La procedura di sostituzione della SIM ora ha inizio dall’account del Suo operatore, non in negozio

Il telefono non rileva alcun segnale. Nessuna tacca di copertura, nessuna chiamata di emergenza, nulla. Venti minuti dopo arriva un’e-mail che informa che qualcuno ha effettuato l’accesso alla Sua casella di posta, e che il codice di accesso è stato inviato a un numero che fino a poco fa era il Suo. È così che l’Ufficio di Polizia Criminale dello Stato della Bassa Sassonia descrive l’esito dell’accaduto, e gli investigatori definiscono il dirottamento di un cellulare e di un account e-mail una perdita totale. In un caso a loro noto, la casella di posta dirottata rivelava che la vittima possedeva criptovaluta, e in seguito il denaro era scomparso.

L’immagine comune dello “swap della SIM” è la seguente: qualcuno falsifica un documento d’identità, entra in un negozio e gli viene consegnata una scheda sostitutiva. Questo accade, ma il metodo contro cui mettono in guardia gli investigatori non richiede né negozi né documenti cartacei.

Tre passaggi, e nessuno di essi richiede un documento d’identità

Il punto di accesso è il Suo account online presso l’operatore, e gli aggressori vi accedono utilizzando il solo numero di telefono. Alcuni operatori consentono di accedere a tale account tramite un codice monouso anziché una password, e chiunque conosca il numero può richiederlo. È proprio quel codice che gli aggressori ottengono da Lei.

Quindi chiamano fingendosi un corriere. Vi informano che un pacco è in arrivo e che, per motivi di sicurezza, potrà essere consegnato solo se leggerete ad alta voce un codice contenuto in un SMS. Il messaggio arriva effettivamente, ma proviene dall’operatore e non dal corriere, un dettaglio che è facile trascurare sul momento. Leggere ad alta voce il codice sblocca il Suo account.

All’interno dell’account ordinano una eSIM per il contratto in corso. Nessuna scheda fisica deve essere spedita da nessuna parte: il profilo è un file e diventa attivo in pochi minuti. Una volta che è attivo sul dispositivo dell’autore dell’attacco, la scheda nel telefono della vittima di solito si disattiva automaticamente.

Da quel momento in poi ogni messaggio viene inoltrato all’altro dispositivo e, poiché la maggior parte dei servizi online consente di reimpostare la password tramite e-mail o SMS, il resto segue a ruota. Abbiamo analizzato la rapidità con cui un numero si trasforma in una chiave universale utilizzando l’esempio dei vecchi numeri di telefono.

Non è possibile attivare un blocco contro il trasferimento del numero

A questo punto l’idea più ovvia è quella di bloccare il proprio numero. Negli Stati Uniti è possibile farlo. Verizon chiama il blocco della portabilità «Number Lock», T-Mobile lo offre come «Port Out Protection», mentre AT&T raggruppa diversi blocchi nel «Wireless Account Lock», disponibile esclusivamente nella propria app.

In Germania non esiste un blocco mirato specificamente alla portabilità e alla sostituzione della SIM, e c’è un motivo. La portabilità del numero qui è un diritto legale ai sensi dell’articolo 59 della Legge sulle telecomunicazioni e, dal 1° dicembre 2021, gli operatori non possono addebitare alcun costo per tale servizio. Un blocco permanente che il cliente attiva autonomamente risulta in netto contrasto con un diritto che il legislatore ha voluto rendere di facile esercizio. Ciò di cui dispongono invece gli operatori tedeschi è una password per l’assistenza telefonica e la possibilità di bloccare una SIM in caso di smarrimento. Entrambe le misure hanno effetto solo a seguito di un evento già verificatosi.

L’interruttore effettivamente presente si trova nell’area dell’account

L’attacco ha inizio dall’account online, ed è proprio lì che si decide l’esito della difesa. Tutti e tre i principali operatori dispongono ora di un secondo fattore di autenticazione per l’accesso, ma in questo caso le differenze sono rilevanti.

Presso Telekom la funzione si chiama «Mehr-Faktor-Authentifizierung» e diventa operativa solo dopo che l’utente l’ha configurata autonomamente. Si sceglie il metodo, app o SMS, e inoltre il momento in cui attivarlo: ad ogni accesso o solo in occasione di azioni importanti. Vodafone consiglia di generare codici di backup immediatamente al momento dell’attivazione, in modo che la perdita del telefono non comporti anche la perdita dell’account. Presso O2 il secondo fattore è obbligatorio e, in assenza di un numero O2 o di un indirizzo e-mail verificato in archivio, la verifica avviene tramite il numero cliente.

Perché in questo caso l’autenticazione a due fattori tramite SMS non funziona correttamente

Ora mettiamo a confronto l’attacco e le impostazioni. Ciò che viene rubato è il numero di telefono, e il secondo fattore di autenticazione destinato a proteggere l’account è un SMS inviato proprio a quel numero, per impostazione predefinita presso O2 e su richiesta presso Telekom. Finché viene sottratta solo la password, il sistema funziona. Una volta che il numero viene sottratto, il secondo fattore di autenticazione protegge l’autore dell’attacco anziché l’utente.

Nello stesso annuncio che rende obbligatorio il secondo fattore di autenticazione, O2 inserisce una frase che è facile trascurare. «Non comunicate mai il codice per telefono o in chat», recita il testo, «il team di assistenza non lo richiede mai in quei canali». È proprio lì che interviene il falso corriere.

Chiunque abbia la possibilità di scegliere opta per l’app. Un codice generato da un’app di autenticazione rimane sul dispositivo e non viaggia insieme al numero. Chi non ha questa possibilità sposta il peso sull’account e-mail. Tale account necessita quindi di una password forte a sé stante e di un secondo fattore di autenticazione che non sia nuovamente legato allo stesso numero.

Cinque minuti per completare l’operazione

Accedete al portale del vostro operatore e verificate se è configurato un secondo fattore di autenticazione. Presso Telekom lo troverete nelle impostazioni di accesso, presso Vodafone alla voce «Mein Konto» e «Login-Daten», mentre presso O2 è comunque attivo. Se è indicato «SMS» e viene proposta un’app, effettuate il passaggio. Presso Telekom, impostate inoltre l’autenticazione a ogni accesso.

Già che ci siete, verificate che la password dell’account dell’operatore non venga utilizzata altrove. Si tratta della chiave per ordinare una eSIM, pertanto rientra nella stessa categoria della vostra password per l’online banking. Verificate quindi quale sia il meccanismo di sicurezza sul telefono. Presso Telekom si tratta del «Kundenkennwort», che può essere impostato e modificato tramite il modulo di contatto. Vodafone lo ha sostituito nell’app mobile con il «Service-PIN», che potete visualizzare in «MeinVodafone» ma non modificare, bensì solo richiederne uno nuovo, che vi verrà poi inviato per posta.

E infine la regola che non è un’impostazione. Nessuno che La chiami ha bisogno di un codice contenuto nei Suoi messaggi di testo. Né un corriere, né un team di assistenza, né una banca. Chiunque lo richieda ha bisogno del codice perché sta confermando qualcosa a suo nome in questo preciso momento. Riattacchi, componga lei stesso il numero ufficiale e chieda chiarimenti. La stessa logica si applica alla password per la verifica in due passaggi su WhatsApp, che dalla fine di agosto ha sostituito il vecchio PIN a sei cifre.