Si cambia la password. A volte si cambia indirizzo e-mail. Ma quasi nessuno cambia numero di telefono. Il tuo ti accompagna da dieci, quindici, a volte vent'anni: è servito a creare account, a ricevere codici bancari, a compilare moduli di consegna, a convalidare carte fedeltà, a partecipare a un concorso a premi dimenticato da tempo.
Il risultato è che quel numero è diventato un identificativo permanente, rivelatore quanto un numero di pratica. E a differenza di una password, non si può revocare. Quando finisce in una fuga di dati — e statisticamente è già successo — entra a far parte di banche dati che vengono rivendute, incrociate e riattivate per anni.
La buona notizia è che una fuga di dati non è una condanna. Richiede una reazione metodica, non il panico. Ecco come capire a che punto sei e cosa fare concretamente.
Perché un numero di telefono vale più di un indirizzo e-mail
Sui mercati paralleli dei dati, un indirizzo e-mail da solo non vale quasi nulla. Un numero di cellulare verificato, associato a un nome e a un CAP, vale molto di più. Tre motivi spiegano questa differenza.
È unico, stabile e legato a un'identità reale
In Italia, come in Francia, l'assegnazione dei numeri mobili è regolamentata dall'autorità delle comunicazioni, e l'attivazione di una linea presuppone l'identificazione dell'intestatario. Un numero attivo è quindi, dal punto di vista di un truffatore, una prova implicita che dall'altra parte c'è un essere umano. A differenza di una casella di posta usa e getta, non si crea al volo a migliaia.
È il perno dell'autenticazione
L'SMS resta, nonostante le sue debolezze note, il secondo fattore di autenticazione più diffuso al mondo. La direttiva europea PSD2 ha generalizzato l'autenticazione forte per i pagamenti, e la maggior parte delle banche si affida ancora, in tutto o in parte, all'invio di un codice via messaggio. Conoscere il tuo numero significa conoscere la porta d'ingresso: resta da trovare la chiave, tramite ingegneria sociale o SIM swapping.
Permette l'incrocio dei dati
Un numero funziona da chiave di collegamento tra archivi diversi. Un database proveniente da un sito di e-commerce, un altro da una piattaforma di prenotazioni, un terzo da un forum: incrociati sul numero, ricostruiscono un profilo dettagliato — nome, indirizzo, storico degli acquisti, età approssimativa. È proprio questo incrocio a rendere lo spear smishing così convincente: l'SMS fraudolento cita il tuo vero nome, la tua vera città, a volte il tuo vero ordine.
Un messaggio truffaldino generico si riconosce in due secondi. Un messaggio che conosce il tuo nome, il tuo operatore e il tuo ultimo acquisto richiede uno sforzo di vigilanza molto più elevato.
Come sapere se il tuo numero è finito in una fuga di dati
Non esiste un registro ufficiale dei numeri compromessi. Ma diversi segnali e strumenti permettono di farsi un'idea attendibile.
I servizi di verifica delle violazioni
Il servizio Have I Been Pwned, gestito dal ricercatore di sicurezza Troy Hunt, da diversi anni accetta la ricerca per numero di telefono in formato internazionale (+39...) per alcune violazioni, in aggiunta alla ricerca per e-mail. Anche l'Hasso-Plattner-Institut offre un servizio di verifica via e-mail con invio del risultato. Questi strumenti non sono esaustivi: coprono soltanto le fughe di dati documentate pubblicamente.
Qualche precauzione d'uso:
- utilizza solo servizi affidabili e documentati; i siti oscuri che promettono di «scansionare il dark web» sono spesso essi stessi raccoglitori di dati;
- inserisci il numero in formato internazionale, senza spazi;
- ripeti la verifica una o due volte l'anno, perché le banche dati vengono aggiornate a posteriori.
I segnali comportamentali
Spesso la fuga di dati si manifesta prima di essere documentata. Tre indizi classici:
| Segnale osservato | Interpretazione probabile |
|---|---|
| Aumento improvviso di chiamate di telemarketing | Il tuo numero è appena entrato in un archivio di prospezione rivenduto |
| SMS truffaldini che citano il tuo nome o un ordine reale | Fuga da un database commerciale, con dati associati |
| Codici di verifica (OTP) non richiesti | Qualcuno sta tentando di accedere a un account collegato al tuo numero |
| Chiamate «ping» con un solo squillo | Verifica dell'attività del numero prima della rivendita |
L'ultimo punto è importante: ricevere una chiamata che si interrompe subito, o un SMS vuoto, serve talvolta semplicemente a verificare che la linea sia attiva. Non richiamare mai un numero sconosciuto con tariffazione esotica.
Verificare ciò che esponi tu stesso
Prima di dare la colpa a una fuga di dati, è utile misurare la propria esposizione volontaria. Digita il tuo numero tra virgolette in un motore di ricerca. Controlla:
- i tuoi annunci sulle piattaforme di annunci, spesso lasciati online con il numero in chiaro nel testo;
- gli elenchi telefonici inversi, che riportano le utenze non elencate solo se l'abbonato non ha richiesto l'esclusione;
- i tuoi profili professionali e associativi, i PDF di verbali, gli elenchi di contatti pubblicati da un club o da una scuola.
Molte fughe di dati non sono attacchi informatici: sono pubblicazioni dimenticate.
Cosa succede concretamente dopo una fuga di dati
Ondata 1: il telemarketing
È la conseguenza più immediata e più innocua. Il telemarketing telefonico è regolamentato: le chiamate commerciali sono vietate nei fine settimana, nei giorni festivi e al di fuori di fasce orarie precise durante la settimana. L'iscrizione gratuita al Registro delle Opposizioni, il servizio ufficiale gestito per conto dello Stato, resta il primo passo da compiere. Non blocca né le truffe né le aziende con cui hai un contratto in corso, ma ripulisce una parte del flusso.
Per la prospezione via SMS il quadro è diverso: il GDPR e il codice delle comunicazioni elettroniche impongono un consenso preventivo per i messaggi commerciali indirizzati ai privati, oltre a un mezzo semplice di opposizione — il classico «STOP» seguito da un codice.
Ondata 2: lo smishing mirato
Questo è il vero pericolo. Lo smishing (phishing via SMS) sfrutta i dati trafugati per costruire uno scenario credibile: pacco in attesa, multa da pagare, conto bancario sospeso, aggiornamento della tessera sanitaria. Servizi come Cybermalveillance.gouv.fr pubblicano regolarmente allerte sulle campagne in corso e mettono a disposizione schede pratiche gratuite, fatte piuttosto bene.
L'unico riflesso da memorizzare: non si clicca mai dal messaggio. Si riapre l'applicazione ufficiale o si digita l'indirizzo a mano. Chi vuole consolidare questo riflesso e comprendere le meccaniche dell'ingegneria sociale troverà in un libro sulla cybersicurezza per privati di che strutturare la propria vigilanza molto meglio che accumulando articoli.
Ondata 3: il tentativo di presa di controllo
Lo stadio finale consiste nell'impossessarsi della linea stessa, tramite SIM swapping o portabilità fraudolenta, per intercettare i codici di autenticazione. Questo attacco presuppone che l'aggressore disponga già di informazioni personali sufficienti: da qui l'importanza di limitare a monte l'incrocio dei dati.
Ridurre la propria esposizione senza cambiare numero
Cambiare numero è un'opzione pesante, da riservare a situazioni di molestie o di frodi ripetute. Nella stragrande maggioranza dei casi, si può compartimentare.
Adottare una strategia a due numeri
Il principio è semplice: un numero privato, riservato a familiari e amici, alla banca, al datore di lavoro e alla pubblica amministrazione; un numero pubblico, usato per le consegne, le iscrizioni, gli annunci, le carte fedeltà e i servizi online.
Questo secondo numero può assumere varie forme:
- una SIM prepagata dedicata, la soluzione più semplice ed economica;
- una eSIM secondaria su un telefono compatibile dual SIM;
- per gli usi occasionali, un servizio di invio SMS online senza registrazione, che evita di esporre la propria linea personale per un singolo messaggio.
Se il tuo dispositivo non gestisce la doppia SIM, uno smartphone dual SIM di fascia base tenuto come secondo apparecchio svolge benissimo questo ruolo ed evita di mescolare gli utilizzi.
Ripulire ciò che è già online
Il GDPR ti attribuisce un diritto alla cancellazione (articolo 17) e un diritto di opposizione al trattamento a fini di marketing (articolo 21). In concreto:
- Individua i siti che mostrano o detengono il tuo numero.
- Invia una richiesta scritta di cancellazione, precisando la tua identità e il trattamento in questione. Le autorità per la protezione dei dati mettono a disposizione modelli di lettera gratuiti sui loro siti.
- Il titolare del trattamento ha in linea di principio un mese di tempo per rispondere.
- In assenza di risposta o in caso di rifiuto non motivato, puoi rivolgerti al Garante per la protezione dei dati personali tramite il modulo di reclamo online.
Per gli elenchi inversi, chiedi al tuo operatore l'esclusione dagli elenchi: la procedura è gratuita e ha effetto dalla pubblicazione successiva.
Bloccare la linea lato operatore
Tre misure poco conosciute, da richiedere direttamente al servizio clienti:
- l'attivazione di un codice PIN sulla SIM (spesso disattivato per comodità);
- l'impostazione di una password o di una domanda segreta sull'account cliente, richiesta prima di qualsiasi operazione sensibile;
- l'attenzione al codice di migrazione, che consente la portabilità: non comunicarlo mai a terzi.
Abbandonare progressivamente l'SMS come fattore di autenticazione
Dove possibile, sostituisci la convalida via SMS con un'app di autenticazione (codici TOTP) o, meglio ancora, con una chiave di sicurezza fisica. Le agenzie nazionali per la cybersicurezza raccomandano da anni di privilegiare questi metodi per gli account sensibili. Una chiave di sicurezza FIDO2 sta su un portachiavi, costa quanto una cena e rende il phishing delle tue credenziali praticamente inefficace sui servizi che la supportano.
Per i codici di recupero e le password associate, un gestore di password resta lo strumento di base: evita il riutilizzo, principale causa di compromissioni a catena dopo una fuga di dati.
Cosa fare nelle 48 ore successive a una fuga accertata
Se un'azienda ti notifica una violazione di dati che include il tuo numero — obbligo previsto dal GDPR quando il rischio è elevato — ecco una linea di condotta ragionevole.
Giorno 1 — Inventario. Elenca gli account che usano questo numero come mezzo di recupero o di autenticazione a due fattori: banca, app di messaggistica, social network, casella di posta principale, piattaforme di pagamento.
Giorno 1 — Rafforzamento. Cambia le password degli account più critici, cominciando dalla casella di posta, che comanda tutti gli altri. Attiva un'autenticazione non basata su SMS ovunque l'opzione esista.
Giorno 2 — Monitoraggio. Imposta un avviso sui movimenti bancari. Annota la data della fuga di dati: se qualche giorno dopo un SMS sospetto fa riferimento a un servizio coinvolto, il collegamento è stabilito.
Giorno 2 — Segnalazione. Segnala gli SMS fraudolenti ai servizi nazionali antispam, come il 33700 francese, la piattaforma di contrasto allo spam vocale e via SMS. La segnalazione è gratuita: si inoltra il messaggio al 33700, poi si invia in risposta il numero del mittente. In caso di danno economico, sono possibili una denuncia e una segnalazione alle piattaforme della polizia postale, come THESEE in Francia.
Un quaderno sicuro, di carta, custodito fuori casa per i codici di recupero, resta una precauzione sorprendentemente efficace: non si può violare a distanza.
Le false buone idee
Alcuni comportamenti diffusi fanno più male che bene.
- Rispondere «STOP» a un SMS truffaldino. Con un mittente legittimo è la mossa giusta. Con un truffatore è una conferma che la linea è attiva. Distingui: un vero messaggio commerciale identifica chiaramente l'inserzionista.
- Bloccare i numeri uno per uno. Le campagne di smishing usano numeri usa e getta, rinnovati di continuo. Il blocco individuale è una fatica di Sisifo; il filtro dei mittenti sconosciuti, disponibile nativamente su iOS e Android, è più efficace.
- Installare un'app «anti-spam» invasiva. Molte app di filtraggio delle chiamate richiedono l'accesso completo alla rubrica e caricano i tuoi contatti sui loro server. Proteggi il tuo numero esponendo quello dei tuoi cari.
- Credere che un numero «nascosto» protegga. L'occultamento del numero chiamante incide solo sulla visualizzazione. Non impedisce né l'incrocio dei dati né la conservazione da parte della rete.
Un principio semplice: trattare il proprio numero come un dato sensibile
Il numero di telefono è stato a lungo percepito come un recapito banale, da dare senza pensarci. È diventato, nella pratica, un identificativo di livello bancario: apre conti, convalida pagamenti, prova un'identità.
La conclusione operativa si riassume in tre domande da porsi prima di ogni inserimento:
- Questo servizio ha davvero bisogno di contattarmi per telefono?
- Posso usare il mio numero secondario?
- Se questo archivio finisse in una fuga di dati domani, cosa rivelerebbe di me una volta incrociato con il resto?
Tre domande, pochi secondi. È il miglior rapporto sforzo/protezione di tutta l'igiene digitale — e di gran lunga.
