Le frodi SIM-Swap possono svuotare il conto bancario della tua azienda in un pomeriggio: PIN di port-out, app di autenticazione e gli avvisi che intercettano un takeover in anticipo

A pranzo il tuo telefono mostra "Nessun servizio". Fastidioso, ma il Wi-Fi del bar funziona, così continui a rispondere alle email e torni al lavoro. A cena, qualcuno dall'altra parte del Paese ha usato il tuo numero di telefono per reimpostare la password della tua email, autorizzare un bonifico dal conto corrente aziendale e bloccarti l'accesso al portale delle buste paga. Nulla è stato violato nel senso hollywoodiano — nessun malware, nessuna password compromessa. Il tuo operatore mobile ha consegnato il tuo numero a un estraneo che l'ha chiesto gentilmente, e ogni codice di sicurezza inviato via SMS dalla tua banca è finito direttamente a lui.

Questa è la SIM swapping, ed è una delle frodi con le perdite più elevate rivolte ai piccoli imprenditori proprio perché aggira le difese di sicurezza di cui la maggior parte dei titolari si fida. L'Internet Crime Complaint Center dell'FBI ha registrato 982 denunce di SIM-swap con quasi 26 milioni di dollari di perdite dichiarate nel 2024 — una media di oltre 26.000 dollari per vittima — dopo un picco di 72,6 milioni di dollari nel 2022. I numeri riportati sottostimano il danno, perché gran parte dei furti viene classificata in altre categorie di frode e molte vittime non denunciano affatto.

La buona notizia: questo attacco ha una lista breve di contromisure note, la maggior parte gratuite e la maggior parte richiedente meno di dieci minuti. Questa guida illustra come funziona la truffa, perché i conti aziendali sono particolarmente esposti e le quattro serrature che la bloccano: la protezione del port-out a livello di operatore, l'abbandono della verifica basata su SMS, la verifica con richiamata per i bonifici e gli avvisi che intercettano un takeover in corso.

Come funziona un SIM swap in quattro passaggi​

Comprendere il meccanismo è importante perché ogni difesa descritta di seguito corrisponde a uno di questi passaggi.

Passaggio 1: l'attaccante raccoglie i tuoi dati personali. I truffatori raccolgono le risposte alle domande di sicurezza dell'operatore — data di nascita, indirizzo, dettagli dell'account — da violazioni di dati, dai tuoi profili social, da messaggi di phishing e da broker di informazioni. Gli imprenditori espongono più di chiunque altro: il tuo nome, l'indirizzo dell'azienda e il numero di telefono sono sul tuo sito web, sulle tue fatture e nelle comunicazioni societarie depositate.

Passaggio 2: l'attaccante si spaccia per te presso il tuo operatore. Armato di quei dettagli, il criminale chiama il tuo operatore mobile (o visita un negozio, o corrompe un insider) e dichiara di essere te, chiedendo di trasferire il tuo numero su una nuova SIM che controlla. Un cugino stretto chiamato port-out fraud sposta il tuo numero su un operatore completamente diverso. In entrambi i casi il risultato è identico: il tuo numero ora squilla sul telefono dell'attaccante.

Passaggio 3: l'attaccante reimposta le tue password. Con il tuo numero che riceve i tuoi SMS, il criminale attiva i flussi "password dimenticata" sulla tua email, banca, payroll e conti di pagamento. I codici usa e getta arrivano sul dispositivo dell'attaccante. Di solito l'email cade per prima, e l'email è la chiave universale — la maggior parte dei flussi di recupero account passa da lì.

Passaggio 4: il denaro si muove. Con email aziendale, banking e app di pagamento in mano, l'attaccante bonifica fondi, aggiunge nuovi beneficiari, modifica il routing dei bonifici per le buste paga o acquista criptovalute. I conti aziendali sono il premio: saldi più alti, limiti di bonifico più elevati e — soprattutto — protezioni legali più deboli rispetto ai conti dei consumatori.

L'intera sequenza può svolgersi in poche ore. Le vittime spesso notano solo il primo sintomo: il proprio telefono che si spegne.

Perché i titolari d'azienda sono bersagli privilegiati​

Tre fatti si combinano per rendere un piccolo imprenditore la vittima ideale di un SIM-swap.

Il tuo numero è pubblico e i tuoi saldi sono alti. Un truffatore che sceglie tra un consumatore anonimo e un imprenditore il cui numero di cellulare è sulla pagina dei contatti aziendali, il cui fatturato può essere stimato da comunicazioni pubbliche e il cui conto operativo contiene il denaro delle buste paga, sceglierà l'imprenditore ogni volta.

I conti bancari aziendali hanno protezioni antifrode più deboli. I conti dei consumatori rientrano nel Regolamento E, che limita la tua responsabilità per trasferimenti elettronici non autorizzati e obbliga la banca a indagare. I conti aziendali generalmente no — le controversie su bonifici e ACH commerciali ricadono sotto il diritto commerciale statale (UCC Article 4A) e qualunque cosa dica il tuo contratto di conto, il che di solito significa che la banca è responsabile solo se le sue procedure di sicurezza non erano "commercialmente ragionevoli". In pratica, recuperare un bonifico aziendale fraudolento è molto più difficile che invertire una truffa Zelle di un consumatore. Il denaro che esce di solito è perso.

Un solo numero custodisce molte porte. Pensa a tutto ciò che è legato al tuo numero di cellulare: codici di accesso al banking aziendale, recupero email, accesso al provider di payroll, processori di pagamento e spesso anche il backup dell'autenticatore stesso. Un SIM swap non sceglie una serratura — copia la chiave universale.

Riconoscere i segnali d'allarme​

L'American Bankers Association elenca quattro campanelli d'allarme che dovrebbero far scattare un'azione immediata:

• Improvvisa perdita del servizio cellulare. Non riesci a fare chiamate o inviare SMS, soprattutto in una zona dove la copertura è normalmente buona. Questo è il sintomo caratteristico — il tuo numero sta già squillando altrove.
• Le app sul tuo telefono smettono di funzionare per l'accesso all'account, mentre tutto il resto sembra normale.
• Avvisi di sicurezza su modifiche alle impostazioni che non hai autorizzato — reimpostazioni di password, accessi da nuovi dispositivi o modifiche all'email di recupero.
• Attività di accesso insolite su email, conti finanziari o account dell'operatore telefonico.

Se compare il primo sintomo, non aspettare di vedere se il servizio torna. Trattalo come un attacco attivo fino a prova contraria e segui la checklist di risposta verso la fine di questo articolo.

Serratura 1: rafforzare l'account del tuo operatore​

Il tuo operatore è la porta d'ingresso di questo attacco, e tutti e tre i principali operatori statunitensi ora offrono blocchi gratuiti costruiti appositamente per questo. Le regole della FCC in vigore da luglio 2024 richiedono agli operatori di autenticare i clienti in modo sicuro prima di cambi di SIM o port-out e di notificarti immediatamente quando viene fatta tale richiesta — ma i blocchi opzionali a livello di account vanno oltre rifiutando il trasferimento in primo luogo.

Verizon: Number Lock più SIM Protection. Number Lock impedisce che il tuo numero venga portato a un altro operatore finché non disattivi il blocco. Un interruttore separato SIM Protection protegge dai cambi di SIM sulla tua linea esistente. Attiva entrambi nell'app My Verizon sotto la sicurezza dell'account — uno senza l'altro lascia una lacuna.

T-Mobile: Account Takeover Protection più SIM Protection. Account Takeover Protection blocca i trasferimenti non autorizzati delle tue linee, con impostazioni separate di Port Out Protection e SIM Protection accanto. Gestiscile nell'app T-Life sotto il tuo account. La SIM Protection di T-Mobile generalmente richiede la verifica di identità in negozio per essere aggirata, che è esattamente l'attrito che vuoi contro un impersonatore telefonico.

AT&T: Wireless Account Lock. AT&T racchiude entrambi i compiti in un unico Wireless Account Lock che blocca trasferimenti di numero e cambi di SIM, gestito nell'app myAT&T. Imposta anche il passcode separato dell'account che AT&T richiede prima di apportare modifiche via telefono.

Tre regole valide per tutti gli operatori:

1. Imposta un PIN o passcode dell'operatore che non sia il tuo compleanno, il tuo indirizzo o le ultime quattro cifre del tuo codice fiscale. Gli attaccanti arrivano conoscendoli tutti. Questo codice è diverso dal codice di sblocco del tuo telefono — è la password che il tuo operatore richiede prima di toccare il tuo account.
2. Genera un PIN di trasferimento del numero solo quando stai effettivamente cambiando operatore. Il PIN di trasferimento è una credenziale monouso, non una difesa permanente. La difesa permanente è il blocco dell'account.
3. Chiedi una nota di verifica solo di persona. Diversi operatori ti permettono di segnalare l'account per richiedere la verifica in negozio con documento con foto per cambi di SIM o port-out. Il supporto telefonico è dove avviene l'impersonificazione; instradare le modifiche attraverso una persona che controlla l'identità rimuove il canale dell'attaccante.

Se le linee aziendali si trovano su un account operatore gestito da qualcun altro — un office manager, un consulente IT — conferma che questi blocchi siano attivati anche lì. Il numero che riceve gli SMS di verifica della tua banca è quello da proteggere, chiunque paghi la bolletta.

Serratura 2: abbandonare la verifica via SMS​

I codici via SMS sono il singolo punto di vulnerabilità sfruttato dal SIM swapping. Togli il tuo numero di telefono dal percorso di autenticazione e l'attacco perde il suo guadagno anche se riesce.

Usa un'app di autenticazione ovunque sia offerta. App come Google Authenticator, Authy, Microsoft Authenticator o 1Password generano codici sul tuo dispositivo che non viaggiano mai sulla rete cellulare. La guida della FTC è esplicita: se sei preoccupato per il SIM swapping, usa un'app di autenticazione o una chiave di sicurezza, perché la verifica via SMS non fermerà un SIM swap. Attiva la verifica basata su app prima sull'email — è il percorso di recupero per tutto il resto — poi su banking, payroll, processori di pagamento e sull'account del tuo operatore stesso.

Passa a una chiave di sicurezza hardware per i gioielli della corona. L'FBI raccomanda le chiavi di sicurezza fisiche come opzione più forte: una chiave USB o NFC che deve essere fisicamente presente per accedere. Una chiave non può essere phishata, inoltrata o sottoposta a SIM-swap. Come minimo, mettine una sulla tua email aziendale principale e sul login della tua banca.

Gestisci le banche che offrono solo SMS. Alcune banche più piccole e piattaforme di business-banking più vecchie verificano ancora solo via SMS. Per quei conti, i blocchi dell'operatore della sezione precedente sono la tua unica difesa tecnica — il che è una ragione in più per attivarli — insieme agli avvisi sulle transazioni trattati di seguito. Quando scegli una banca o un provider di payroll, chiedi se supportano app di autenticazione o chiavi hardware, e considera un "no" come una vera lacuna di sicurezza.

Esegui correttamente il backup del tuo autenticatore. Abbandonare gli SMS crea un nuovo rischio: perdere il dispositivo che contiene i tuoi codici. La maggior parte delle app di autenticazione offre backup cloud crittografato o sincronizzazione multi-dispositivo — attivala. Conserva i codici di recupero stampati per gli account critici in un posto che un ladro non possa trovare ma il tuo successore sì, come una cassetta di sicurezza.

Serratura 3: verificare ogni bonifico con una richiamata​

Gli attaccanti SIM-swap amano i bonifici perché sono veloci, difficili da invertire e — per i conti aziendali — debolmente protetti. Anche se il tuo numero non viene mai scambiato, i numeri dei tuoi fornitori e clienti possono esserlo, ed è così che un messaggio dal tono convincente "abbiamo cambiato banca, per favore bonificare qui" arriva da un indirizzo familiare. Un controllo procedurale sconfigge quasi tutto questo.

Richiama su un numero noto prima di ogni pagamento a un nuovo destinatario o con destinazione modificata. Quando chiunque — fornitore, cliente, partner, persino il tuo dipendente — ti chiede di inviare denaro a nuovi dettagli di conto, fermati e chiamalo a un numero che avevi già agli atti, non a uno stampato nel messaggio. Conferma verbalmente il routing e i numeri di conto. Questa singola abitudine, applicata senza eccezioni, neutralizza sia le frodi di pagamento guidate da SIM-swap sia la comune compromissione di email aziendali.

Rendi l'abitudine strutturale piuttosto che eroica:

• Richiedi doppia approvazione per bonifici e nuovi beneficiari. La maggior parte delle piattaforme di business-banking supporta il doppio controllo: una persona inserisce il pagamento, una seconda lo approva. Un attaccante solitario con le tue credenziali non può completare il furto.
• Imposta limiti giornalieri di bonifico e ACH che corrispondano ai tuoi bisogni reali. Un limite di bonifico giornaliero di 250.000 dollari su un conto che bonifica 8.000 dollari al mese non è comodità — è il budget di un attaccante. Abbassa il tetto a poco sopra il tuo pagamento legittimo più grande.
• Separa i compiti sulle modifiche del payroll. Le reindirizzazioni dei bonifici per deposito diretto sono una monetizzazione preferita del SIM-swap. Richiedi che ogni cambio di coordinate bancarie sia confermato verbalmente con il dipendente, e fai inserire la modifica da qualcuno diverso dal richiedente.

Documenta per iscritto la regola della richiamata e comunica ai tuoi fornitori che la segui. Quando un truffatore che preme per "urgente, bonificare oggi" incontra un dipendente la cui procedura scritta dice "richiamiamo sempre", vince la procedura.

Serratura 4: impostare avvisi che intercettano un takeover in anticipo​

Se le prime tre serrature falliscono, la velocità è tutto. Una frode intercettata in pochi minuti a volte può essere invertita; una frode scoperta alla riconciliazione di fine mese è persa. Costruisci uno strato di allarmi:

• Avvisi sulle transazioni bancarie su ogni conto aziendale. Attiva avvisi push o email per bonifici, nuovi beneficiari, cambi di password, accessi da nuovi dispositivi e qualsiasi transazione sopra una soglia che imposti bassa — persino 1 dollaro per i bonifici. Instrada questi avvisi a un indirizzo email protetto da verifica basata su app, non da SMS.
• Avvisi di accesso email. Il tuo provider di posta elettronica può notificarti gli accessi da nuovi dispositivi o località. Poiché l'email è la chiave universale, tratta un avviso di accesso sconosciuto come un incendio a cinque allarmi.
• Avvisi sull'account dell'operatore. Installa l'app del tuo operatore e attiva le notifiche di sicurezza affinché i cambi di SIM o i port-out ti raggiungano attraverso un canale che l'attaccante non controlla.
• Blocco del credito, non solo monitoraggio. Un SIM swap spesso precede frodi su nuovi conti a tuo nome. Congelare il tuo credito presso tutte e tre le agenzie non costa nulla, richiede pochi minuti e fa di più di qualsiasi servizio di monitoraggio a pagamento. I titolari d'azienda dovrebbero anche considerare di congelare i profili di credito aziendale dove l'agenzia lo consente.
• Revisione giornaliera del saldo. Uno sguardo di due minuti al mattino sull'attività del conto operativo intercetta ciò che gli avvisi automatici mancano. Riconcilia almeno settimanalmente — una frode scoperta durante la riconciliazione è tardiva, ma batte comunque la scoperta tramite avviso di scoperto.

Se succede: la checklist della prima ora​

Se il tuo telefono si spegne inaspettatamente o ricevi avvisi su modifiche che non hai fatto, segui questa lista in ordine, da un dispositivo e una connessione che l'attaccante non controlla:

1. Chiama immediatamente il tuo operatore — da un altro telefono — e segnala un sospetto SIM swap. Chiedi di bloccare la linea, invertire lo swap e ripristinare il tuo numero sulla tua SIM.
2. Accedi prima all'email da un dispositivo fidato e cambia la password, poi rivedi gli indirizzi di recupero, le regole di inoltro e le sessioni attive. Gli attaccanti aggiungono inoltri nascosti per continuare a leggere la tua posta dopo che hai recuperato.
3. Cambia le password di banking, payroll e pagamenti, e rivedi ogni transazione, beneficiario e pagamento programmato da quando è iniziato lo swap.
4. Chiama il reparto antifrode della tua banca — non la filiale — e segnala il sospetto accesso non autorizzato. Chiedi informazioni sull'inversione dei bonifici recenti; la velocità conta enormemente.
5. Inserisci un avviso di frode presso Equifax, Experian e TransUnion, e congela il tuo credito se non l'hai già fatto.
6. Presenta denunce alla FTC su IdentityTheft.gov e all'Internet Crime Complaint Center dell'FBI su ic3.gov. Porta i numeri di denuncia alla tua banca e al tuo operatore — accelerano le contestazioni.
7. Documenta tutto con timestamp in un unico registro: quando è caduto il servizio, cosa hai trovato, chi hai chiamato. Se il recupero diventa una battaglia legale, questo registro è una prova.

Poi programma il post-mortem entro una settimana: quale serratura mancava, e cosa cambia prima del prossimo tentativo? Gli attaccanti condividono liste di bersagli facili. Un'azienda che è stata facile una volta verrà provata di nuovo.

Tieni pronti i tuoi registri finanziari per il giorno peggiore​

La risposta alle frodi si basa sui registri. Quando il team di contestazione della banca chiede quali trasferimenti erano non autorizzati, quando l'assicuratore chiede la prova della perdita e quando il tuo commercialista deve registrare correttamente il furto a fine anno, accessi sparsi e ricordi approssimativi ti costano denaro reale. Contabilità pulita — ogni conto riconciliato secondo il programma, ogni cambio di beneficiario registrato, ogni bonifico abbinato a una fattura — trasforma una settimana caotica in una richiesta documentata.

Mentre rafforzi la sicurezza intorno ai tuoi conti, mantenere registri finanziari chiari è ciò che ti permette di dimostrare cosa è successo e recuperare più velocemente. Beancount.io fornisce contabilità in testo semplice che ti dà completa trasparenza e controllo sui tuoi dati finanziari — niente scatole nere, niente vendor lock-in. Inizia gratuitamente e scopri perché sviluppatori e professionisti finanziari stanno passando alla contabilità in testo semplice.