Voci correlate
- Vulnerabilità del protocollo SS7, che offrono metodi alternativi per dirottare SMS e comunicazioni analoghe
Il SIM swap (noto anche come SIM swapping, attacco SIM swap, port-out scam, SIM splitting o simjacking) è un tipo di frode basata sull'appropriazione di account altrui che sfrutta generalmente una debolezza dei sistemi di autenticazione a due fattori e di verifica in due passaggi, nei quali il secondo fattore o passaggio consiste in un SMS o in una chiamata verso un telefono cellulare.
La frode sfrutta la possibilità, da parte di un operatore di telefonia mobile, di trasferire senza interruzioni un numero di telefono su un dispositivo contenente una diversa SIM. Questa funzionalità di portabilità del numero mobile viene normalmente utilizzata quando un telefono viene smarrito o rubato, oppure quando un cliente trasferisce il servizio su un nuovo telefono.
La truffa inizia con la raccolta di dati personali della vittima da parte del truffatore, che può ottenerli tramite email di phishing, acquistandoli da organizzazioni criminali, ricorrendo direttamente a tecniche di ingegneria sociale nei confronti della vittima oppure attingendo a dati diffusi online in seguito a violazioni di dati.
Con queste informazioni, il truffatore contatta l'operatore telefonico della vittima e ricorre a tecniche di ingegneria sociale per convincere un dipendente della compagnia a trasferire il numero della vittima sulla SIM in suo possesso. Per esempio, può spacciarsi per la vittima, usarne i dati personali per apparire credibile e dichiarare di aver perso il telefono. In alternativa, i truffatori corrompono dipendenti delle compagnie telefoniche affinché trasferiscano il numero della vittima su una nuova SIM. In alcuni paesi, in particolare in India e in Nigeria, il truffatore deve convincere la vittima ad approvare il cambio di SIM premendo il tasto 1.
Una volta ottenute le informazioni personali, gli aggressori di solito si fingono la vittima, contattano l'assistenza tecnica del suo operatore di telecomunicazioni e cercano di convincere i dipendenti a trasferire il numero di telefono della vittima sulla propria SIM. In alcuni casi, dipendenti di compagnie telefoniche sono stati corrotti dagli aggressori per modificare direttamente la SIM associata a un numero. Gli aggressori hanno cercato dipendenti di aziende come T-Mobile e Verizon tramite i social media o gli elenchi del personale nel tentativo di corromperli, promettendo talvolta un compenso in criptovaluta per ogni numero trasferito.
A questo punto il telefono della vittima perde la connessione alla rete e il truffatore riceve tutti gli SMS e le chiamate vocali. Così può intercettare le password usa e getta inviate tramite SMS o chiamata al numero della vittima e aggirare i metodi di autenticazione a due fattori che si basano su di esse. Poiché molti servizi consentono di reimpostare la password avendo accesso soltanto a un numero di telefono di recupero, la truffa permette ai criminali di accedere a quasi tutti gli account collegati al numero sottratto. In questo modo possono trasferire direttamente fondi da un conto bancario, ricattare il legittimo titolare o vendere gli account sul mercato nero per commettere ulteriori frodi e furti d'identità.
Diversi attacchi informatici di alto profilo sono stati condotti tramite SIM swap, tra cui alcuni ai danni di account sui social network Instagram e Twitter. Nel 2019 l'account Twitter dell'amministratore delegato della società, Jack Dorsey, fu violato con questo metodo.
Nel dicembre 2018 l'investitore in valute digitali Michael Terpin, fondatore e amministratore delegato di Transform Group, intentò una causa contro Nicholas Truglia e, nel maggio 2020, una seconda causa contro Ellis Pinsky, studente diciottenne dell'ultimo anno della Irvington High School di Irvington, nello stato di New York, accusandoli, insieme a 20 complici, di aver sottratto 23,8 milioni di dollari nel 2018 sfruttando informazioni sugli account rubate dagli smartphone con il SIM swap. All'epoca dei fatti Truglia aveva 18 anni e Pinsky 15. Truglia fu condannato a 18 mesi di reclusione e alla restituzione di 20 milioni di dollari, mentre a Pinsky fu imposta la restituzione di 22 milioni di dollari ma, essendo minorenne, evitò il carcere.
Secondo il Microsoft Digital Defense Report 2024, meno di un terzo dell'uno per cento degli attacchi all'identità ricorre al SIM swap, a fronte del 99% riconducibile al riutilizzo di credenziali sottratte in precedenti violazioni (breach replay), al password spray e al phishing.
Nel 2021 l'FBI statunitense ha ricevuto 1.600 segnalazioni relative al SIM swap, con un aumento di oltre il 400% rispetto al 2018. Secondo l'FBI, nel 2021 le vittime di questa truffa basata sulle SIM hanno perso 68 milioni di dollari, contro appena 12 milioni complessivi nel periodo 2018-2020. Le segnalazioni di SIM swap all'FBI sono aumentate del 26% nel 2022, raggiungendo quota 2.026, per poi calare del 47% nel 2023 (1.075) e del 9% nel 2024 (982) e scendere a 971 nel 2025, anno in cui le perdite dichiarate sono ammontate a 17.366.758 dollari. Il picco del 2022 corrispondeva a meno dello 0,3% di tutti i reati informatici segnalati, tra i quali figuravano phishing e spoofing (44%), violazioni di dati (8%) e furti d'identità (4%).
Nel Regno Unito le segnalazioni di SIM swap al National Fraud Database sono aumentate di oltre il 1.000% tra il 2023 e il 2024, ma i 2.760 casi segnalati rappresentavano meno dell'1% di tutte le segnalazioni di frode. Secondo Cifas, nel 2025 i casi di SIM swap non autorizzati registrati nel National Fraud Database sono aumentati del 38%.
In Kenya l'operatore Safaricom, che serve circa due terzi dei 70 milioni di telefoni del paese, ha registrato tra il 2024 e il 2025 un aumento del 327% dei casi di SIM swap, passati da 11 a 47.
In Corea del Sud sono stati documentati diversi presunti casi di SIM swap a partire dall'inizio del 2022. Lo schema ricorrente prevede che le vittime subiscano un'improvvisa interruzione del servizio di telefonia mobile, accompagnata da una notifica che segnala una modifica; in seguito le persone colpite scoprono che i propri conti bancari e di criptovalute sono stati compromessi.
