a frode SIM swap è un attacco di acquisizione account in cui un criminale trasferisce il numero di cellulare della vittima su una SIM sotto il suo controllo, tramite ingegneria sociale ai danni dell'operatore o un trasferimento di numero da parte di un dipendente, in modo che qualsiasi password monouso (OTP) inviata via SMS a quel numero arrivi sul dispositivo dell'aggressore. Poiché il numero di telefono viene utilizzato come secondo fattore di autenticazione, un semplice SMS OTP non è sufficiente a impedirlo.
Questo articolo approfondisce il tema della lotta contro lo scambio di SIM. Per la verifica della rete senza intoppi, che costituisce la base della maggior parte del sistema di difesa, consultate la nostra guida all'autenticazione silenziosa di rete: questo post illustra il suo posizionamento rispetto al rilevamento dello scambio di SIM e all'autenticazione a più livelli.
Come funziona effettivamente uno scambio di SIM
Un furto di SIM (chiamato anche dirottamento di SIM o portabilità non autorizzata) non attacca i server dell'utente, bensì il processo di recupero dell'account della rete mobile. Il criminale raccoglie innanzitutto dati personali sufficienti sulla vittima per impersonarla: nome, data di nascita, indirizzo, ultimi numeri chiamati o documenti di identità trapelati. Successivamente, contatta l'operatore di telefonia mobile della vittima, dichiara di aver smarrito o danneggiato la SIM e chiede che il numero venga riattivato su una nuova SIM in suo possesso o trasferito a un altro operatore.
La riattivazione del numero a volte avviene tramite una persona corrotta o costretta a collaborare con un dipendente di un negozio o di un call center, motivo per cui anche i controlli tecnici più rigorosi devono presupporre che il trasferimento del numero possa avere successo. Nel momento in cui il numero viene trasferito, il telefono reale della vittima perde silenziosamente il servizio e ogni chiamata e messaggio, inclusi i codici OTP, i link per il ripristino della password e gli avvisi di transazione, vengono instradati all'attaccante. Da lì in poi, la sequenza è rapida e meccanica:
- Attivare il ripristino della password o l'accesso a un account di destinazione (bancario, portafoglio, email, exchange) che utilizza il numero di telefono per il recupero o l'autenticazione a due fattori.
- Riceverai la password monouso tramite SMS sulla SIM sostituita e completerai la sfida.
- Assumi il controllo dell'account, modifica i dati di recupero e blocca l'accesso al legittimo proprietario.
- Preleva fondi, autorizza pagamenti o passa ad altri conti che condividono lo stesso codice di recupero.
Perché l'OTP via SMS da solo non basta
L'invio di SMS OTP considera il controllo del numero di telefono come prova di possesso. Questa ipotesi è valida fino a quando il numero non viene trasferito, e un cambio di SIM lo fa. Il codice in sé non è un problema; il problema è che viene inviato in chiaro a chiunque detenga la SIM in quel momento, e la rete ha appena consegnato la SIM all'attaccante. Nulla nel messaggio, nella lunghezza del codice o nella finestra di scadenza influisce su chi lo riceve.
Ecco perché gli enti di standardizzazione ora considerano gli SMS un canale a bassa affidabilità piuttosto che un solido secondo fattore di autenticazione. Il NIST classifica l'autenticazione out-of-band basata su SMS come un autenticatore "limitato" nello standard SP 800-63B e si aspetta che i verificatori rilevino indicatori come un recente cambio di SIM o la portabilità del numero prima di considerarlo affidabile. In pratica, per un team di sicurezza o di prodotto, la conclusione è semplice: l'OTP via SMS è accettabile come segnale in una struttura a più livelli, ma non deve mai essere l'unico elemento a protezione del ripristino della password o di un'azione di alto valore. Per una spiegazione più dettagliata di questa struttura a più livelli, consultare la panoramica sulla sicurezza (security).
Difese in profondità
Nessun singolo controllo può impedire lo scambio di SIM, perché l'attacco si estende su due sistemi che non si controllano completamente: il processo di provisioning dell'operatore e il dispositivo dell'utente. La soluzione duratura è la difesa a più livelli: verificare il possesso in un modo che una SIM scambiata non può soddisfare, rilevare quando è appena avvenuto uno scambio, associare le sessioni a dispositivi noti e intensificare le misure di sicurezza quando il rischio aumenta. Ogni livello sottostante blocca l'attacco in un punto diverso.
Autenticazione di rete silenziosa e verifica del numero di operatore
L'autenticazione silenziosa di rete (SNA) conferma il possesso della SIM verificando direttamente con l'operatore di telefonia mobile durante la sessione dati attiva, senza inviare alcun codice. Poiché non viene inviato alcun codice OTP, una SIM sostituita non può intercettarlo e, aspetto fondamentale, la verifica è legata alla connessione di rete attiva, quindi riflette la SIM effettivamente connessa in quel momento. Le API di verifica del numero dell'operatore, standardizzate nell'ambito dell'iniziativa GSMA Open Gateway, rendono questa funzionalità disponibile su diverse reti. Posizionate l'SNA in cima alla cascata, con l'OTP via SMS al di sotto per una maggiore copertura: i dettagli completi sono disponibili nella nostra guida sull'autenticazione silenziosa di rete (SNA).
Rilevamento dello scambio/cambio della SIM
La contromisura più diretta consiste nel porre alla rete una semplice domanda prima di fidarsi di un OTP: quando è stata cambiata l'ultima volta questa SIM? La segnalazione dell'operatore può restituire il timestamp dell'ultimo cambio o trasferimento della SIM per un numero. Se tale modifica è avvenuta entro un intervallo di rischio, in genere dalle 24 alle 72 ore, il numero viene considerato ad alto rischio e si rifiuta di accettare un OTP via SMS o un'azione sensibile su di esso. Invece di autenticare, si mette in attesa, si richiede un fattore di autenticazione più rigoroso o si inoltra il caso per una verifica. In questo modo, l'evento su cui l'attaccante fa affidamento si trasforma nel segnale che lo ferma.
Collegamento del dispositivo
Associa l'account ai dispositivi che utilizza abitualmente. Quando una credenziale o una sessione è collegata a un dispositivo noto, tramite una chiave hardware, una password o un'impronta digitale del dispositivo verificata, un utente malintenzionato in possesso solo del numero di accesso si trova comunque su un dispositivo non riconosciuto. L'accesso dal nuovo dispositivo diventa un'anomalia visibile anziché un accesso sicuro e può essere soggetto a ulteriori verifiche prima che venga concessa la fiducia.
Autenticazione a più livelli su rischio e valore
La difficoltà della verifica deve essere proporzionata al rischio. Un accesso di sola lettura di routine può consentire l'utilizzo di criteri di sicurezza blandi; l'aggiunta di un beneficiario, la modifica di un codice di recupero o il trasferimento di denaro dovrebbero invece richiedere un livello di sicurezza più elevato, come un sistema anti-phishing, un'approvazione in-app o una nuova verifica della rete. Quando un recente cambio di SIM, un nuovo dispositivo o una posizione insolita coincidono con un'azione di alto valore, tale combinazione dovrebbe sempre attivare un sistema di verifica più rigoroso rispetto a un semplice codice SMS.
Sovrapponi i fattori: l'OTP è un segnale, non l'intera serratura.
Il principio unificante è quello di impedire che un singolo segnale di possesso del numero sia isolato. Combinare un controllo di possesso verificato dalla rete, segnali di cambio SIM e del dispositivo, e un fattore di resistenza al phishing per i flussi di maggior valore, mantenendo l'OTP via SMS come fallback universale per la copertura. Mappati sull'attacco, i livelli lo interrompono a ogni passaggio:
| Fase di attacco | Cosa ottiene l'attaccante | Controllo che lo rompe |
|---|---|---|
| Trasferisci il numero su una nuova SIM | SMS e chiamate in entrata | Rilevamento dello scambio di SIM in base al timestamp dell'ultima modifica |
| Attiva un codice OTP via SMS | Il codice monouso sul loro dispositivo | Autenticazione di rete silenziosa (non viene inviato alcun codice) |
| Accedi da un nuovo dispositivo | Una sessione sull'account di destinazione | Associazione del dispositivo e autenticazione a più fattori |
| Trasferisci denaro o modifica i dati | Pagamento o acquisizione completa | Autenticazione a più livelli: l'OTP è un fattore, ma mai l'unico. |
L'aspetto bancario della regione MENA e del GCC
Nel Golfo, questo non è un rischio astratto. Secondo i dati di GSMA Mobile Economy, i Paesi del Consiglio di Cooperazione del Golfo (CCG) si posizionano tra i mercati con la più alta penetrazione di smartphone e adozione di servizi bancari mobili a livello mondiale, e i portafogli digitali e i sistemi di pagamento istantaneo sono ormai diffusi negli Emirati Arabi Uniti, in Arabia Saudita e in Egitto. Laddove il telefono rappresenta il canale principale per le operazioni bancarie e l'identificazione governativa, il numero di telefono diventa un obiettivo di particolare valore, e un'eventuale sostituzione ha un impatto finanziario immediato. Di conseguenza, le autorità di regolamentazione regionali e le banche stanno inasprendo i requisiti per i trasferimenti di valore elevato e le modifiche dei beneficiari.
Per le banche e le fintech della regione, la strategia difendibile è quella a più livelli descritta sopra, implementata tramite infrastrutture dirette con gli operatori. Un controllo di possesso verificato dalla rete e una richiesta di cambio SIM dipendono da relazioni di segnalazione reali con gli operatori di terminazione: la stessa impronta di percorso diretto che rende affidabile la distribuzione A2P è ciò che rende accurato il rilevamento del cambio SIM. I percorsi non ufficiali non possono fornire un timestamp affidabile dell'ultimo cambio SIM.
Lo stack OTP e verifica di BroadNet esegue prima un'autenticazione di rete silenziosa, controlla eventuali recenti modifiche alla SIM prima di accettare un codice e, in caso di copertura, ricorre esclusivamente agli SMS: pertanto, una SIM sostituita non supera il controllo di possesso. Per un widget di verifica integrato con fallback vocale basato sulla stessa rete dell'operatore, consultare MyOTP.
Domande frequenti
Cos'è la frode dello scambio di SIM?
La frode dello scambio di SIM è una tecnica di acquisizione di account in cui un criminale convince un operatore di telefonia mobile a trasferire il numero di telefono della vittima su una SIM sotto il suo controllo, tramite ingegneria sociale, furto di dati di identità o grazie alla complicità di un dipendente dell'operatore. Una volta trasferito il numero, chiamate e messaggi, inclusi i codici monouso via SMS, arrivano sul dispositivo dell'aggressore, permettendogli di eludere l'autenticazione telefonica e di impossessarsi degli account.
È possibile che lo scambio di SIM impedisca l'invio dell'OTP tramite SMS?
Sì. Questa è la principale debolezza sfruttata da uno scambio di SIM. L'OTP via SMS presuppone che il controllo del numero dimostri il possesso, ma uno scambio reindirizza il numero alla SIM dell'attaccante, quindi il codice viene recapitato direttamente a lui. La difesa non consiste in un codice migliore, ma in un controllo diverso: autenticazione silenziosa della rete, una richiesta di cambio SIM prima di accettare l'OTP, associazione del dispositivo e autenticazione a più fattori per le azioni di alto valore.
Come fanno le banche a prevenire gli attacchi di scambio di SIM?
Le principali banche applicano diversi livelli di controllo. Interrogano la rete per verificare l'orario dell'ultimo cambio di SIM e rifiutano gli OTP o le transazioni di valore elevato quando il cambio è recente; utilizzano l'autenticazione di rete silenziosa in modo che non venga inviato alcun codice intercettabile; associano le sessioni a dispositivi noti; e rafforzano il livello di protezione contro il phishing per i trasferimenti di denaro e le modifiche dei beneficiari. L'OTP via SMS è considerato solo uno dei tanti segnali, non l'unico criterio di controllo.
Riferimenti
- NIST — Linee guida SP 800-63B sull'identità digitale (guida per l'autenticazione e le procedure fuori banda): nist.gov
- GSMA — API Open Gateway, Verifica del numero e Sostituzione SIM: gsma.com
- BroadNet — OTP e verifica e panoramica sulla sicurezza.
- BroadNet — Autenticazione di rete silenziosa nel 2026.