Il numero di telefono è uno degli identificatori più diffusi e alla mano: è quello che usiamo più spesso per connetterci, cambiare password o accedere ai nostri account. Ma quanto è davvero potente questa “chiave” digitale? Può in pratica, con un semplice SMS, sbloccare tutti i nostri dati social, bancari, personali? Nella realtà le cose sono più complesse di quanto il nostro cervello voglia credere.

1. Il numero di telefono: un’identità digitale in continua evoluzione

Dal 2016 il numero di telefono è stato riconosciuto come un “primary identifier” da diverse piattaforme digitali, tra cui Google, Facebook e Apple. Questo significa che, quando si registra un nuovo dispositivo o si verifica l’identità, il numero può servire come riferimento principale.

1.1 Come funziona la verifica a due fattori (2FA)

La verifica a due fattori è una delle protezioni più comuni: oltre alla password, l’utente riceve un codice SMS o utilizza un’app di autenticazione per confermare la propria identità. Se l’attaccante ha già la password, il numero di telefono può aprire le porte. Tuttavia, se la 2FA è abilitata con un’app (es. Google Authenticator) l’accesso è più sicuro.

1.2 Il SIM swapping: tendenza globale e rischi crescenti

Il SIM swapping è un attacco in cui l’aggressore convince il provider telefonico a trasferire il proprio numero su una SIM controllata. Una volta che il numero è sotto il suo dominio, può ricevere tutti i codici di autenticazione.

Secondo Report di Verizon (2022), il 28% delle violazioni dati di grandi aziende ha coinvolto un attacco di SIM swapping.

2. Social media, email e altri servizi: la dipendenza dal numero di telefono

Per gli account Facebook, WhatsApp, Instagram e Twitter, il numero di telefono può essere usato per:

Recupero password
Verifica dell’identità
Le notifiche di sicurezza

Messaggi di phishing cifrati spesso includono “Richiesta di verifica: premi su questo link” che, se cliccato, invia il tuo numero a un bot e apre le porte per ulteriori furti di identità.

3. I limiti del numero di telefono come sola porta di accesso

In realtà, l’accesso non è “solo” attraverso il numero di telefono. Le piattaforme richiedono sempre più più livelli di autenticazione.

3.1 Biometrics e passkey

Le passkey basate su webAuthn, che utilizzano l’autenticazione biometrica (impronta digitale, riconoscimento facciale), stanno guadagnando terreno come metodo più sicuro rispetto alla 2FA tradizionale.

3.2 Multi-factor authentication (MFA) avanzata

MFA combina: 1) qualcosa che si conosce (password), 2) qualcosa che si possiede (telefono), 3) qualcosa che si è (biometria). Quando tutti e tre gli elementi sono presenti, il rischio è praticamente nullo.

4. Cosa fare per proteggere il tuo numero di telefono

Abilita la MFA su tutti gli account importanti.
Usa un’app di autenticazione piuttosto che SMS.
Richiedi al provider un “blocco SIM” (proof of ownership).
Attiva l’autenticazione biometrica su dispositivi mobili.
Revisione periodica delle autorizzazioni degli app che richiedono il tuo numero.

5. Statistiche realistiche sulla sicurezza mobile in Italia

Il 2023 l’Autorità Garante per la protezione dei dati personali ha riportato che il 19% delle intrusioni in account digitali italiani è stato correlato a SIM swapping.

6. Confronto rapido: SMS vs App di autenticazione vs Passkey

flowchart TD
A[SMS] --> B[1 codice di verifica]
C[App Authenticator] --> B
D[Passkey] --> B
E[Protezione] --> F[Alta]
F --> B

7. Le migliori pratiche per le aziende

Per i KRIs (Key Risk Indicators), l’implementazione di MFA è ora obbligatoria per le organizzazioni con più di 500 dipendenti secondo la nuova normativa europea sul DPA.

Numero di cellulare: chiave di accesso o punto debole? | Sicurezza 2FA & SIM swapping