«Ho perso il telefono: mi serve una SIM nuova, con il mio numero.»

Il copione lo recitano a un altro

In quasi tutte le pagine di questo sito il truffatore deve convincere te. Qui no. Chi va convinto è l’addetto di un negozio del tuo operatore, o il servizio clienti: davanti ha una persona con un documento d’identità intestato a te, che chiede una cosa ordinaria. Una SIM nuova perché la vecchia è persa, rubata o guasta; oppure il passaggio del numero a un altro operatore. Se la richiesta passa, il tuo numero si sposta sulla scheda che ha in mano lui. Il tuo telefono resta acceso e il wi-fi funziona, ma non chiama più e non riceve più SMS: tutto quello che arriva al tuo numero arriva a lui.

Non è una truffa in cui qualcuno, all’improvviso, ti clona la SIM e basta: lo ha sottolineato anche il docente cileno. Per presentarsi al tuo posto servono i tuoi dati, e quelli arrivano prima, spesso da un altro copione.

Il copione, mossa per mossa

1. Il contatto: prima i tuoi dati

   Un SMS o un’email con un link, una pagina che imita quella della banca, una telefonata di qualcuno che si presenta a nome di un ente di cui ti fidi. Il segnale, secondo il docente cileno, è la quantità: una pagina che chiede tutti insieme il numero di cellulare, una password e i tuoi dati personali chiede troppo. A Catania la banda si procurava con tecniche di hacking i dati anagrafici delle vittime, il loro numero di telefono e le credenziali dell’home banking, e solo dopo andava dal rivenditore.

2. Il pretesto: la SIM persa, rubata o guasta, o il cambio di operatore

   Al negozio la richiesta è di quelle che si sentono tutti i giorni. Ho perso il telefono, me l’hanno rubato, la scheda non funziona più; oppure voglio passare a un altro operatore tenendo il mio numero. Sono proprio i casi in cui, nel 2021, l’AGCOM registrava sostituzioni fatte senza che il titolare ne sapesse niente: il passaggio ad altro operatore, il presunto furto, il deterioramento della scheda. A Catania chi recitava la parte si presentava dal rivenditore con un documento d’identità falso intestato alla vittima.

3. La leva: un’operazione di routine

   Qui non c’è paura né fretta da creare. Per chi sta al bancone sostituire una SIM è un’operazione di routine, e il documento porta il nome giusto. Nella delibera del 2021 l’AGCOM annotava anche una debolezza che non dipende dal truffatore: i dati personali dei clienti non erano separati in modo adeguato dall’accesso dei titolari dei punti vendita, e l’operatore non riusciva a controllarne facilmente l’operato.

4. L’isolamento: il telefono senza linea

   Quando la SIM nuova si attiva, la tua si spegne. È la mossa che toglie di mezzo te: le telefonate e gli SMS con cui la banca potrebbe cercarti, o chiederti una conferma, arrivano a lui. E il segnale che ricevi è ambiguo: il telefono è acceso, il wi-fi di casa funziona, sullo schermo compare «Nessun servizio». Sembra un guasto della rete. A Catania, secondo la ricostruzione della Polizia Postale, le vittime si accorgevano che la SIM non funzionava ma di solito non lo collegavano a una truffa in corso; e i tempi erano così brevi che non riuscivano ad attivare in tempo le protezioni.

5. Il canale irreversibile: per la banca, il titolare è chi ha il numero

   Con il tuo numero, il resto è veloce. Il docente cileno lo descrive così: cominciano a reimpostare le password della banca, usando i codici di verifica che arrivano per SMS. A Catania, il più delle volte, la banda telefonava all’assistenza della banca presentandosi come il titolare del conto, rispondeva alle domande di sicurezza e si faceva reimpostare le credenziali. Poi bonifici e ricariche di carte prepagate verso conti aperti da complici e prestanome, per far perdere la traccia dei soldi.

Perché le regole non bastano

Dopo la delibera del 2021 cambiare la SIM di un altro è diventato più difficile. La sostituzione può chiederla solo il titolare, anche per le eSIM. Se la scheda è persa, rubata o guasta, quella nuova si chiede solo al proprio operatore, e il passaggio a un altro operatore viene dopo. Chi chiede la SIM va identificato con un documento d’identità e il codice fiscale, e l’operatore, prima di procedere, avvisa il numero e chiede conferma.

Ma la stessa delibera lascia due strade per andare avanti anche senza la conferma del titolare: la SIM dichiarata smarrita o rubata, se chi la chiede porta la copia di una denuncia, e la SIM guasta, se consegna la vecchia scheda. Già nel 2022, prima che le regole entrassero in vigore, la rivista Cybersecurity360 indicava come punto debole la SIM dichiarata smarrita, d’accordo con un esperto di sicurezza dei dispositivi mobili: chi ha un documento falso a tuo nome può presentarsi anche con una denuncia falsa. Per questo la difesa che non dipende dal negozio resta una sola, ed è la tua: accorgersi in fretta che il telefono ha perso la linea, e non aspettare.