Il Suo vecchio numero di telefono consente ancora di accedere ai Suoi account

Quando si cambia operatore, di norma si mantiene il proprio numero. La situazione si fa interessante quando ciò non avviene. Un nuovo contratto con un nuovo numero, una seconda SIM disattivata, una carta prepagata esaurita. Il vecchio numero non è scomparso. Torna all’operatore e, prima o poi, viene assegnato a qualcun altro. Nel frattempo, rimane ancora nel Suo account Google, su PayPal e presso la Sua banca come mezzo per accedervi nuovamente.

In Germania il numero viene immediatamente riassegnato

Qui non esiste un periodo di tutela legale. La normativa tedesca in materia di numerazione, la Telekommunikations-Nummerierungsverordnung, disciplina il caso nel paragrafo 9, comma 3, e recita: «Un numero assegnato in via derivata torna all’assegnatario originario al momento della cessazione del contratto per la fornitura del servizio di telecomunicazioni a cui il numero era stato assegnato». Per «assegnazione derivata» si intende che il vostro operatore vi ha fornito il numero attingendo dal proprio blocco. L’assegnatario originario è l’operatore. Terminato il contratto, il numero torna all’operatore. Non vi è alcun riferimento a un periodo di attesa.

La durata dell’attesa volontaria da parte di un operatore dipende dall’operatore stesso. Deutsche Telekom descrive il problema nel proprio forum di assistenza con notevole franchezza. Il blocco può «durare da 1 a 6 mesi a seconda dell’operatore», si legge lì, e inoltre: «Una volta che quel numero viene nuovamente reso disponibile, viene assegnato a un nuovo utente, il quale potrebbe così ottenere accesso indiretto a molti dei Suoi dati e account». Alcuni paragrafi più avanti il post entra nel dettaglio. WhatsApp cancella gli account inattivi dopo 45 giorni, si osserva, ma ciò è di scarso aiuto «se i vecchi numeri di cellulare vengono in alcuni casi resi nuovamente disponibili dopo 30 giorni».

Il confronto con gli Stati Uniti è scomodo. Lì l’autorità di regolamentazione, la FCC, prescrive un periodo minimo di 45 giorni, con un limite massimo di 90 giorni per gli account dei consumatori. La Germania, al momento, non prevede nulla in merito.

Non si tratta di una questione di scarsità. Nella sua panoramica sui blocchi di numeri liberi, la Bundesnetzagentur, l’autorità tedesca di regolamentazione delle telecomunicazioni, elenca circa 430 blocchi da un milione di numeri di cellulare ciascuno. Alla fine del 2025, secondo la sua relazione annuale, erano in uso attivo 106,4 milioni di profili SIM. Chiunque riassegni un numero lo fa per motivi operativi, non per necessità.

Cosa è stato misurato negli Stati Uniti

Ad oggi, i dati concreti provengono da un unico studio, di origine americana. Kevin Lee e Arvind Narayanan dell’Università di Princeton hanno acquistato 259 numeri disponibili gratuitamente da Verizon e T-Mobile nei mesi di agosto e settembre 2020 e hanno verificato quali informazioni fossero ancora associate a essi.

Per 171 di essi, pari al 66 per cento, esisteva ancora almeno un account del precedente proprietario su Amazon, AOL, Facebook, Google, PayPal o Yahoo. In una seconda fase, i ricercatori hanno preso in esame oltre 200 numeri riutilizzati e li hanno monitorati per una settimana ciascuno. 19 numeri, poco meno del 10%, hanno ricevuto messaggi rilevanti per la sicurezza in quella singola settimana. Sei di essi contenevano codici monouso, tra l’altro provenienti da Apple, Google, Microsoft, Facebook e WhatsApp.

A questo proposito vanno segnalate due precisazioni. La rilevazione risale a sei anni fa e riguarda due operatori statunitensi. Non esiste un equivalente tedesco, né da parte del BSI, né da parte di un’università, né da parte di un’associazione di consumatori. D’altra parte, i ricercatori hanno deliberatamente evitato di leggere il contenuto dei messaggi per rispetto delle persone coinvolte, limitandosi a verificare i mittenti, e affermano essi stessi che la percentuale reale è probabilmente più elevata.

Il porting verifica solo ciò che è contenuto in ogni violazione dei dati

Il secondo percorso per ottenere il Suo numero non passa attraverso l’attesa, ma attraverso l’operatore. Nel SIM swapping qualcuno si spaccia per Lei e fa trasferire il Suo numero su una nuova scheda.

Come si svolge tale verifica è descritto dalla Bundesnetzagentur, l’autorità tedesca di regolamentazione delle telecomunicazioni, nel proprio portale dedicato ai consumatori. I clienti devono assicurarsi «che i propri dati cliente corrispondano sia presso l’operatore precedente che presso quello nuovo: nome, indirizzo, data di nascita e numero da trasferire». Questo è l’intero confronto. Quattro dettagli, nessuno dei quali segreto, e che insieme sono presenti in ogni violazione dei dati di una certa entità.

Nessuno dei quattro principali operatori tedeschi offre un blocco del trasferimento prenotabile. Ciò che esiste è una password per la hotline, e la sua efficacia varia notevolmente. Presso o2 questa comoda opzione è stata abolita. Alla domanda se siano sufficienti la data di nascita, l’indirizzo o le coordinate bancarie, l’azienda risponde: «Purtroppo ciò non è possibile. A partire dal 16 febbraio 2023 sarà necessario fornire il proprio codice cliente personale oppure il codice PUK del contratto di telefonia mobile». Presso Deutsche Telekom la password del cliente è facoltativa e non sostituisce i dati abituali, ma si aggiunge ad essi.

Importante per contestualizzare: lo «SIM swapping» non è un fenomeno di massa in Germania. Telekom, 1&1 e Telefónica non hanno segnalato alcun aumento significativo per il 2024, e né l’agenzia di polizia federale BKA né la polizia dello Stato della Bassa Sassonia ritengono attualmente che il fenomeno rivesta particolare rilevanza. Il punto non è la frequenza con cui si verifica, ma il fatto che lo sforzo richiesto per un attacco mirato rimanga contenuto.

Perché proprio gli accessi a due fattori ne risentono

L’aspetto fastidioso è proprio la direzione del fenomeno. Si imposta un secondo fattore per rafforzare il proprio account e, così facendo, si crea un sistema di riserva più debole della password che lo precede.

Il BSI, l’agenzia federale tedesca per la sicurezza informatica, lo sottolinea proprio in questa sede nella sua valutazione dei metodi di autenticazione a due fattori (2FA). Laddove un meccanismo di recupero a fattore singolo possa sostituire l’autenticazione a due fattori, l’agenzia lo definisce fondamentalmente critico e sottolinea che gli aggressori possono prendere di mira proprio questo punto debole. Un messaggio di testo inviato a un numero che non è più il vostro da due anni costituisce un meccanismo di questo tipo, a fattore singolo.

In questo caso è meglio eliminare piuttosto che aggiungere

Il riflesso condizionato nei consigli sulla sicurezza è quello di configurare un’ulteriore misura. In questo caso è esattamente il contrario.

Controlli tutti gli account a cui sono collegati denaro, identità o la Sua casella di posta elettronica ed elimini ogni numero di telefono che non possiede più. Ciò riguarda Google, Apple, Microsoft, PayPal, Amazon, il Suo conto bancario e l’indirizzo e-mail secondario a cui non pensa da anni. Su Google troverete le voci nella sezione «Sicurezza» e le modalità per verificare la vostra identità; su Apple, nelle impostazioni dell’account, sotto «Accesso e sicurezza».

Sostituite gli SMS come secondo fattore di autenticazione con un’app di autenticazione o una passkey ovunque sia possibile. Entrambe sono collegate al dispositivo, non al numero. Dopodiché potrà rimuovere completamente il numero come opzione di riserva in molti servizi.

E se decide di rinunciare a un numero, lo faccia in questo ordine: prima esca da tutti gli account, poi cancelli il numero. Se fa il contrario, rischia di rimanere bloccato fuori dai propri account mentre qualcun altro riceve i codici.