SIM swap e MFA fatigue: quando il codice di sicurezza lavora per il ladro

Ti rubano il numero di telefono, ti tempestano di notifiche, ti chiedono il codice 'per annullare l'operazione'. Come funzionano gli attacchi al secondo fattore e cosa li ferma davvero.

Solidasocial-engineeringtruffeingannofiducia

Fine agosto 2019. Sull'account Twitter di Jack Dorsey, il fondatore e amministratore delegato di Twitter, compaiono messaggi razzisti e minacce di bombe. Per un po' l'uomo che guida il social network non controlla il proprio profilo. Nessuno ha indovinato la sua password. Gli attaccanti, un gruppo che si faceva chiamare Chuckling Squad, hanno convinto il suo operatore telefonico a trasferire il suo numero su una SIM in mano loro. Da lì hanno usato una vecchia funzione che permetteva di twittare via SMS. Twitter parlerà di una "svista di sicurezza dell'operatore".

Se può succedere al capo di Twitter, cosa protegge il tuo conto corrente, che magari conferma i bonifici proprio con un SMS? E perché un sistema pensato per fermare i ladri, il secondo fattore, a volte diventa la loro arma migliore?

In breve

L'autenticazione a più fattori (MFA) è una delle difese più efficaci. Ma alcune sue forme si possono aggirare convincendo una persona: il commesso che rilascia un duplicato della SIM, il dipendente che approva una notifica per sfinimento, il cliente che detta il codice a un finto operatore della banca. Le chiavi di sicurezza e le passkey chiudono quasi tutte queste strade perché non c'è niente da dettare.

🟢 Solida: meccanismi documentati da FBI, CISA, regolatori europei e da numerosi casi aziendali.

Come funziona l'attacco

Ci sono tre varianti, e dal lato della vittima si vivono in modo diverso.

1. Lo scambio di SIM (SIM swap). La vittima di solito non sente niente. All'improvviso il telefono perde la linea: "solo chiamate di emergenza". Pensa a un guasto. Nel frattempo qualcuno, con un documento falso o raccontando di aver perso il telefono, ha ottenuto un duplicato della SIM presso un negozio o un servizio clienti. Gli SMS con i codici ora arrivano a lui. Quando la vittima se ne accorge, password e conti sono già cambiati.

2. L'affaticamento da MFA (MFA fatigue o push bombing). L'attaccante ha già la password, magari comprata online o rubata da un malware. Prova ad accedere, e sul telefono della vittima arriva una richiesta "Sei tu? Approva". La vittima rifiuta. Ne arriva un'altra. E un'altra, anche di notte. Poi un messaggio, spesso su WhatsApp: "Ciao, sono dell'IT, stiamo sistemando un problema, approva così le notifiche smettono". La vittima approva.

3. Il codice chiesto al telefono. È la versione più diffusa tra i privati in Italia. Chiama "la banca", "l'ufficio antifrode" o "il corriere". C'è un'operazione sospetta, bisogna bloccarla subito. Arriva un SMS con un codice. "Me lo legga, così annulliamo". Quel codice non annulla niente: autorizza il bonifico o il nuovo dispositivo.

Le leve nel cervello

Fiducia nel proprio telefono. Il cellulare è un oggetto intimo, sempre con noi. Un messaggio che arriva lì, magari nella stessa conversazione degli SMS veri della banca, eredita la loro credibilità. È una forma di effetto alone.
Abituazione. Il cervello smette di reagire agli stimoli ripetuti: è utile, altrimenti ogni notifica sarebbe un allarme. Uno studio con risonanza magnetica della Brigham Young University (Anderson e colleghi, 2015) ha osservato che la risposta del cervello agli avvisi di sicurezza cala con le esposizioni ripetute, e che variare l'aspetto degli avvisi frena questo calo. 🟡 Promettente: campione piccolo, in laboratorio. Una richiesta di approvazione vista cento volte diventa un gesto automatico.
Sollievo dalla pressione. Nell'MFA fatigue la vittima non approva perché si fida: approva perché vuole che finisca. Fermare un fastidio dà una ricompensa immediata; il rischio è astratto e lontano. Vedi Bias del presente.
Autorità e paura. "Ufficio antifrode", "IT aziendale", "la sua operazione da 2.000 euro". La paura di perdere soldi spinge a fare in fretta. Vedi Avversione alla perdita e Bias di autorità.
Default della verità. Secondo la teoria di Timothy Levine partiamo dal presupposto che chi ci parla dica il vero. Una voce professionale che conosce il nostro nome e la nostra banca non attiva il dubbio.

Casi reali

Jack Dorsey, agosto 2019. Un dipendente dell'operatore AT&T è stato raggirato e ha trasferito il numero, secondo The Hacker News. Twitter ha sospeso temporaneamente la funzione per twittare via SMS, citando "vulnerabilità che devono essere risolte dagli operatori". Costo: reputazionale.

Catania, 2018. La Polizia Postale ha arrestato 14 persone (circa 40 indagati) che raccoglievano dati e credenziali delle vittime, poi chiedevano a un rivenditore telefonico la sostituzione della SIM con documenti falsi. Almeno 600.000 euro sottratti da conti online in tutta Italia. Fonte: Fanpage.

Uber, settembre 2022. Un attaccante aveva comprato le credenziali di un collaboratore esterno, rubate da un malware. Ha inviato richieste MFA a ripetizione; il collaboratore le ha rifiutate, poi ne ha accettata una. Secondo Malwarebytes l'attaccante lo aveva anche contattato su WhatsApp dicendo di accettare per far smettere le notifiche. Dichiarava di avere 18 anni. Fonti: TechRepublic, Malwarebytes.

Cisco, 2022 (reso pubblico ad agosto). Secondo Cisco Talos, un dipendente aveva salvato le credenziali aziendali nel browser sincronizzato con il suo account Google personale, che è stato violato. Gli attaccanti hanno usato telefonate di voice phishing e "un alto volume di richieste push" finché l'utente ha accettato. Poi hanno registrato nuovi dispositivi MFA. Fonte: Help Net Security.

Retool, agosto 2023. Un dipendente ha letto al telefono un codice MFA a un falso collega dell'IT. Le credenziali sincronizzate nel cloud hanno fatto il resto: 27 clienti colpiti. Il racconto completo è in La telefonata all'help desk.

Le sentenze italiane. Su chi paga, la giurisprudenza è divisa. Nel 2019 l'Arbitro Bancario Finanziario di Roma ha dato ragione al cliente in un caso (n. 3002) e alla banca in altri due, perché le operazioni erano confermate con codice OTP. Nel 2023 il Tribunale di Roma (sentenze n. 11547 e n. 12832) ha ritenuto responsabile l'operatore telefonico, che aveva verificato in modo superficiale l'identità di chi chiedeva il duplicato. Secondo l'orientamento richiamato dalla Cassazione, il rischio che i codici vengano sottratti con frodi rientra nel rischio d'impresa della banca, che deve provare la corretta autenticazione. Fonti: Corriere Comunicazioni, Tecnoandroid, Brocardi.

I numeri

1.611 denunce per SIM swap all'FBI nel 2021, con perdite per oltre 68 milioni di dollari. Tra il 2018 e il 2020 erano state 320, per circa 12 milioni (FBI IC3, febbraio 2022).
4,2 miliardi di euro di frodi nei pagamenti nello Spazio economico europeo nel 2024. Sui bonifici fraudolenti, circa l'85% delle perdite è ricaduto sugli utenti, soprattutto per truffe in cui la vittima autorizza da sola l'operazione (rapporto congiunto EBA-BCE, dicembre 2025).
Quasi 41.000 sessioni con molti tentativi MFA falliti registrate da Microsoft nell'agosto 2022, contro 32.442 un anno prima. Da maggio 2023 Microsoft obbliga a digitare un numero nell'app invece di premere solo "Approva" (The Register).
Oltre 85.000 dipendenti Google usano chiavi di sicurezza fisiche dall'inizio del 2017. Google ha dichiarato di non aver avuto "nessun furto di account segnalato o confermato" da allora (KrebsOnSecurity, 2018).
Oltre 269 milioni di euro sottratti con truffe e frodi online in Italia nel 2025, su 27.085 procedimenti (Polizia Postale).

Cosa raccontano le vittime

Reddit non era raggiungibile durante la ricerca: usiamo racconti pubblici e atti giudiziari.

Un ingegnere americano ha raccontato su Medium, nel 2019, di aver perso "più di 100.000 dollari" in criptovalute in 24 ore dopo un trasferimento del numero. La sua conclusione: aveva trattato il conto su una piattaforma di scambio "come un conto in banca", senza alcuna possibilità di rimborso. Il suo primo consiglio: sostituire il codice via SMS con una chiave hardware.
L'investitore Michael Terpin ha fatto causa ad AT&T per 24 milioni di dollari in criptovalute sottratti dopo uno scambio di SIM nel 2018. Il tribunale aveva dato ragione all'operatore nel 2023, ma la Corte d'appello del Nono circuito ha annullato la decisione e rimandato il caso a processo.
Nel caso Uber il collaboratore aveva rifiutato più volte: a cedere è stata la stanchezza, non la fiducia.

Il mito da smontare

"Il codice che mi arriva per SMS mi protegge sempre." 🔴 Mito. L'SMS protegge da chi conosce solo la tua password. Non protegge da chi controlla il tuo numero (SIM swap) né da chi ti convince a leggergli il codice. E un'app che chiede solo "Approva?" non protegge da chi ti tempesta di richieste. CISA lo scrive chiaramente: solo l'MFA basata su FIDO/WebAuthn o su certificati è resistente al phishing e "non è vulnerabile" al push bombing e allo scambio di SIM.

Segnali d'allarme

🚩 Il telefono perde la linea all'improvviso, senza motivo, mentre altri intorno a te hanno campo.
🚩 Ricevi richieste di approvazione o codici che non hai chiesto tu.
🚩 Qualcuno ti chiede di leggergli un codice ricevuto via SMS, per qualsiasi motivo.
🚩 "Approva così le notifiche smettono": nessun tecnico vero lo chiede.
🚩 Ti chiamano "dalla banca" per bloccare un'operazione e ti chiedono di agire subito.
🚩 Ricevi un avviso di cambio SIM, di nuovo dispositivo o di cambio email che non hai fatto.

Come difendersi

Per le persone:

Un codice non si detta mai. Né alla banca, né alla polizia, né all'IT. Se qualcuno te lo chiede, è un attacco.
Passa alle passkey o alle chiavi di sicurezza dove possibile: email principale, banca, conti di criptovalute. Funzionano solo sul sito vero e non c'è niente da leggere al telefono.
Preferisci un'app di autenticazione all'SMS quando non ci sono passkey, e controlla che non sincronizzi i codici in modo insicuro.
Chiedi all'operatore protezioni extra sul cambio SIM e sulla portabilità, se le offre.
Se ricevi notifiche che non hai chiesto, rifiuta e cambia la password. Significa che qualcuno la conosce già.

Per le aziende:

MFA resistente al phishing (FIDO2, passkey) almeno per amministratori, email, VPN e accessi remoti, come raccomanda CISA.
Number matching e limiti alle notifiche: digitare un numero invece di premere "Approva", bloccare l'account dopo troppe richieste rifiutate.
Procedura forte per registrare nuovi dispositivi, collegata all'help desk (vedi La telefonata all'help desk).

Negli Stati Uniti, dal novembre 2023 la FCC impone agli operatori una verifica sicura prima di trasferire un numero e un avviso immediato al cliente.

Se è già successo

Linea sparita senza motivo: chiama subito il tuo operatore da un altro telefono e chiedi se è stata emessa una nuova SIM. Fai bloccare il numero.
Chiama la banca dal numero sul retro della carta e blocca carte e accessi. Chiedi il richiamo dei bonifici, se possibile.
Cambia le password dell'email principale per prima: da lì si recuperano tutti gli altri account.
Denuncia alla Polizia Postale (commissariatodips.it) o a qualsiasi ufficio di polizia, conservando SMS, orari e numeri.
Contesta per iscritto le operazioni non autorizzate alla banca; se la risposta non ti soddisfa, puoi rivolgerti all'Arbitro Bancario Finanziario.

Altri passi in Cosa fare se ci sei cascato.

Mettiti alla prova

Sono le 23:15. Il tuo telefono vibra: "Richiesta di accesso: Approva?". Rifiuti. Dopo un minuto, un'altra. Poi un'altra. Alle 23:22 arriva un SMS: "Servizio Sicurezza: rileviamo anomalie sul tuo account. Approva l'ultima richiesta per completare la verifica e interrompere gli avvisi."

Attacco o richiesta vera?

Soluzione: attacco. Le richieste a raffica indicano che qualcuno conosce la tua password e sta provando a entrare. Nessun servizio vero ti chiede di approvare un accesso che non hai avviato. Rifiuta, cambia subito la password da un dispositivo che controlli e avvisa l'IT o il servizio interessato dal canale ufficiale.

Per approfondire

Fonti

"Twitter CEO Jack Dorsey's account hacked via SIM swap", The Hacker News, 5 settembre 2019. https://thehackernews.com/2019/09/tweet-via-sms-text-message-hacking.html?m=1
FBI Internet Crime Complaint Center, "Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public", PSA, 8 febbraio 2022. https://www.ic3.gov/PSA/2022/PSA220208
"Sostituivano sim delle vittime per avere accessi bancari: 14 arresti", Fanpage, 2 luglio 2018. https://www.fanpage.it/sostituivano-sim-delle-vittime-per-avere-accessi-bancari-centinaia-di-vittime-14-arresti/
F. Di Resta, S. Sacchi, "Sim swap fraud, la tutela giudiziale è l'unica via per le vittime", Corriere Comunicazioni, 21 aprile 2020. https://www.corrierecomunicazioni.it/cyber-security/sim-swap-fraud-la-tutela-giudiziale-e-lunica-via-per-le-vittime
"La Sim swap fraud e la responsabilità degli operatori telefonici", Tecnoandroid, 28 dicembre 2023. https://www.tecnoandroid.it/2023/12/28/la-sim-swap-fraud-e-la-responsabilita-degli-operatori-telefonici-1323349/
Articolo sulla responsabilità della banca nelle truffe con SIM duplicata (con richiami a Cass. n. 2950/2017, 18045/2019, 26916/2020, 3780/2024), Brocardi, 16 maggio 2025. https://brocardi.it/notizie-giuridiche/conto-corrente-banca-obbligata-risarcirti-stato-vittima-truffa-nuova/5450.html
"Uber exposes Lapsus$ extortion group for security breach", TechRepublic, 20 settembre 2022. https://www.techrepublic.com/article/uber-exposes-lapsus-breach/
"Uber hacked, again", Malwarebytes, settembre 2022. https://www.malwarebytes.com/blog/news/2022/09/uber-hacked-again-in-what-seems-an-uber-hack-this-time
"Cisco has been hacked by a ransomware gang", Help Net Security, 11 agosto 2022. https://www.helpnetsecurity.com/2022/08/11/cisco-hacked/
"Microsoft Authenticator number matching", The Register, 9 maggio 2023. https://www.theregister.com/2023/05/09/microsoft_authenticator_number_matching/
"Retool falls victim to SMS-based phishing attack", The Hacker News, 18 settembre 2023. https://thehackernews.com/2023/09/retool-falls-victim-to-sms-based.html
B. Krebs, "Google: Security Keys Neutralized Employee Phishing", KrebsOnSecurity, 23 luglio 2018. https://krebsonsecurity.com/2018/07/google-security-keys-neutralized-employee-phishing/
CISA e FBI, Scattered Spider, advisory AA23-320A. https://cisa.gov/news-events/cybersecurity-advisories/aa23-320a
"FCC adopts new rules to protect consumers from SIM swapping attacks", BleepingComputer, 18 novembre 2023. https://www.bleepingcomputer.com/news/security/fcc-adopts-new-rules-to-protect-consumers-from-sim-swapping-attacks/
EBA e BCE, Joint report on payment fraud, comunicato del 15 dicembre 2025 (Banque de France). https://www.banque-france.fr/en/press-release/joint-eba-ecb-report-payment-fraud-strong-authentication-remains-effective-fraudsters-are-adapting
S. Coonce, "The most expensive lesson of my life: details of SIM port hack", Medium, maggio 2019. https://readmedium.com/the-most-expensive-lesson-of-my-life-details-of-sim-port-hack-35de11517124
"AT&T has SIM swap summary judgment reversed on appeal", PhoneArena. https://phonearena.com/news/at-t-has-sim-swap-summary-judgment-reversed-on-appeal_id163330
"Report annuale Polizia Postale 2025", Cybersecurity360. https://www.cybersecurity360.it/news/report-annuale-polizia-postale-2025-la-normalita-dellattacco-il-dovere-della-resilienza/
Anderson, B. B., Vance, A., Kirwan, C. B., Jenkins, J. L., Eargle, D. (2015). How polymorphic warnings reduce habituation in the brain: insights from an fMRI study. Proceedings of CHI 2015.
Levine, T. R. (2020). Duped: Truth-Default Theory and the Social Science of Lying and Deception. University of Alabama Press.