Proteggi il numero, ma esamina anche ogni percorso dell’account che lo considera una prova d’identità.
Un SIM swap trasferisce il controllo del tuo numero di telefono a una SIM o eSIM controllata da un aggressore. Se un account di messaggistica accetta gli SMS come prova sufficiente per la registrazione, l’accesso o il recupero, l’aggressore potrebbe sfruttare quel percorso.
L’esito non è identico in tutti i servizi di messaggistica. Un blocco aggiuntivo della registrazione, una passkey, una password o un segreto di recupero indipendente possono cambiare ciò che l’aggressore può fare. Impadronirsi di un numero non decifra automaticamente tutte le vecchie conversazioni conservate sui tuoi dispositivi.
Come il controllo del numero diventa controllo dell’account
La guida sul SIM swap della Federal Trade Commission statunitense descrive aggressori che convincono un operatore ad attivare il numero di una vittima su un’altra SIM. SMS di verifica e chiamate in arrivo possono così raggiungere l’aggressore.
La debolezza rilevante è la decisione dell’account di fidarsi di quel numero. Un servizio potrebbe usarlo per la prima registrazione, un ulteriore passaggio di verifica o la reimpostazione della password. Sono capacità diverse. Esaminale tutte, comprese le opzioni alternative, anziché controllare soltanto la normale schermata di accesso.
L’improvvisa perdita del servizio mobile o un avviso inatteso di attivazione della SIM possono essere segnali d’allarme, anche se interruzioni del servizio e normali problemi dell’account possono apparire simili. Verifica con l’operatore attraverso un canale ufficiale noto.
Distinguere l’impersonificazione dall’accesso ai vecchi messaggi
Un dispositivo appena registrato e controllato da un aggressore potrebbe impersonarti o ricevere comunicazioni future, secondo le regole dell’app. Per la vecchia cronologia serve una spiegazione aggiuntiva: una copia leggibile sul server, l’accesso a un backup cifrato e alla sua chiave, un dispositivo collegato o una copia locale.
| Risorsa | Il solo controllo del numero la fornisce necessariamente? |
|---|---|
| Codici di verifica SMS in arrivo | Potenzialmente, dopo il trasferimento del numero |
| Registrazione o ripristino dell’account | Solo se il servizio accetta quel percorso senza un requisito indipendente |
| Sessioni già esistenti sui dispositivi | Non automaticamente; contano le regole di gestione delle sessioni |
| Vecchia cronologia delle chat E2EE | Non automaticamente; l’aggressore deve comunque avere una copia accessibile e le chiavi necessarie |
| Messaggi futuri indirizzati a un’identità appena accettata | Un rischio che dipende dalla verifica dell’identità e dal comportamento dell’account |
Gli avvisi di cambiamento della chiave e la verifica indipendente dell’identità di un contatto possono aiutare a rilevare un nuovo endpoint inatteso. Non vanno ignorati soltanto perché il numero di telefono conosciuto è rimasto uguale.
Cosa offre SRP e cosa non può promettere
SRP autentica la conoscenza di una password senza inviarla nello scambio previsto. Se l’accesso richiede davvero una password indipendente e nessuna alternativa tramite SMS la aggira, rubare soltanto il numero non soddisfa tale requisito.
SRP, da solo, non specifica le regole dell’app sui numeri di telefono, il processo di ripristino o le procedure di assistenza. Non rende forte una password debole e non impedisce a codice di phishing di leggere il testo inserito in una pagina malevola. Anche il verificatore del server resta sensibile: la sezione 3.3 della RFC 5054 descrive i tentativi di indovinare la password dopo il furto del verificatore.
Passkey e chiavi di sicurezza sono altri possibili modi per ridurre la dipendenza dagli SMS, quando il servizio le supporta. La spiegazione delle passkey della FIDO Alliance descrive credenziali a chiave pubblica e resistenza al phishing. Il percorso effettivo di recupero dell’account va comunque esaminato, qualunque sia il metodo di accesso abituale.
La separazione documentata da Livara
La pagina sulla sicurezza di Livara descrive l’accesso SRP separatamente dal backup cifrato dell’identità. La versione 7 sigilla il materiale d’identità prima del caricamento con una chiave di recupero distinta e ripristina l’identità, non la cronologia delle chat. Il modello delle minacce afferma che una password rubata, da sola, non può ripristinare quelle chiavi di cifratura.
Questi confini aiutano a distinguere autenticazione e decifratura. Non giustificano la promessa che ogni percorso di furto dell’account sia stato sottoposto ad audit o che un incidente dell’operatore non possa avere effetti. Controlla le opzioni attuali di accesso e recupero nel client; non dedurre comportamenti non documentati dal nome di un protocollo.
L’instaurazione di chiavi post-quantistica affronta un problema diverso: futuri attacchi al traffico cifrato catturato. Non impedisce a un operatore di trasferire un numero di telefono né a un account di fidarsi di un SMS intercettato.
Ridurre il rischio prima di un incidente
- Proteggi l’account dell’operatore mobile con un PIN o una password distinti e i controlli disponibili contro la portabilità non autorizzata.
- Preferisci un’autenticazione forte senza SMS dove supportata e conserva in sicurezza le opzioni di recupero.
- Controlla se il recupero dell’account ripiega silenziosamente sul numero di telefono.
- Usa password uniche e proteggi l’account email utilizzato per il recupero.
- Impara come il servizio mostra i dispositivi collegati, le modifiche alla registrazione e i cambiamenti delle chiavi dei contatti.
Se sospetti che il tuo numero sia stato sottratto
- Contatta immediatamente l’operatore tramite un canale verificato e chiedi un’indagine e il recupero del numero.
- Da un dispositivo affidabile, proteggi gli account interessati e controlla le sessioni sconosciute. Riottenere il numero non termina necessariamente una sessione già attiva dell’aggressore.
- Verifica se le impostazioni di recupero sono state modificate e reimposta le credenziali compromesse tramite le procedure ufficiali.
- Avvisa i contatti importanti attraverso un altro canale affidabile se è possibile un’impersonificazione. Verifica nuovamente le identità crittografiche che sono cambiate.
- Conserva gli avvisi e gli orari rilevanti per l’assistenza o una segnalazione. Non inviare mai un codice monouso, una password o una frase di recupero a chi offre di “risolvere” il problema in un messaggio.
La protezione utile è un’architettura dell’account che non consenta a un solo fattore rubato di aggirare tutti gli altri controlli, insieme a un piano chiaro di recupero e gestione delle sessioni in caso d’incidente.
