SIM swap: cos'è e cosa fare se ti succede

Cos'è il SIM swap, e come funziona

Il SIM swap (anche chiamato clonazione o sostituzione fraudolenta della SIM) è una truffa in cui qualcuno si finge te per farsi attivare dal tuo operatore telefonico una SIM nuova sul tuo numero, spacciandola per persa, rubata o danneggiata. Da quel momento quella SIM nuova — in mano al truffatore — riceve al posto tuo le tue chiamate e i tuoi SMS, e la tua SIM vera smette di funzionare.

Per riuscirci, il truffatore deve prima procurarsi i tuoi dati personali — nome, data di nascita, codice fiscale, indirizzo, a volte gli estremi di un documento — di solito raccolti con un furto di dati, un phishing precedente, o semplicemente cercandoli online. Con questi dati si presenta come te, di persona in un negozio o per telefono con il servizio clienti, e chiede un duplicato della SIM o un passaggio a un altro gestore (portabilità) sul tuo numero.

Il bersaglio vero non è il numero di telefono in sé: è tutto quello che oggi si protegge con un codice ricevuto via SMS. Con la tua SIM in mano, il truffatore può ricevere il codice di verifica di WhatsApp per rubarti l'account, il codice OTP della tua banca per autorizzare bonifici o pagamenti, o il codice per entrare in un'email o un social che usa l'SMS come recupero.

Il segnale d'allarme: il telefono perde la copertura

Il segno più diretto di un SIM swap in corso è che il telefono smette di avere rete all'improvviso: in alto, al posto delle tacche, compare Nessun servizio o simili, le chiamate non partono e i dati mobili non funzionano — mentre il Wi-Fi, se attivo, continua a funzionare normalmente.

Da solo questo non basta a dire che sei vittima di un SIM swap: capita anche per cause innocue, come un guasto di rete nella tua zona o un problema del telefono o della SIM fisica. Quello che conta è il contesto: se la perdita di segnale non ha nessuna spiegazione, e magari è arrivata poco dopo un SMS o una chiamata sospetta, è il momento di controllare.

C'è però un segnale che precede quasi sempre la perdita di rete, e che per legge non puoi non ricevere: la delibera AGCOM 86/21/CIR (in vigore da novembre 2022) impone che un cambio SIM per smarrimento, furto o guasto possa chiederlo solo il titolare della linea, con documento d'identità, codice fiscale e la vecchia SIM (o la denuncia, se rubata o persa), e che anche una portabilità verso un altro operatore richieda una SIM funzionante. Per questo, per OGNI richiesta di cambio SIM o di portabilità il tuo operatore ti manda un SMS di conferma prima che il cambio diventi effettivo: se arriva e non l'hai chiesto tu, è il segnale più chiaro di un SIM swap in corso, prima ancora che tu perda il segnale.

Cosa fare subito se sospetti un SIM swap

Conta la velocità: più tempo passa, più tempo ha il truffatore per usare i codici che arrivano alla SIM che controlla lui. Questi passi valgono sia se hai già perso il segnale, sia se hai solo ricevuto una conferma sospetta e vuoi fermarla in tempo.

1. Usa un altro telefono per i prossimi passi: il tuo potrebbe non avere linea, e in ogni caso non vuoi chiamare un numero scritto in un SMS sospetto.
2. Se hai ricevuto un SMS che ti chiede di confermare un cambio SIM o una portabilità che non hai richiesto, blocca subito: per legge (delibera AGCOM 86/21/CIR) ogni cambio SIM o portabilità genera questo SMS di conferma prima di diventare effettivo. Puoi bloccarlo rispondendo «no» al messaggio, mandando un SMS con il codice di blocco che ti comunica il tuo operatore (non è un numero universale: te lo dice il tuo gestore, non è lo stesso per tutti), chiamando il servizio clienti, oppure dall'area clienti del sito o dell'app. Se riesci a fermarlo qui, il SIM swap non arriva nemmeno a cominciare: è il passo più importante di questa guida.
3. Contatta subito il servizio clienti del tuo operatore, chiamando il numero ufficiale che trovi sulla bolletta, sul sito o nell'app del tuo gestore — non un numero arrivato per SMS. Spiega che sospetti un cambio SIM non autorizzato e chiedi di bloccare la SIM attivata dal truffatore e riattivare la tua.
4. Chiedi conferma di cosa è stato richiesto: un duplicato della SIM, oppure una portabilità verso un altro operatore. Nel secondo caso, è l'operatore di destinazione — quello verso cui il numero viene trasferito — a dover chiedere conferma via SMS secondo la delibera AGCOM: contattalo direttamente se il tuo operatore attuale non riesce a bloccare da solo il passaggio.
5. Contatta la tua banca, dal numero di emergenza sul retro della carta o dall'app (se riesci ad accedervi da un altro dispositivo), per sospendere l'accesso all'home banking e bloccare le carte: finché la SIM è in mano al truffatore, ogni codice OTP che la banca manda per confermare un pagamento arriva a lui, non a te.
6. Cambia le password di home banking, email ed eventuali altri account che usano l'SMS per il recupero, da una connessione che consideri sicura.
7. Recupera WhatsApp appena rientri in possesso del tuo numero: vedi la sezione successiva.

Recuperare WhatsApp dopo un SIM swap

Appena il tuo numero torna attivo sulla tua SIM, WhatsApp va rimesso in sicurezza: il truffatore, nel frattempo, potrebbe averlo registrato sul suo telefono usando il codice che gli è arrivato.

1. Riapri WhatsApp e registra di nuovo il tuo numero: ti arriva un nuovo codice a 6 cifre via SMS o chiamata, e registrandoti tu disconnetti chi stava usando l'account al posto tuo.
2. Controlla i dispositivi collegati e disconnetti qualunque sessione che non riconosci.
3. Attiva la verifica in due passaggi appena rientri: una password che blocca una nuova registrazione del tuo numero su un altro telefono, anche se qualcuno ottenesse di nuovo un codice SMS.
4. Avvisa i tuoi contatti per un'altra via (una telefonata, un altro social) se l'account è rimasto in mano a terzi anche solo per poco: potrebbero aver ricevuto richieste di denaro a tuo nome.

Come prevenire il SIM swap

Non è un rischio che dipende da quanto sei bravo con la tecnologia: dipende da quanti dati su di te sono in giro, e da quante barriere hai messo prima che servano.

1. Attiva la verifica in due passaggi di WhatsApp (una password, non più solo il vecchio PIN): blocca una nuova registrazione del tuo numero anche se il truffatore arriva a controllare la SIM — vedi la guida «Truffa WhatsApp» per il percorso esatto.
2. Sappi già, prima che ti serva, come si blocca un cambio SIM: per legge (delibera AGCOM 86/21/CIR) un duplicato SIM o una portabilità non diventano mai effettivi senza un SMS di conferma sul tuo numero, che puoi bloccare rispondendo «no», con un codice che ti comunica il tuo operatore, chiamando il servizio clienti o dall'area clienti del sito. Conoscere già questo passaggio ti fa reagire subito, invece di ignorare l'SMS pensando sia pubblicità.
3. Non condividere i dati che bastano per farsi passare per te: codice fiscale, data e luogo di nascita, indirizzo, estremi di un documento. Sono proprio i dati che un truffatore usa per convincere un operatore che è lui il titolare della linea — non vanno dati per telefono, email o SMS a nessuno che li chiede con una scusa, nemmeno a chi dice di chiamare dal tuo operatore.
4. Usa un'app di autenticazione invece dell'SMS, dove il servizio lo permette (email, social, alcune banche): un codice generato da un'app sul telefono non passa dalla rete telefonica, quindi un SIM swap non lo intercetta.
5. Fai attenzione ai tentativi di phishing che chiedono proprio questi dati: spesso il SIM swap è l'ultimo passo di una raccolta dati iniziata con un'email o un SMS-truffa precedente.

Dove segnalare o denunciare un SIM swap già subito

Oltre a farti riattivare la SIM e mettere in sicurezza conti e account (sezioni precedenti), un SIM swap già avvenuto si segnala anche fuori dall'operatore.

1. Fai un reclamo scritto al tuo operatore: è il primo passo, obbligatorio prima di rivolgerti a chiunque altro. Serve anche per contestare eventuali addebiti e per sapere con quale procedura è stato autorizzato il cambio SIM a tuo nome.
2. Denuncia alla Polizia Postale: su commissariatodips.it trovi un modulo di segnalazione, ma la pagina stessa dice che non sostituisce una denuncia vera. Per denunciare, denunceonline.poliziadistato.it (SPID o CIE) permette una pre-denuncia online, attiva solo in alcune sedi sperimentali in Lazio e da formalizzare di persona entro 48 ore; altrove la denuncia si fa di persona in un ufficio di polizia, portando le prove (SMS ricevuti, estratti conto, le comunicazioni con l'operatore).
3. Se hai perso denaro, segui anche la procedura di contestazione con la tua banca: in Italia hai diritto al rimborso di un pagamento non autorizzato, salvo un motivato sospetto di una tua colpa grave — vedi la guida «Carta di credito o debito clonata: cosa fare subito» per i tempi esatti e i tuoi diritti.
4. Se l'operatore non risponde entro il termine previsto (verifica sul sito del tuo operatore) o la risposta non ti soddisfa, puoi avviare gratuitamente una conciliazione su ConciliaWeb (conciliaweb.agcom.it, serve SPID o CIE), il servizio dell'AGCOM che media tra te e l'operatore: la domanda va presentata entro 4 mesi dal reclamo.