«Non capisco. Sto attento, non clicco mai su nulla, eppure ricevo comunque quattro SMS truffa a settimana.»
È una frase che torna continuamente. Ed è perfettamente logica: la prudenza protegge dalle conseguenze di un SMS fraudolento, non dalla sua ricezione. Finché il tuo numero circola nelle banche dati, continuerà a essere bersagliato. Il problema non è il tuo comportamento davanti ai messaggi, è l'esposizione dell'identificativo stesso.
Da una quindicina d'anni, il numero di cellulare ha silenziosamente sostituito l'indirizzo postale e l'e-mail come chiave di identificazione principale. Serve a ricevere un codice di conferma bancario, a tracciare un pacco, a creare un account, ad accumulare punti fedeltà, a pubblicare un annuncio, a prenotare un tavolo. Un unico numero, condiviso con centinaia di interlocutori di affidabilità molto variabile. È un singolo punto di rottura — e i truffatori lo sanno.
Il metodo descritto qui non ha nulla di spettacolare: consiste nello smettere di usare un numero unico. Un numero per le persone che contano e per i servizi critici, un secondo per tutto il resto. Non è un trucco da smanettoni, è compartimentazione, esattamente il principio che applichiamo già alle password.
Perché un numero unico finisce sempre per trapelare
Le fughe di dati non dipendono da te
Un numero di cellulare non finisce in una lista di truffatori perché hai commesso una leggerezza. Ci arriva per accumulo:
- Le violazioni di dati. Negli ultimi anni le autorità di protezione dei dati hanno registrato notifiche massicce che hanno coinvolto operatori telefonici, piattaforme di biglietteria, assicurazioni sanitarie, catene della grande distribuzione. Il numero di telefono fa quasi sempre parte dei campi esposti, perché è considerato «meno sensibile» della password — mentre invece è proprio permanente e non modificabile senza costi.
- La rivendita di elenchi. Il telemarketing, perfettamente legale quando esiste il consenso, alimenta un'economia grigia in cui le banche dati vengono rivendute, incrociate, arricchite. Una volta che un numero entra in questo circuito, ne esce raramente.
- L'incrocio dei dati. Il tuo numero lasciato su un annuncio, su un modulo di un concorso a premi, su un sito di prenotazioni, diventa un punto di giunzione che permette di collegare tra loro diversi insiemi di dati. È questo che spiega quegli SMS che «conoscono» il tuo nome, la tua città o il tuo ordine.
La conseguenza: un profilo da vittima
Quando un numero è associato a informazioni contestuali, il truffatore non invia più un messaggio generico. Invia un messaggio plausibile. E la plausibilità è, di gran lunga, il primo fattore di successo dello smishing. Gli osservatori sulla sicurezza dei mezzi di pagamento sottolineano da anni la crescita delle frodi cosiddette «per manipolazione», in cui è la vittima stessa ad agire, convinta da uno scenario credibile.
Compartimentare significa spezzare questo incrocio. Se il tuo numero «pubblico» non è mai associato alla tua banca, una fuga di dati che lo riguarda non permette più di confezionare un messaggio bancario credibile.
I tre modi per ottenere un secondo numero
1. La seconda SIM fisica o l'eSIM
È la soluzione più solida. La quasi totalità degli smartphone venduti dal 2021 gestisce la doppia SIM, e spesso la combinazione SIM fisica + eSIM. Una eSIM si attiva in pochi minuti tramite un QR code, senza andare in negozio.
Le offerte d'appoggio da 2 o 3 € al mese sono più che sufficienti: hai bisogno soltanto di ricevere SMS e di fare qualche chiamata occasionale. Alcuni operatori propongono perfino offerte bloccate a meno di 2 € che svolgono benissimo questo ruolo.
Su un telefono più vecchio che non gestisce l'eSIM, la soluzione del secondo dispositivo resta valida: un telefono cellulare dual SIM di fascia bassa, tenuto in un cassetto e acceso una volta a settimana, svolge benissimo la funzione di «cassetta postale» per le iscrizioni secondarie.
2. Il numero virtuale da applicazione
Diversi servizi propongono un numero assegnato via software, utilizzabile da un'app. È comodo, ma attenzione a due limiti: alcuni servizi bancari e amministrativi rifiutano i numeri non collegati a un operatore mobile tradizionale per l'invio dei codici di conferma, e la durata del numero dipende dalla sopravvivenza del servizio. Un numero virtuale che scade significa un account potenzialmente irrecuperabile.
3. La linea fissa o il numero di una vecchia offerta
Soluzione povera ma efficace: molti moduli accettano un numero fisso. Se ne hai uno tramite il modem di casa, può assorbire una parte delle iscrizioni non critiche. Lo svantaggio: non riceve SMS, il che blocca qualsiasi autenticazione a due fattori.
Come ripartire gli usi: la regola delle due colonne
Il principio è semplice: il numero privato non deve mai essere inserito in un modulo online, salvo le eccezioni elencate.
| Uso | Numero privato | Numero pubblico |
|---|---|---|
| Famiglia, amici, colleghi | ✅ | ❌ |
| Banca, assicurazione, fisco, sanità | ✅ | ❌ |
| Medico, farmacia, laboratorio analisi | ✅ | ❌ |
| Scuola, asilo nido, datore di lavoro | ✅ | ❌ |
| Consegne, e-commerce | ❌ | ✅ |
| Carte fedeltà, concorsi a premi | ❌ | ✅ |
| Annunci, Vinted, Subito | ❌ | ✅ |
| Prenotazioni (ristoranti, parrucchiere, noleggi) | ❌ | ✅ |
| Iscrizioni a siti poco conosciuti | ❌ | ✅ |
| Wi-Fi pubblico che richiede un numero | ❌ | ✅ |
Questa griglia non è un vincolo permanente. Richiede uno sforzo nelle prime due settimane, il tempo di installare il riflesso, poi diventa automatica.
Il caso particolare dell'autenticazione a due fattori
È il punto su cui bisogna essere rigorosi. I codici ricevuti via SMS per convalidare un pagamento o un accesso devono arrivare sul numero privato, mai sul numero pubblico. Il motivo: il numero pubblico è quello che compare nelle banche dati divulgate, quindi quello che sarà preso di mira da un tentativo di dirottamento della linea (frode tramite portabilità o sostituzione della SIM).
E già che ci sei, approfitta dell'occasione per abbandonare l'SMS quando possibile. Le agenzie nazionali per la sicurezza informatica raccomandano da tempo le app di autenticazione piuttosto che i codici via SMS, dato che l'SMS non è cifrato end-to-end. Per gli account più sensibili, una chiave di sicurezza fisica FIDO2 rappresenta il livello superiore: rende il phishing strutturalmente inefficace, poiché nessun codice può essere trasmesso a terzi.
Che cosa risolve davvero la compartimentazione — e che cosa non risolve
Che cosa risolve
- Il volume. Le esperienze convergono: dopo sei-dodici mesi, il numero privato riceve una quantità residua di spam, spesso vicina allo zero, mentre il numero pubblico concentra tutto.
- La credibilità degli attacchi. Un SMS «il tuo pacco è bloccato» ricevuto su un numero che sai essere riservato alle consegne e alle iscrizioni sospette perde immediatamente il suo potere di persuasione. Non devi più chiederti se sia vero: è il contesto a risponderti.
- Il rilevamento delle fughe di dati. Riservando determinati usi a determinati numeri, sai da dove arriva una fuga. È il principio dell'indirizzo e-mail usa e getta, applicato al cellulare.
Che cosa non risolve
Siamo onesti sui limiti.
Lo spoofing del mittente resta possibile: un truffatore può visualizzare il nome della tua banca a prescindere dal numero preso di mira. La compartimentazione riduce la probabilità che tu riceva quel messaggio, non la capacità tecnica dell'attaccante.
Gli SMS Blaster, quelle valigette che simulano un ripetitore e bersagliano tutti i cellulari in un raggio di qualche centinaio di metri, se ne infischiano completamente del tuo numero: non usano la rete dell'operatore e non hanno bisogno di conoscere la tua linea. Nessuna compartimentazione protegge da questo vettore.
Infine, la compartimentazione non ti protegge dai tuoi cari. Se il telefono di un amico viene compromesso e la sua rubrica viene aspirata, il tuo numero privato esce dalla sua scatola.
Effettuare il passaggio senza mandare tutto all'aria
Passo 1: fare l'inventario prima di agire
Prima di attivare qualsiasi cosa, elenca i servizi in cui il tuo numero attuale è registrato. Apri la casella degli SMS e scorri gli ultimi sei mesi: vedrai comparire i mittenti legittimi (banca, assicurazione, medico, operatore, servizi di consegna). È il tuo inventario di partenza.
Un taccuino di carta va benissimo per questa fase, e ha un vantaggio reale: non finirà mai in una fuga di dati. Molte persone che strutturano la propria sicurezza digitale tengono questo tipo di registro offline per le informazioni di recupero degli account.
Passo 2: decidere quale numero diventa «pubblico»
Due scuole di pensiero.
Opzione A — il numero storico diventa il numero pubblico. Attivi una nuova linea per l'uso privato. Vantaggio: nessuna pratica di aggiornamento, tutti i servizi esistenti continuano a funzionare. Svantaggio: il tuo nuovo numero privato va comunicato ai tuoi cari, e bisogna ricordarsi di migrarci sopra i servizi critici.
Opzione B — il numero storico resta privato. Attivi una linea nuova per l'uso pubblico. Vantaggio: i tuoi cari non devono cambiare nulla. Svantaggio: bisogna aggiornare, uno per uno, tutti i servizi non critici già registrati — oppure semplicemente lasciare fare al tempo e riservare il numero pubblico alle sole nuove iscrizioni.
Nei fatti, l'opzione B è più morbida, ed è quella che consiglio a chi non ha voglia di intraprendere un cantiere. Il numero privato si «ripulisce» progressivamente.
Passo 3: gestire due linee senza confusione
Sia su Android sia su iOS puoi dare un nome a ciascuna linea («Personale», «Pubblico»), assegnarle un colore di bolla e definire una linea predefinita per l'invio. Prenditi cinque minuti per farlo: è ciò che evita di inviare un messaggio di lavoro dal numero-spazzatura.
Anche una suoneria diversa per ogni linea è molto utile. Il numero pubblico non ha bisogno di interromperti: mettilo in silenzioso permanente e consultalo una volta al giorno. Sui telefoni che gestiscono male i profili sonori per SIM, uno smartwatch con notifiche filtrate permette di lasciar passare solo la linea privata.
Passo 4: non rendere il numero pubblico troppo chiacchierone
Un numero pubblico resta un numero che ti appartiene. Evita di associarvi il tuo nome completo negli elenchi, non usarlo come identificativo di messaggistica istantanea con foto profilo personale, e rifiuta la sincronizzazione della rubrica per le app installate in quel contesto.
Il riflesso che deve restare, qualunque cosa accada: segnalare
La compartimentazione non sostituisce la segnalazione. Ogni SMS fraudolento ricevuto — sull'una o sull'altra linea — deve essere inoltrato al servizio ufficiale di segnalazione degli spam vocali e via SMS gestito in collaborazione con gli operatori (in Francia il 33700). È gratuito, richiede dieci secondi, ed è ciò che alimenta il blocco dei numeri mittenti.
In caso di danno economico, la denuncia e le piattaforme ufficiali — come Perceval (per l'uso fraudolento della carta di pagamento) e Cybermalveillance.gouv.fr (per l'assistenza) — restano i punti d'ingresso da seguire.
Un numero pubblico saturo di spam non è un fallimento del sistema: è la prova che funziona. Lo spam è finito là dove non fa più danni.
Bisogna arrivare a due telefoni?
Per la maggior parte delle persone no: la doppia SIM basta. Due situazioni giustificano comunque un secondo dispositivo.
Il caso professionale. Se sei un libero professionista o un commerciante, il numero indicato sui tuoi materiali commerciali è per definizione pubblico, esposto, aspirato. Separarlo fisicamente dal telefono personale ha senso, soprattutto per staccare la sera e nel fine settimana. Una power bank compatta diventa allora un accessorio indispensabile, perché due dispositivi significano due autonomie da gestire.
Il caso dei viaggi. Per una trasferta, un telefono secondario con il solo numero pubblico limita l'entità dei danni in caso di furto o smarrimento, dato che non ci transitano né la banca né i codici di conferma. Si completa utilmente con un tracker Bluetooth infilato nella borsa, che permette almeno di sapere se il dispositivo è stato dimenticato da qualche parte o portato via.
Che cosa ricordare
Non puoi impedire le fughe di dati: non dipendono da te. Puoi invece decidere che cosa si portino via con sé. Un numero unico è una chiave che apre tutte le porte della tua vita digitale; due numeri sono due mazzi separati, di cui uno solo può essere perso senza conseguenze.
L'attivazione richiede un'ora di riflessione, qualche euro al mese e due settimane di abitudine. In cambio, la domanda «questo SMS è vero?» si pone molto meno spesso — ed è esattamente l'obiettivo. Il miglior SMS truffa è quello che arriva su una linea di cui sai già, ancora prima di aprirlo, che non riceve mai nulla di importante.
