SIM Swap: cos’è, casi reali e difese aziendali

Nel 2020 Jack Dorsey, allora CEO di Twitter, ha subito una SIM swap che ha permesso ai criminali di prendere il controllo del suo account social. In Lombardia i casi di SIM swap sono cresciuti del 62% nel solo 2024. Quello che era nato come un attacco mirato a singoli individui con wallet crypto importanti è diventato uno dei vettori preferiti contro il management delle aziende italiane, perché bypassa la maggior parte delle misure di sicurezza standard (MFA via SMS, OTP bancari, recupero password). Per la versione “consumer” del fenomeno e per chi vuole capire come funziona tecnicamente la clonazione di una SIM card, vedi il nostro articolo dedicato su SIM clonata: come scoprirlo.

Ecco di cosa si tratta e come difendersi nel 2026.

1. Cos’è la SIM Swap
2. Quali azioni fraudolente è possibile fare attraverso uno smartphone compromesso
3. Come si svolge un attacco SIM Swap
4. La portata del fenomeno: numeri 2024-2026
5. Casi reali documentati a livello internazionale
6. SIM Swap in Italia: dati e settori più esposti
7. SIM swap e management aziendale: perché il bersaglio sono i dirigenti
8. Quadro normativo: NIS2, DORA, GDPR, Codice Penale
9. Come si difende un’azienda dalla SIM Swap: 7 misure concrete
10. FAQ

Cos’è la SIM Swap

La SIM Swap (in italiano “scambio di SIM”) è una tipologia di attacco informatico in cui un criminale ottiene il trasferimento del numero di telefono di una vittima su una SIM card sotto il proprio controllo. In quel momento la SIM originale del legittimo proprietario perde la connessione alla rete, mentre la nuova SIM nelle mani dell’attaccante inizia a ricevere chiamate, SMS e codici di autenticazione diretti a quel numero.

Il problema è che il numero di telefono, in moltissimi servizi online, è considerato la “chiave primaria” per l’identità digitale: viene usato per ricevere OTP via SMS, per recuperare password dimenticate, per autorizzare bonifici da home banking, per validare l’accesso a wallet di criptovalute. Chi controlla il numero, controlla di fatto l’identità digitale del proprietario.

L’attacco esiste da diversi anni, ma ha conosciuto una crescita decisa dopo il 2018, con due acceleratori principali: la diffusione delle criptovalute (con wallet protetti da OTP via SMS) e l’aumento dell’uso del cellulare come secondo fattore di autenticazione per servizi finanziari. Nel 2020 il caso di Jack Dorsey ha portato il fenomeno all’attenzione del grande pubblico; dal 2023 in poi è diventato uno dei principali vettori di attacco contro il management aziendale.

A differenza di altre forme di frode informatica, la SIM swap ha una caratteristica preoccupante: non richiede alcuna interazione attiva con la vittima. Non c’è un link sospetto da non cliccare, un allegato da non aprire, una password da non rivelare. La vittima si accorge dell’attacco solo quando il suo smartphone perde improvvisamente il segnale, e spesso è già troppo tardi.

Quali azioni fraudolente è possibile fare attraverso uno smartphone compromesso

Per comprendere la gravità della SIM swap, bisogna ricordare a quante attività un attaccante può accedere prendendo il controllo del numero di telefono della vittima. Lo smartphone moderno è di fatto un’estensione digitale dell’identità personale e professionale: contiene email, messaggi WhatsApp e Telegram, partecipazioni a videoconferenze Zoom o Teams, accesso all’home banking, app di pagamento, wallet crypto, account social, password manager e certificazioni digitali come il green pass.

Per un CEO o CFO di una azienda italiana, le conseguenze di una SIM swap riuscita possono includere bonifici aziendali fraudolenti via home banking, accesso all’archivio email contenente informazioni strategiche, controllo dell’identità sui social network professionali (con possibilità di costruire attacchi successivi di voice cloning o impersonificazione), accesso a password manager aziendali con possibile compromissione a cascata dell’intera infrastruttura.

Va notato che lo smarrimento o furto fisico dello smartphone è in molti casi meno grave di una SIM swap: il telefono fisico è di solito protetto da PIN, biometrico o pattern, mentre la SIM swap aggira queste protezioni perché il numero passa su un telefono dell’attaccante che è già “sbloccato” per definizione.

Come si svolge un attacco SIM Swap

La possibilità tecnica di trasferire un numero da una SIM a un’altra nasce per esigenze lecite: smarrimento o rottura della SIM originale, cambio di formato (da nano a micro o eSIM), portabilità del numero tra operatori. Sono operazioni che ogni gestore di telefonia mobile gestisce migliaia di volte al giorno.

Il problema è la verifica dell’identità del richiedente. Le tecniche più usate dai criminali per ottenere il trasferimento di un numero che non gli appartiene sono cinque, spesso combinate tra loro.

La prima è il social engineering verso l’operatore: il criminale chiama il customer care del gestore di telefonia spacciandosi per il legittimo proprietario, fornendo dati personali raccolti tramite OSINT (data breach, social network, eventi di settore). Convincere un operatore stanco a fine turno a emettere una nuova SIM è più facile di quanto si pensi.

La seconda è la corruzione di personale interno: dipendenti di punti vendita di telefonia o chioschi che, in cambio di una somma di denaro, attivano il trasferimento del numero senza verifiche adeguate. È particolarmente diffusa in alcuni mercati e periodicamente emergono casi giudiziari.

La terza è l’uso di documenti falsi, particolarmente efficace nelle procedure di cambio gestore online, dove i controlli sono spesso meno rigorosi rispetto a una visita in negozio.

La quarta sfrutta i casi senza obbligo di documento: in alcune procedure (es. richiesta di duplicato SIM con lo stesso gestore dichiarando smarrimento) non è obbligatoria la presentazione di un documento d’identità del richiedente. L’AGCOM con la delibera n. 334/20/CIR del 19 novembre 2020 si è mossa per porre rimedio a questa lacuna, ma le procedure variano ancora significativamente tra operatori.

La quinta è lo sfruttamento di vulnerabilità tecniche dei network di comunicazione, le cosiddette SS7 flaw. Sono tecniche più sofisticate, alla portata di attaccanti avanzati o gruppi APT, ma documentate in numerosi casi di sorveglianza statale e cyber espionage.

La portata del fenomeno: numeri 2024-2026

I dati raccolti negli ultimi due anni mostrano una crescita strutturale del fenomeno.

Sul piano internazionale, l’FBI Internet Crime Report 2024 include la SIM swap nella categoria delle frodi telefoniche legate a furto di identità, con perdite documentate per centinaia di milioni di dollari. Negli Stati Uniti il fenomeno ha raggiunto picchi tali che la Federal Communications Commission ha emanato nel 2023 regole specifiche per obbligare gli operatori telefonici a procedure di verifica più rigorose. Sul piano europeo, il Europol Internet Organised Crime Threat Assessment 2024 ha identificato la SIM swap come uno dei vettori in più rapida crescita nel cluster delle frodi finanziarie.

In Italia il fenomeno è cresciuto in modo particolarmente accentuato. Secondo dati pubblicati a inizio 2025, in Lombardia i casi di SIM swap con conseguenze economiche sono aumentati del 62% nel 2024 rispetto all’anno precedente. Le regioni economicamente più dinamiche — Lombardia, Veneto, Emilia-Romagna, Piemonte — concentrano la maggior parte dei casi, ma il fenomeno è capillare anche al Sud, particolarmente nei settori turistico, agroalimentare e immobiliare di pregio.

Va notato che le aziende italiane raramente denunciano per non sommare il danno reputazionale al danno economico, quindi i numeri ufficiali sottostimano significativamente il fenomeno reale. Inoltre molte vittime, soprattutto consumer, scoprono l’attacco solo dopo settimane, quando i fondi sono ormai irrecuperabili.

Casi reali documentati a livello internazionale

Per comprendere la portata del fenomeno, ecco alcuni dei casi più noti pubblicamente documentati.

Jack Dorsey (2020) — CEO di Twitter. Il caso che ha portato la SIM swap all’attenzione mainstream globale. L’account Twitter di Dorsey è stato compromesso attraverso una SIM swap, con i criminali che hanno pubblicato per circa 15 minuti contenuti offensivi e razzisti prima che Twitter intervenisse. Twitter ha temporaneamente disabilitato la funzione di pubblicazione di tweet via SMS in risposta all’incidente.

Michael Terpin (2018, ma giudizio 2023) — investitore cripto. Caso giudiziario fondamentale: Terpin ha perso 24 milioni di dollari in criptovalute attraverso una SIM swap eseguita con la complicità di un dipendente di AT&T. Nel 2023 il tribunale federale degli Stati Uniti gli ha riconosciuto 75,8 milioni di dollari di danni complessivi, stabilendo un precedente sulla responsabilità degli operatori telefonici per controlli inadeguati.

Vitalik Buterin (settembre 2023) — founder di Ethereum. L’account X (ex Twitter) di Buterin è stato compromesso attraverso una SIM swap. I criminali hanno pubblicato un finto annuncio di airdrop con un link malevolo, che ha portato al furto di NFT e criptovalute per circa 691.000 dollari da utenti che hanno cliccato fidandosi del nome.

Operazione SquadHack (2023) — gruppo internazionale. L’Europol ha coordinato un’operazione che ha portato all’arresto di membri di un gruppo criminale specializzato in SIM swap contro investitori crypto in tutta Europa, con danni stimati per decine di milioni di euro complessivi.

A questi si aggiungono numerosi casi italiani non sempre resi pubblici, ma rilevabili nei comunicati periodici della Polizia Postale e nelle sentenze di settore.

SIM Swap in Italia: dati e settori più esposti

Il fenomeno SIM swap in Italia ha caratteristiche specifiche che vale la pena conoscere.

Il settore manifatturiero è particolarmente esposto perché la SIM swap di un CFO o di un responsabile amministrativo può portare a bonifici fraudolenti significativi verso fornitori esteri, spesso difficili da bloccare una volta partiti. Il manifatturiero italiano, con la sua forte vocazione all’export e ai pagamenti internazionali, è un bersaglio naturale.

Gli studi legali e notarili rappresentano un secondo cluster di rischio: spesso gestiscono pagamenti fiduciari per conto di clienti (compravendite immobiliari, gestione patrimoni), con autorizzazioni di bonifico che possono essere disposte tramite procedure relativamente snelle. Una SIM swap del titolare può aprire la strada a frodi di importo elevato in tempi molto rapidi.

Il fashion e design sono esposti per la frequenza delle transazioni internazionali e per la presenza pubblica del management (sfilate, eventi, interviste) che fornisce abbondante materiale per gli attaccanti per costruire scenari di social engineering verso gli operatori telefonici.

Il real estate di pregio e l’M&A sono settori in cui singole transazioni possono valere milioni di euro, rendendo profittevole investire tempo significativo nella preparazione di un attacco mirato.

Le PMI con processi amministrativi snelli sono particolarmente vulnerabili. Spesso un singolo dipendente può autorizzare bonifici significativi sulla base di una telefonata o messaggio del CEO, senza procedure di doppia firma. La SIM swap del CEO trasforma questa flessibilità operativa in una falla critica di sicurezza.
In molti casi il primo step dell’attacco è simile alla truffa “Ciao mamma”, ma applicato al contesto aziendale: un messaggio apparentemente dal dirigente da un nuovo numero, che prepara il terreno per la frode vera e propria.

SIM swap e management aziendale: perché il bersaglio sono i dirigenti

Negli ultimi tre anni il profilo della vittima tipica di SIM swap è cambiato radicalmente. Se fino al 2021-2022 i bersagli prevalenti erano possessori privati di wallet crypto, dal 2023 in poi sono sempre più frequentemente CEO, CFO, responsabili amministrativi e tesorieri di aziende.

Le ragioni sono economiche prima che tecniche. Una SIM swap su un consumer con un wallet crypto può fruttare al criminale qualche decina di migliaia di euro nei casi migliori. Una SIM swap su un CFO con accesso ai conti aziendali può fruttare milioni in un singolo bonifico. Il ROI dell’attacco è enormemente più alto.

Il pattern operativo tipico in Italia segue quattro fasi.

Prima fase: preparazione e OSINT. Il criminale identifica il bersaglio (CEO o CFO di un’azienda di una certa dimensione, spesso individuata da LinkedIn, registri camerali, articoli di settore), raccoglie dati personali (data di nascita, indirizzo, numeri di telefono, hobby, parenti), studia abitudini e relazioni. La presenza online del dirigente è la fonte primaria di informazioni: profili LinkedIn, interviste, partecipazioni a eventi di settore, articoli sulla stampa economica

Seconda fase: SIM swap vera e propria. Tramite social engineering verso l’operatore telefonico, con documenti falsi o complicità interna, il numero del dirigente viene trasferito su una SIM controllata dall’attaccante. La vittima percepisce solo la “perdita di segnale”, spesso scambiata per problema tecnico temporaneo.

Terza fase: accesso ai sistemi finanziari aziendali. Con il numero compromesso, l’attaccante riceve gli OTP via SMS necessari per accedere all’home banking aziendale, intercettare richieste di reset password su account email, autorizzare bonifici. Spesso si combina con una CEO Fraud verso l’ufficio amministrativo, con istruzioni di bonifico fatte passare come provenienti dal dirigente.

Quarta fase: esfiltrazione e copertura. I bonifici vengono diretti su conti correnti esteri o crypto, spesso suddivisi in più tranche per evitare alert automatici delle banche. La vittima scopre l’attacco solo quando si accorge della perdita di segnale prolungata o quando l’ufficio amministrativo chiede chiarimenti sui bonifici eseguiti.

In molti casi italiani del 2024 documentati dalla Polizia Postale, l’attacco viene “chiuso” con una telefonata di conferma effettuata con voice cloning del dirigente, per rassicurare il personale amministrativo sul fatto che l’operazione è autorizzata.

Quadro normativo: NIS2, DORA, GDPR, Codice Penale

Sul piano normativo, la SIM swap tocca più piani regolatori contemporaneamente.

La Direttiva NIS2, recepita in Italia con D.Lgs. 138/2024, all’articolo 23 richiede esplicitamente programmi di formazione del personale sulla cybersecurity, e all’articolo 24 impone misure tecniche e organizzative per gestire i rischi ICT. Per i soggetti essenziali e importanti (settori critici), l’assenza di misure documentate di prevenzione dei rischi legati al furto di identità digitale può comportare sanzioni amministrative oltre al danno diretto.

Il Regolamento DORA (UE 2022/2554), applicabile dal 17 gennaio 2025, per le entità finanziarie definisce obblighi specifici di gestione del rischio ICT che includono esplicitamente i furti di credenziali e le frodi via ingegneria sociale. Le procedure di autorizzazione bonifico sono nel perimetro dei controlli previsti.

Il GDPR si applica in più momenti: quando una SIM swap porta all’esposizione di dati personali di clienti o dipendenti (es. l’attaccante che ha accesso all’email del dirigente legge corrispondenza con dati sensibili), scattano gli obblighi di notifica al Garante entro 72 ore con sanzioni fino al 4% del fatturato globale. Inoltre il numero di telefono stesso è dato personale, e le procedure di portabilità rientrano nelle responsabilità degli operatori telefonici ai sensi del Regolamento.

Sul piano dell’AGCOM, la già citata delibera n. 334/20/CIR del 19 novembre 2020 ha introdotto requisiti più stringenti sulla verifica dell’identità del richiedente per le operazioni di duplicato SIM e cambio gestore. Successive integrazioni del 2023-2024 hanno rafforzato gli obblighi degli operatori, ma le segnalazioni di carenze procedurali continuano.

Sul piano penale, i reati rilevanti includono la sostituzione di persona (art. 494 CP), la truffa (art. 640 CP), la frode informatica (art. 640-ter CP), l’accesso abusivo a sistema informatico (art. 615-ter CP) per i sistemi successivamente compromessi, e in alcuni casi l’indebito utilizzo di mezzi di pagamento (art. 493-ter CP). La responsabilità non è solo dell’attaccante: per le aziende, la mancata adozione di misure preventive ragionevoli può comportare conseguenze giuridiche anche a carico del management.

Come si difende un’azienda dalla SIM Swap: 7 misure concrete

La difesa contro la SIM swap richiede un mix di scelte tecniche, procedurali e culturali. Ecco le sette misure che ogni azienda italiana dovrebbe considerare.

1. Eliminare l’OTP via SMS per sistemi aziendali critici. È il punto di partenza non negoziabile. Per accesso a home banking aziendale, email dei dirigenti, sistemi gestionali, server e VPN, sostituire l’SMS con autenticazione tramite app o chiavi hardware FIDO2. Le app di MFA non sono vulnerabili alla SIM swap perché legate al dispositivo, non al numero
2. Procedure di verifica out-of-band per bonifici. Nessun bonifico sopra una soglia stabilita può essere autorizzato sulla base di una telefonata o messaggio, anche se la voce è riconoscibile. La verifica deve avvenire tramite un canale alternativo: chiamata a numero noto in rubrica, conferma di persona, doppia firma su sistema separato
3. Formazione strutturata di management e amministrazione. Dirigenti, tesoreria e ufficio amministrativo devono ricevere formazione specifica sulla SIM swap, sui suoi segnali (perdita improvvisa di segnale, comunicazioni anomale dal proprio operatore), e sui pattern di attacco combinati con CEO Fraud. Programma continuativo, non una tantum
4. Configurazione di alert con l’operatore telefonico. Molti operatori business permettono di impostare alert automatici per richieste di duplicato SIM o portabilità. Per i numeri dei dirigenti critici questi alert vanno attivati, e configurati per essere inviati anche a un canale alternativo (email aziendale del titolare, IT manager)
5. Riduzione dell’esposizione del numero personale dei dirigenti. CEO e CFO dovrebbero ridurre la diffusione del proprio numero di cellulare personale per fini professionali. Per le comunicazioni aziendali sensibili può essere preferibile usare numeri secondari, eSIM dedicate o sistemi VOIP aziendali con controlli più rigorosi
6. Penetration test con scenari di social engineering. Un buon programma di sicurezza include simulazioni periodiche di SIM swap e degli attacchi combinati che ne derivano (CEO Fraud, voice cloning). Permette di misurare la preparazione reale e identificare i punti deboli prima che lo facciano i criminali
7. Piano di risposta rapida documentato. Ogni azienda dovrebbe avere un piano scritto su cosa fare nei primi 30 minuti dopo una sospetta SIM swap: chi chiamare nell’operatore (numero diretto, non customer care generico), come bloccare i sistemi critici, come notificare la banca, come avviare la denuncia alla Polizia Postale. Il piano va testato almeno una volta l’anno

FAQ sulla SIM Swap

Come capisco se sto subendo una SIM swap?
Il segnale principale è una perdita improvvisa e prolungata di segnale sullo smartphone, in assenza di problemi noti della rete e mentre altre persone vicine hanno copertura normale. Altri segnali: ricezione di SMS dall’operatore che notificano operazioni non richieste, impossibilità di accedere ad account online che usano il numero come 2FA. In caso di dubbio, chiamare immediatamente il proprio operatore da un altro telefono.

Cosa fare nei primi minuti se sospetto una SIM swap?
Tre azioni entro 30 minuti: chiamare il proprio operatore telefonico per verificare richieste in corso di portabilità o duplicato SIM (e bloccarle se non autorizzate), chiamare la banca per congelare temporaneamente l’home banking e i pagamenti, sporgere denuncia online alla Polizia Postale tramite il portale dedicato. Se ci sono dati aziendali coinvolti, avviare anche la procedura di notifica al Garante per il GDPR.

L’autenticazione tramite app è davvero immune dalla SIM swap?
Sì, perché le app di autenticazione (Google Authenticator, Microsoft Authenticator, Authy) generano i codici localmente sul dispositivo, non li ricevono via SMS. Anche se l’attaccante prende il controllo del numero, non riceverà i codici dell’app. Le chiavi hardware FIDO2 sono ancora più sicure perché richiedono il possesso fisico del token.

La SIM swap è un reato in Italia?
Sì, configura più reati: sostituzione di persona (art. 494 CP), frode informatica (art. 640-ter CP), accesso abusivo a sistema informatico (art. 615-ter CP) per i sistemi successivamente compromessi. Le pene possono arrivare a diversi anni di reclusione, soprattutto quando si combinano i reati. La denuncia alla Polizia Postale è il primo passo, anche per attivare il recall di eventuali bonifici fraudolenti.

La mia polizza cyber copre i danni da SIM swap?
Dipende dalla polizza. Molte coperture includono il furto di identità digitale, ma con esclusioni per casi di errore umano o mancata adozione di controlli adeguati. Una revisione del contratto con il broker assicurativo è raccomandata, in particolare per la sezione “social engineering coverage”.

Il mio operatore telefonico è responsabile in caso di SIM swap?
Sempre più sì, soprattutto dopo i precedenti giudiziari internazionali (caso Terpin 2023 negli Stati Uniti) e l’aggiornamento delle normative AGCOM. Se l’operatore non ha applicato le procedure di verifica previste, può essere chiamato a rispondere dei danni. La denuncia formale e la richiesta di accesso ai log delle operazioni sospette sono fondamentali per costruire un’eventuale azione di responsabilità.

Quanto è facile per un criminale fare social engineering verso un operatore telefonico?
Più facile di quanto si pensi. Le ricerche di sicurezza pubblicate negli ultimi anni hanno mostrato che bastano dati personali raccoglibili da social network e data breach pubblici per costruire una richiesta credibile. Il customer care telefonico di alcuni operatori, sotto pressione di volumi alti, applica controlli meno rigidi dei punti vendita fisici.

Cyberment può aiutarmi a prevenire la SIM swap nella mia azienda?
Sì, con due servizi specifici: formazione del personale e del management sui rischi della SIM swap e degli attacchi combinati (CEO Fraud, voice cloning), e penetration test con scenari di social engineering che includono simulazioni di SIM swap verso il management aziendale. La consulenza supporta inoltre l’azienda nella definizione di procedure interne anti-frode e nell’adeguamento agli obblighi NIS2 e DORA.

La tua azienda è preparata contro la SIM swap e gli attacchi combinati al management? Cyberment supporta le imprese italiane con formazione cybersecurity certificata ISO 27001 specifica sui rischi di furto identità digitale dei dirigenti, Penetration Test con scenari di social engineering avanzato e SIM swap, e Consulenza Cyber Security per la definizione di procedure interne anti-frode conformi a NIS2 e DORA.

Articolo aggiornato a giugno 2026 sulla base di FBI Internet Crime Report 2024, Europol IOCTA 2024, dati Lombardia 2024 sulla crescita del fenomeno, casi giudiziari Dorsey 2020 e Terpin 2023, AGCOM delibera n. 334/20/CIR del 19 novembre 2020 e successive integrazioni, D.Lgs. 138/2024 artt. 23-24, Regolamento DORA UE 2022/2554.