Falsa allerta SIM swapping a nome della Polizia Postale: come ti rubano i dati

Cosa c’è da sapere…

• Una campagna di phishing imita il sito del Commissariato di P.S. Online della Polizia Postale per spaventare le vittime con una falsa allerta SIM swapping.
• Il sito clone mostra un finto articolo « Allarme SIM Swapping: oltre 12.000 casi nel 2026 » e spinge a sostituire la propria SIM.
• I dati inseriti nei moduli vengono esfiltrati in tempo reale (WebSocket), compresi quelli della carta di credito o di PayPal per un fantomatico pagamento di 2 euro.
• Con queste informazioni i criminali possono poi chiedere la sostituzione della SIM all’operatore e svuotare i conti correnti.

La truffa che usa la paura del SIM swapping

Il 12 giugno 2026, il Threat Intelligence Team di D3Lab ha rilevato la prima campagna di phishing dell’anno a tema Commissariato di P.S. Online, strumentalizzato per orchestrare attacchi di SIM swapping.

La particolarità è nell’approccio: non è il criminale a fingersi la vittima, è la vittima stessa a consegnare i propri dati, terrorizzata dall’idea di subire un furto sul conto. Gli esperti parlano di ingegneria sociale inversa.

Tutto parte da un SMS o una email che invita a verificare la propria SIM. Il link porta a un sito che imita quasi perfettamente quello del Commissariato di P.S. Online: grafica, testi e persino un finto controllo anti-bot per sembrare credibile. L’indirizzo del sito clone non ha nulla in comune con il portale ufficiale (commissariatodips.it).

Come funziona il raggiro, passo dopo passo

1. La vittima apre una pagina con un finto articolo dal titolo « Allarme SIM Swapping: oltre 12.000 casi nel 2026 », con un aumento del 47% rispetto all’anno precedente e una finta conferenza stampa al Viminale. Tutto inventato.
2. Il testo spinge a cliccare sul vistoso pulsante blu « Richiedi la sostituzione » per proseguire la “messa in sicurezza”.
3. Si apre un modulo di « Conferma dei dati personali »: nome e cognome, codice fiscale, numero di telefono, indirizzo di spedizione completo. Sono i dati necessari per chiedere una SIM sostitutiva a nome della vittima.
4. Segue la richiesta di un pagamento di 2 euro per mantenere il numero, da effettuare con carta di credito (numero, scadenza, CVV) o PayPal (email e password).
5. Il dettaglio tecnico più grave: i dati non vengono inviati con una normale richiesta HTTP, ma in tempo reale attraverso WebSocket (WSS). Ogni carattere digitato parte immediatamente verso il server dei criminali, senza possibilità di ripensamento.

Perché il SIM swapping è così pericoloso

Il SIM swapping non è un’invenzione di questa campagna: è una tecnica reale, più volte smascherata dalla Polizia Postale, come nell’operazione di Cagliari del 2020, in cui una frode è stata bloccata in tempo.

Nel vero SIM swapping, i criminali si procurano le credenziali di home banking (phishing o dark web), poi chiedono all’operatore telefonico una SIM sostitutiva a nome della vittima, spesso con documenti falsificati. La SIM originale viene disattivata e tutti gli SMS, compresi i codici OTP della banca, arrivano al truffatore. Il conto può essere svuotato in pochi minuti.

La campagna della falsa Polizia Postale sfrutta proprio questa paura: il pericolo evocato è reale, quindi il messaggio sembra credibile.

Come difendersi

• Non cliccate mai su link ricevuti via SMS o email che invitano a verificare o sostituire la SIM, a “confermare” dati o a pagare piccole somme.
• Nessun ente pubblico chiede dati bancari o pagamenti tramite link: la Polizia Postale non vi contatterà mai per chiedere 2 euro o il numero della carta.
• Verificate sempre l’indirizzo del sito: le pagine clone copiano loghi e grafica, ma l’URL tradisce l’inganno.
• In caso di dubbio, interrompete subito la procedura e verificate sui canali ufficiali del Commissariato di P.S. Online.

Siete stati contattati? I riflessi giusti

1. Non rispondete e non cliccate: eliminate il messaggio e segnalatelo alle autorità.
2. Se avete inserito i dati, contattate immediatamente la vostra banca per bloccare carte e accessi, e avvisate il vostro operatore telefonico di non rilasciare alcuna SIM sostitutiva a vostro nome.
3. Se il vostro telefono perde improvvisamente la linea, contattate subito l’operatore da un altro telefono: potrebbe essere in corso una sostituzione fraudolenta della SIM.

Avete ricevuto questo tipo di messaggio o siete stati vittime di una sostituzione della SIM? Segnalate la truffa su Truffeonline e raccontate la vostra esperienza nei commenti: è il modo migliore per mettere in guardia gli altri.