esito positivo, un verbale che vale tra le parti. Nella richiesta conviene chiedere tre cose distinte: la documentazione di attivazione della scheda, il ripristino o il rimborso, e l'accertamento che la sostituzione non è stata richiesta dal titolare.

Un limite da conoscere: la conciliazione dell'Autorità non decide del risarcimento del danno da frode bancaria, che resta materia dell'Arbitro Bancario Finanziario e del giudice ordinario. Sono due binari separati, e vanno attivati entrambi quando il danno ha due nature, il disservizio della linea e la perdita patrimoniale.

Prevenzione, in ordine di efficacia

Non tutte le contromisure valgono lo stesso. Queste sono ordinate per effetto reale, non per facilità.

• Togliere l'SMS dai fattori di accesso, a partire dalla posta elettronica. App di autenticazione, chiavi di sicurezza, passkey: tutto ciò che non passa dalla rete mobile sopravvive a una sostituzione della scheda. È la misura con il rapporto costo-beneficio più alto, e va fatta sulla casella di posta prima che su ogni altro servizio.
• Attivare le protezioni che il gestore già offre. Blocco delle sostituzioni, password di sicurezza per il servizio clienti, notifiche delle modifiche contrattuali. Sono opzioni gratuite e spesso non attive per default: la delibera 86/21/CIR ha reso obbligatoria la validazione, non l'adesione a ogni singola protezione.
• Non confermare mai un cambio SIM che non avete chiesto. Né rispondendo al messaggio, né al telefono, né a un operatore che ve lo chiede in chiamata. Se il messaggio arriva, rispondete negativamente e chiamate il servizio clienti dal numero ufficiale.
• Un indirizzo email diverso per ogni servizio. È la misura che trasforma una violazione di dati altrui in un segnale: quando iniziano ad arrivare email di recupero su un indirizzo che nessuno conosce, sapete quale servizio è stato compromesso e potete agire prima del danno.
• Gestore di password e password uniche. Non impedisce il SIM swap, ma impedisce che la linea prestata si trasformi in accesso a tutti gli account.
• Proteggere il portale del gestore come una banca. Chi entra nel portale può chiedere una eSIM. Se il portale si apre con una password riutilizzata, la sostituzione è a un clic.
• Accorgersi in tempo. Perdita improvvisa di segnale, chiamate che non arrivano, notifiche di accesso che non riconoscete: sono i tre segnali che precedono il danno. Un controllo dei movimenti bancari nelle ore successive chiude il cerchio.

Cosa non serve, e perché

L'antivirus sul telefono. Non c'è nulla da rilevare: il dispositivo non è compromesso, è la scheda che è stata sostituita altrove. La formattazione. Stessa ragione, e in più cancella i log locali che potrebbero servire. Il blocco IMEI. Riguarda il terminale, non la linea: un telefono bloccato non impedisce a nessuno di ricevere gli SMS della vostra numerazione su un'altra scheda. «Non dare il numero a nessuno». Il numero è già nei contratti, nelle consegne, nelle rubriche, nei database delle violazioni: la riduzione dell'esposizione aiuta il social engineering, non la sostituzione della scheda. La VPN. Protegge il traffico, non la numerazione.

Una nota onesta sul cambio di numero. Dopo un incidente è una scelta legittima, ma non è una soluzione se l'attaccante ha già la casella di posta: cambiare numero senza aver ripreso il controllo dell'email sposta il problema di una settimana. E va fatto dopo aver censito tutti i servizi che usano il vecchio recapito, altrimenti si perde l'accesso a quelli che nessuno ricorda.

Se le linee sono aziendali

Per un'organizzazione il SIM swap non è una questione di privacy individuale ma di superficie di accesso. Il punto di partenza è l'inventario: quante linee, intestate a chi, con quale gestore, quali usate per ricevere codici di accesso ai sistemi aziendali. Nella pratica la linea più pericolosa è quella intestata a una persona che ha lasciato l'azienda e che nessuno ha mai chiuso.

Tre accorgimenti che la delibera rende praticabili. Primo: le deleghe. L'art. 1 della 86/21/CIR ammette l'uso di deleghe solo per le SIM aziendali, il che significa che un'azienda può organizzare il cambio scheda tramite un delegato formalmente nominato, ma deve farlo per iscritto e sapere chi è. Secondo: le linee M2M e IoT, per le quali l'art. 6 impone di registrare una numerazione alternativa per le comunicazioni di validazione; una linea dati senza numero alternativo è una linea che nessuno può avvisare. Terzo: la validazione come processo interno, non come fastidio. Se un dipendente riceve un SMS di sostituzione e risponde «SÌ» per chiudere il messaggio, il controllo è stato aggirato con un gesto distratto. Vale la pena scriverlo in una procedura di una pagina e ricordarlo ogni volta che il tema torna.

Il perimetro del nostro lavoro

Quanto descritto in questo articolo è materiale difensivo e procedurale: cosa impone la norma, cosa chiedere al gestore, come si documenta un'operazione non autorizzata, entro quali termini si denuncia, su quali basi si chiede il rimborso. Non è, e non sarà, un'istruzione per sostituire la scheda di qualcun altro: quella condotta integra gli illeciti descritti sopra ed è perseguibile.

Quando una linea è la vostra e il gestore non risponde, o quando una frode è già avvenuta e serve una ricostruzione documentale ordinata nel tempo — attivazione della scheda, codici emessi, accessi, operazioni — il lavoro si fa su due elementi: la documentazione formale e la sua sequenza. Le nostre verifiche si svolgono esclusivamente su linee di cui il committente è titolare, o per le quali esiste un'autorizzazione scritta del titolare, con perimetro e obblighi definiti prima di iniziare: potete richiedere una valutazione o vedere i servizi. Se state cercando le basi operative prima di un caso concreto, la sezione guide raccoglie i riferimenti per area.