SIM swap: come funziona la truffa che svuota il conto, come riconoscerla e come difendersi

Il SIM swap è una delle frodi più efficaci degli ultimi anni perché aggira l'autenticazione a due fattori basata sugli SMS, cioè la protezione su cui si affidano ancora molte banche e servizi. La vittima si accorge che il telefono non ha più campo e, nel giro di poche ore, trova il conto svuotato. In questo articolo spiego come funziona, come riconoscerlo in tempo, cosa fare nelle prime ore e come si costruisce la richiesta di rimborso, che in molti casi va a buon fine se documentata bene.

Come funziona

1. Raccolta delle informazioni: il truffatore ottiene dati sulla vittima da phishing, violazioni di dati, social, oppure comprandoli. Spesso ha già le credenziali di accesso alla banca, ottenute con un SMS o una email di phishing: gli manca solo il codice di conferma che arriva sul telefono.
2. Sostituzione della SIM: si presenta a un punto vendita dell'operatore (o lo contatta online) con un documento falso o con dati sufficienti a convincere l'operatore di essere il titolare, e chiede una nuova SIM "perché ha perso il telefono". In alcuni casi è complice un addetto.
3. Attivazione: la nuova SIM prende il numero; quella della vittima si disattiva. Il telefono della vittima perde il segnale.
4. Svuotamento: con credenziali e codici SMS il truffatore entra nel conto, cambia limiti, aggiunge beneficiari, dispone bonifici istantanei e ricariche. Tutto in poche ore, spesso di notte o nel weekend.

I segnali per riconoscerlo

• Il telefono mostra "nessun servizio" o "solo emergenze" senza motivo, in zone dove di solito c'è campo, e il riavvio non risolve.
• Arrivano SMS o email dell'operatore su una richiesta di cambio SIM che non hai fatto.
• Arrivano notifiche dalla banca su accessi o operazioni che non riconosci.
• Nei giorni precedenti hai ricevuto SMS o chiamate "dalla banca" o "dall'operatore" che chiedevano dati.

Cosa fare nelle prime ore

1. Chiama subito l'operatore da un altro telefono e chiedi il blocco della nuova SIM e il ripristino della tua. Chiedi il numero della pratica e l'orario della sostituzione: ti serviranno.
2. Chiama la banca al numero di emergenza, blocca conto, carte e accesso online, chiedi il richiamo dei bonifici ancora in lavorazione.
3. Cambia le password di email e dei servizi principali da un dispositivo sicuro, partendo dall'email: con il tuo numero il truffatore può resettare molte password.
4. Conserva tutto: SMS, email, notifiche, orari, screenshot delle operazioni. Non cancellare nulla.
5. Denuncia alla Polizia Postale o ai Carabinieri entro pochi giorni, con l'elenco preciso delle operazioni.
6. Contesta per iscritto alla banca le operazioni non autorizzate, via PEC o raccomandata, allegando la denuncia; invia una contestazione anche all'operatore per la sostituzione della SIM non richiesta.

Di chi è la responsabilità

Due soggetti hanno sbagliato: l'operatore, che ha consegnato una SIM a chi non era il titolare senza verifiche adeguate, e la banca, che ha eseguito operazioni anomale (nuovi beneficiari, importi insoliti, orari notturni, dispositivo mai visto) confidando in un codice SMS. La normativa sui servizi di pagamento (PSD2, in Italia il d.lgs. 11/2010) prevede il rimborso delle operazioni non autorizzate salvo dolo o colpa grave del cliente; il Garante privacy e l'AGCOM sono intervenuti più volte sugli operatori per le procedure di sostituzione SIM. L'Arbitro Bancario Finanziario ha riconosciuto in numerose decisioni il rimborso alle vittime di SIM swap, soprattutto quando la banca non ha rilevato operazioni palesemente anomale.

Il ruolo della perizia informatica

La differenza tra un rimborso ottenuto e uno negato sta spesso nella ricostruzione tecnica. La perizia documenta: la linea temporale (quando la SIM è stata sostituita, quando sono iniziati gli accessi, da quale dispositivo e indirizzo), le anomalie che la banca avrebbe dovuto rilevare, l'eventuale phishing iniziale e il fatto che le credenziali non sono state cedute volontariamente. Si acquisiscono il telefono della vittima, la casella email e i log forniti da banca e operatore. La relazione accompagna il ricorso all'ABF o la causa. Ho descritto il percorso generale nell'articolo su cosa fare dopo una truffa online.

Un caso concreto

Un professionista della provincia di Varese ha subito un SIM swap di sabato notte: 14.000 € in quattro bonifici istantanei verso beneficiari mai usati, tra l'una e le tre. La banca aveva respinto la contestazione sostenendo la "colpa grave" per aver inserito le credenziali in un sito di phishing due settimane prima. La perizia ha mostrato che il sito di phishing era una copia fedele del sito della banca raggiunta da un SMS inserito nella stessa conversazione dei messaggi autentici della banca, che le operazioni erano avvenute da un dispositivo mai usato prima, di notte, per importi dieci volte superiori alla media, e che il sistema antifrode non aveva generato alcun blocco. Il ricorso all'ABF si è concluso con il rimborso integrale.

Come difendersi prima

• Chiedi all'operatore un PIN o una password per le operazioni sulla SIM, dove disponibile, e verifica quali verifiche applica per la sostituzione.
• Sostituisci l'SMS come secondo fattore con l'app della banca, un'app di autenticazione o una chiave fisica, ovunque sia possibile.
• Non inserire mai credenziali da link ricevuti via SMS: la banca non chiede codici o password per telefono o messaggio.
• Imposta limiti bassi per i bonifici istantanei e notifiche per ogni operazione.
• Riduci le informazioni pubbliche: data di nascita, numero di telefono e indirizzo sui social sono i pezzi che servono al truffatore.
• Se il telefono perde il campo senza motivo, agisci subito: i minuti contano.

Quanto costa una perizia per SIM swap

La ricostruzione tecnica con acquisizione del telefono, analisi dei log e relazione per ABF o tribunale si colloca in genere tra 800 e 3.000 €, con preventivo fisso in base all'importo sottratto e alla documentazione disponibile. Per somme contenute consiglio prima la contestazione diretta e il ricorso all'ABF senza perizia; la valutazione iniziale è gratuita e ti dico onestamente se conviene. Richiedi un preventivo o scrivimi.

Le varianti che stanno crescendo

Oltre alla sostituzione fisica allo sportello, nel 2026 vedo tre varianti. Il SIM swap tramite assistenza online: il truffatore attiva il trasferimento del numero su eSIM dall'app o dal portale dell'operatore, dopo aver ottenuto le credenziali dell'account telefonico con un phishing dedicato. La portabilità verso un altro operatore, richiesta con documenti falsi: il numero migra e la vittima se ne accorge solo quando il telefono mostra "nessun servizio" per ore. E la combinazione con il vishing: una telefonata del finto antifrode della banca convince la vittima a "mettere al sicuro" i soldi su un conto indicato, mentre in parallelo la SIM viene sostituita per intercettare le conferme. In tutti i casi lo schema è lo stesso: ottenere il controllo del numero di telefono, perché quel numero è la chiave di troppi servizi.

Cosa chiedere a banca e operatore (e cosa conservare)

Per costruire la contestazione servono documenti precisi, e vanno chiesti per iscritto. All'operatore: data, ora, canale e punto vendita della sostituzione o portabilità, documento esibito, nome dell'addetto, registrazioni se esistono. Alla banca: elenco completo delle operazioni con orari, dispositivi e indirizzi IP usati per gli accessi, eventuali modifiche ai limiti e ai beneficiari, log del sistema di autenticazione e degli avvisi antifrode generati o non generati. Entrambi hanno l'obbligo di fornire i dati che ti riguardano ai sensi del GDPR (diritto di accesso), con risposta entro un mese. Questi documenti, uniti all'acquisizione del tuo telefono e della tua email, sono la base su cui la perizia ricostruisce i fatti e su cui l'ABF decide.

Domande frequenti

La banca dice che è colpa mia perché ho dato i codici: ha ragione?

Non automaticamente. La colpa grave va dimostrata dalla banca, e cadere in un phishing ben costruito non è di per sé colpa grave, soprattutto se la banca non ha bloccato operazioni anomale.

Quanto tempo ho per contestare?

La legge prevede 13 mesi dall'addebito, ma conviene farlo entro giorni: la tempestività pesa e i bonifici ancora in lavorazione possono essere richiamati.

Posso agire anche contro l'operatore?

Sì, per la sostituzione della SIM senza adeguate verifiche. Spesso la responsabilità viene ripartita tra operatore e banca.

L'eSIM è più sicura?

Riduce il rischio della sostituzione fisica allo sportello, ma le procedure di trasferimento online hanno i loro punti deboli: il consiglio di non usare l'SMS come secondo fattore resta valido.