Il SIM swapping è una tecnica tutt’altro che nuova, ma continua a sfruttare un problema ancora attuale: l’utilizzo del numero di telefono come elemento dell’identità digitale e, soprattutto, come canale per ricevere codici OTP e completare procedure di autenticazione o recupero degli account.
Prendendo il controllo del numero della vittima, un criminale può quindi trasformare una frode ai danni dell’operatore telefonico in un vero e proprio account takeover, puntando a servizi bancari, wallet di criptovalute, posta elettronica, social network e account aziendali.
Il problema non riguarda dunque soltanto la SIM: riguarda la fiducia che servizi digitali e procedure di autenticazione continuano ad attribuire al possesso di un numero telefonico.
Indice degli argomenti
Attacco SIM swapping: cos’è e come funziona
Il termine SIM swapping indica il trasferimento dell’utenza telefonica di una persona verso un’altra SIM o un altro profilo eSIM. Si tratta, in sé, di una procedura del tutto legittima: può essere necessaria quando una SIM viene smarrita, danneggiata o sostituita, quando si cambia dispositivo oppure quando viene effettuata la portabilità del numero verso un altro operatore.
L’attacco nasce quando questa procedura viene richiesta e completata da una persona diversa dal reale titolare dell’utenza.
L’obiettivo non è quindi necessariamente impossessarsi fisicamente della SIM della vittima, ma convincere o indurre l’operatore a riassociare il numero telefonico a una SIM o a un dispositivo controllato dall’attaccante.
Una volta completato il trasferimento, la vecchia SIM può perdere la connettività alla rete e chiamate e SMS destinati alla vittima vengono ricevuti dal dispositivo controllato dal criminale. È proprio questa possibilità a trasformare il SIM swapping in uno strumento particolarmente efficace per aggirare procedure di autenticazione e recupero degli account basate sul numero di telefono.
SIM swapping ed eSIM: cambia il supporto, non il rischio
La progressiva diffusione delle eSIM non elimina il rischio di SIM swapping.
A cambiare è il supporto utilizzato per associare l’utenza telefonica al dispositivo, non il principio su cui si basa l’attacco. ENISA ricorda infatti che il SIM swap è utilizzato legittimamente anche per collegare dispositivi dotati di eSIM e descrive procedure in cui il nuovo profilo può essere attivato mediante provisioning remoto.
Con una SIM tradizionale l’operatore associa quindi il numero a una scheda fisica; con una eSIM viene invece installato sul dispositivo un profilo digitale. In entrambi i casi, se un attaccante riesce ad aggirare i controlli di identificazione e a ottenere il trasferimento dell’utenza, il risultato può essere il medesimo: la presa di controllo del numero telefonico.
Il punto debole non è quindi necessariamente la SIM come oggetto fisico, ma il processo attraverso cui viene autorizzato il trasferimento dell’identità telefonica.
Come fanno i criminali a prendere una SIM con il nostro numero
Un attacco di SIM swapping comincia spesso molto prima della richiesta di sostituzione della SIM.
La fase preparatoria consiste nella raccolta delle informazioni necessarie a impersonare il titolare dell’utenza davanti all’operatore. Nome e cognome, data di nascita, indirizzo, numero telefonico, informazioni contrattuali, credenziali compromesse e altri dati personali possono provenire da campagne di phishing, malware, data breach, social network o attività OSINT.
Più informazioni riesce a raccogliere l’attaccante, maggiori sono le possibilità di superare procedure di identificazione non sufficientemente robuste.
Entra quindi in gioco il social engineering. Il criminale può, ad esempio, dichiarare di aver perso o danneggiato la SIM, richiederne la sostituzione oppure cercare di trasferire l’utenza verso un altro dispositivo o operatore. In alcuni scenari possono essere utilizzati documenti contraffatti, account dell’operatore precedentemente compromessi oppure la collaborazione di insider.
Il SIM swapping va dunque letto come una catena di attacco nella quale furto di dati personali, impersonificazione e vulnerabilità dei processi di customer authentication possono convergere fino alla presa di controllo del numero.
Anche il quadro italiano è nel frattempo cambiato rispetto a quello descritto nella versione originaria di questo articolo. Con la delibera 86/21/CIR, AGCOM ha introdotto controlli specificamente diretti ad aumentare la sicurezza nelle procedure di sostituzione della SIM e di portabilità del numero. La stessa Autorità lo ha ricordato nel 2026 nell’ambito dell’ulteriore aggiornamento della regolamentazione sulla Mobile Number Portability.
Nell’aprile 2026 AGCOM ha infatti approvato con la delibera 26/26/CIR un ulteriore aggiornamento del quadro regolamentare sulla portabilità dei numeri mobili e ha successivamente avviato un tavolo tecnico con gli operatori sui sistemi di tracciamento e sulle misure per contrastare utilizzi impropri delle informazioni legate alla MNP.
Attacco di SIM swapping: perché è così pericoloso
Il SIM swapping è particolarmente pericoloso perché la compromissione del numero telefonico può rappresentare soltanto il primo passaggio di un attacco più ampio.
Molti servizi utilizzano ancora il numero di telefono per ricevere codici OTP, confermare operazioni, recuperare password oppure dimostrare il possesso di un account. Prendendo il controllo dell’utenza, l’attaccante può quindi tentare di appropriarsi anche delle identità digitali che dipendono da essa.
Una casella di posta elettronica è un esempio particolarmente critico. Se compromessa, può diventare il punto di partenza per reimpostare le password di numerosi altri account. Lo stesso vale per servizi bancari, piattaforme di criptovalute, social network, servizi cloud e, nel contesto professionale, account aziendali.
Il problema emerge soprattutto quando il numero telefonico viene utilizzato come secondo fattore di autenticazione.
Nella 2FA basata su SMS, infatti, un fattore è normalmente costituito dalla password e il secondo dalla possibilità di ricevere sul numero registrato un codice temporaneo. Se l’attaccante riesce contemporaneamente a procurarsi la password – ad esempio attraverso phishing, credential stuffing o una precedente compromissione – e a impossessarsi del numero attraverso SIM swapping, può ricostruire entrambi gli elementi necessari all’accesso.
L’OTP resta monouso, ma il canale attraverso cui viene consegnato è stato trasferito sotto il controllo dell’attaccante.
Va inoltre evitato un equivoco: SIM swapping e intercettazione degli SMS attraverso vulnerabilità delle reti telefoniche, come quelle storicamente associate al protocollo SS7, sono tecniche differenti. Nel primo caso l’attaccante sfrutta soprattutto procedure organizzative e di identificazione per ottenere il controllo legittimamente riconosciuto dall’operatore sul numero; nel secondo tenta invece di intercettare le comunicazioni sfruttando debolezze dell’infrastruttura.
Il successo di un SIM swap, quindi, non richiede necessariamente lo sfruttamento di una vulnerabilità software sofisticata. È proprio la combinazione di social engineering, dati personali compromessi e debolezze nei processi a renderlo insidioso.
Inoltre, diversamente da molti attacchi di phishing tradizionali, la fase decisiva può svolgersi senza alcuna interazione diretta della vittima: non occorre necessariamente convincerla ad aprire un allegato o installare un malware.
Il SIM swapping continua a causare perdite milionarie
I dati più recenti confermano che il fenomeno non è scomparso.
Nel 2025 Internet Crime Report, l’FBI Internet Crime Complaint Center ha registrato 971 segnalazioni classificate come SIM Swap, contro 982 nel 2024 e 1.075 nel 2023. Le perdite dichiarate nel 2025 ammontano a circa 17,37 milioni di dollari, dopo 25,98 milioni nel 2024 e 48,8 milioni nel 2023.
Il dato va letto con cautela: riguarda gli episodi denunciati all’IC3 e non può quindi essere utilizzato come stima della dimensione globale del fenomeno. È però sufficiente a dimostrare che il SIM swapping resta una tecnica capace di produrre conseguenze economiche significative.
Il vero valore del numero telefonico, del resto, non è il numero in sé. È costituito dagli account e dagli asset digitali che quel numero consente ancora di proteggere, recuperare o autorizzare.
Come difendersi da un attacco
Non è possibile impedire in modo assoluto che qualcuno tenti di impersonarci davanti a un operatore telefonico. È però possibile ridurre drasticamente l’impatto potenziale di un SIM swap, soprattutto evitando che il numero di telefono rappresenti una chiave universale per l’accesso agli account più importanti.
La prima contromisura consiste nel ridurre la dipendenza dagli SMS per l’autenticazione, quando il servizio offre alternative più robuste.
Le linee guida NIST più recenti sono molto chiare sul punto. La SP 800-63B-4 continua a classificare l’utilizzo della rete telefonica pubblica per l’autenticazione out-of-band come un restricted authenticator e raccomanda ai fornitori di valutare indicatori di rischio come device swap, SIM change e number porting prima di inviare un segreto di autenticazione attraverso la rete telefonica.
Per gli account più sensibili è quindi preferibile utilizzare, quando disponibili, passkey o security key hardware basate su FIDO2/WebAuthn. Questi sistemi utilizzano credenziali crittografiche e non dipendono dalla ricezione di un codice attraverso il numero telefonico. Le passkey sono costruite proprio sugli standard FIDO2, costituiti da WebAuthn e CTAP; nell’agosto 2026 WebAuthn Level 3 è inoltre diventato una Recommendation W3C definitiva.
Le applicazioni TOTP rappresentano comunque un’alternativa migliore rispetto all’SMS dal punto di vista specifico del SIM swapping, perché il possesso del numero telefonico non consente automaticamente di generare i codici.
Questo non significa però che siano invulnerabili. Un codice TOTP può ancora essere sottratto attraverso campagne di phishing in tempo reale, malware o compromissione dell’endpoint. Per questo, dove il rischio lo giustifica, gli autenticatori crittografici resistenti al phishing rappresentano una scelta più robusta.
Particolare attenzione va riservata alla casella e-mail principale, perché spesso costituisce il meccanismo di recupero di numerosi altri servizi. Proteggerla con un’autenticazione indipendente dal numero telefonico riduce la possibilità che un SIM swap produca un effetto domino.
È inoltre opportuno verificare presso il proprio operatore la disponibilità di PIN, password, notifiche preventive o ulteriori misure di sicurezza applicabili alle richieste di sostituzione della SIM e portabilità.
Sul piano della prevenzione rimane valido un altro principio: limitare la quantità di informazioni personali esposte pubblicamente. Dati apparentemente innocui pubblicati sui social network possono diventare elementi utili per superare domande di sicurezza, rendere più credibile una richiesta al customer care o costruire una falsa identità.
Per le aziende, infine, il problema merita una valutazione specifica. Account privilegiati, procedure di password reset, VPN e sistemi amministrativi non dovrebbero, quando esistono alternative adeguate, dipendere esclusivamente da OTP inviati al numero aziendale del dipendente.
Il passaggio da SMS a MFA phishing-resistant, passkey e security key non protegge soltanto dal SIM swapping: riduce più in generale la superficie di attacco legata al furto delle credenziali.
SIM swapping, criptovalute e account ad alto valore
Le criptovalute hanno contribuito storicamente a rendere il SIM swapping particolarmente redditizio. Compromettere un account collegato a un exchange o sfruttare una procedura di recupero basata sul numero telefonico può infatti consentire di puntare direttamente ad asset digitali rapidamente trasferibili.
Il rapporto IC3 2025 mostra ancora una connessione tra le due aree: tra le segnalazioni con un nesso con le criptovalute, il SIM swap è associato a oltre 4,4 milioni di dollari di perdite.
Ma limitare il fenomeno ai wallet sarebbe oggi riduttivo.
Un numero telefonico compromesso può essere utilizzato all’interno di una più ampia operazione di account takeover. L’obiettivo può essere un conto bancario, una casella e-mail utilizzata per recuperare altri account, un profilo social di valore, servizi cloud oppure un’identità aziendale da sfruttare per proseguire l’attacco all’interno dell’organizzazione.
È quindi cambiata soprattutto la prospettiva con cui leggere questa tecnica: il SIM swapping non è necessariamente l’attacco finale, ma può essere uno strumento per conquistare un elemento dell’identità digitale della vittima e utilizzarlo contro altri servizi.
Ed è proprio questa dipendenza tra identità telefonica e identità digitale a spiegare perché una tecnica nata molti anni fa continui a essere rilevante anche nell’era di passkey, autenticazione biometrica e servizi cloud.
I sintomi che dovrebbero metterci in allarme
Uno dei principali segnali di un possibile SIM swapping rimane la perdita improvvisa e inspiegabile della connettività mobile.
Il telefono smette di registrarsi sulla rete dell’operatore, chiamate e SMS non funzionano più e il problema continua anche dopo il riavvio del dispositivo. Questo accade perché, quando l’utenza viene attivata sulla nuova SIM o sul nuovo profilo, quella precedentemente utilizzata può essere disabilitata.
Una perdita del segnale, naturalmente, non significa automaticamente essere vittime di SIM swapping: potrebbe trattarsi di un semplice disservizio. Ma quando il problema compare senza una ragione evidente, soprattutto se accompagnato da altri segnali anomali, è opportuno non sottovalutarlo.
Tra gli indicatori da considerare ci sono notifiche dell’operatore relative a una sostituzione della SIM o a una portabilità mai richiesta, e-mail che segnalano modifiche all’account telefonico, richieste inattese di reimpostazione delle password, notifiche di autenticazione sconosciute e messaggi relativi ad accessi da nuovi dispositivi.
In questi casi, la velocità di reazione è determinante.
È necessario contattare immediatamente l’operatore da un altro dispositivo e verificare se siano state richieste operazioni di sostituzione della SIM, attivazione di una eSIM o portabilità del numero. Se la modifica non è autorizzata, occorre chiedere il blocco della procedura e il ripristino del controllo sull’utenza.
Parallelamente è opportuno mettere in sicurezza gli account digitali più critici, iniziando dalla casella e-mail principale, modificare le credenziali potenzialmente compromesse, revocare sessioni e dispositivi sconosciuti e verificare eventuali modifiche ai metodi di autenticazione e recupero.
Subito dopo vanno controllati i servizi finanziari, gli account bancari, gli exchange di criptovalute, i social network e gli eventuali servizi aziendali associati al numero compromesso. In presenza di movimenti sospetti occorre coinvolgere senza ritardo banca o provider finanziario e procedere con le ulteriori segnalazioni del caso.
Il SIM swapping dimostra così un principio valido ben oltre la telefonia mobile: un fattore di autenticazione è sicuro quanto lo sono il canale, il processo e l’identità su cui quel fattore si basa.
Proteggere il numero telefonico rimane importante.
Ma la strategia più efficace consiste nel fare in modo che la compromissione di quel numero, da sola, non sia più sufficiente per compromettere anche la nostra identità digitale.
