Le violazioni dei dati sono diventate così comuni che molte persone le considerano un rumore di fondo: un'e-mail fastidiosa, una reimpostazione della password e poi un ritorno alla normalità. Ma il vero pericolo spesso arriva più tardi, quando i dettagli trapelati vengono assemblati in attacchi mirati che sembrano personali, plausibili e difficili da fermare.
Un'indagine della BBC sulle vittime di truffe mostra come funziona in pratica questa pipeline: le vecchie perdite di dati aiutano i criminali a eseguireAttacchi di scambio SIM, dirottare account di posta elettronica, aprire una carta di credito a nome di qualcuno o prendere il controllo di account pubblicitari aziendali. Quella che sembra una "semplice fuga di dati di un indirizzo email" può trasformarsi in una strada diretta verso denaro, furto di identità e mesi di operazioni di pulizia.
Questa spiegazione analizza i meccanismi: come funzionano gli scambi di SIM, perché l'autenticazione a due fattori può fallire e quali misure pratiche riducono effettivamente i rischi.
Il passaggio dalla violazione alla truffa (in parole povere)
La maggior parte delle truffe che si concludono con il furto di fondi seguono una sequenza ripetibile:
- I dati personali sono esposti(attraverso una violazione di un'azienda a cui ti sei rivolto anni fa).
- I criminali lo arricchisconocombinando più violazioni, informazioni pubbliche e talvolta fonti di data broker.
- Prendono di mira l'anello più debole(un numero di cellulare, una casella di posta elettronica o un flusso di lavoro "password dimenticata").
- Si intensificano— utilizzando il primo compromesso per reimpostare le password e prendere il controllo di altri account.
Joe Tidy, corrispondente informatico della BBC, osserva che essere vittima di una violazione aumenta le probabilità di essere presi di mira. Il punto non è che ogni violazione porti a una truffa, ma che le violazioni forniscano ai criminali le materie prime di cui hanno bisogno per impersonificarsi in modo credibile.
Attacchi di scambio SIM: perché il tuo numero di telefono è una chiave passepartout
In un caso, una donna di nome Sue ha detto alla BBC che la sua vita digitale è stata dirottata tramite unSostituzione SIM.
Un attacco di scambio SIM funziona in questo modo:
- Un criminale convince un operatore di rete mobile di essere il vero titolare dell'account.
- L'operatore emette una nuova SIM (o trasferisce il numero) e il telefono della vittima perde il servizio.
- Il criminale ora riceve chiamate e messaggi di testo destinati alla vittima, compresi i codici di verifica.
Una volta che gli aggressori controllano il tuo numero, possono intercettarloCodici di sicurezza basati su SMSutilizzato per il ripristino della password e la verifica dell'accesso.
Sue ha detto che i truffatori hanno preso il controllo di leiGmaile poi l'ha chiusa fuoriconti bancaridopo aver fallito i controlli di sicurezza. Aveva anche uncarta di credito aperta a suo nome, e i criminali acquistatipiù di £ 3.000 in buoniPer riprendere il controllo sono stati necessari diversi viaggi in banca e presso il suo operatore di telefonia mobile.
Questa storia è un esempio lampante del motivo per cui i professionisti della sicurezza consigliano di abbandonare gli SMS come secondo fattore principale per gli account importanti.
Dove i truffatori hanno preso i dati di Sue
La BBC riporta che Suenumero di telefono, indirizzo email, data di nascita e indirizzo fisicosono stati esposti in precedenti violazioni, tra cui la piattaforma di gioco d'azzardoPaddy Power (2010)e strumento di convalida e-mailVerifications.io (2019)Anche altre raccolte di documenti hackerati includevano i suoi dati.
Un'analista di sicurezza informatica citata dalla BBC, Hannah Baumgaertner di Silobreaker, ha affermato che gli aggressori hanno probabilmente utilizzato dati personali trapelati per effettuare lo scambio di SIM. Una volta ottenuto il numero di telefono di Sue, hanno potuto intercettare i codici di sicurezza inviati per verificare l'identità di Gmail.
Questo è il problema della “scossa di assestamento della violazione”: anche se la violazione originale risale a dieci anni fa, i dati possono continuare a circolare, essere riconfezionati e utilizzati come prova di ingegneria sociale.
Come si espandono i piccoli attacchi informatici: il mercato degli abbonamenti dirottati
L'articolo della BBC mette in luce anche un tipo di crimine informatico meno rischioso ma estremamente comune: l'appropriazione indebita di un account di abbonamento.
Fran, in Brasile, ha detto alla BBC di aver trovato qualcuno che si era registrato a suo nomeNetflixaccount e aumentato il suo abbonamento mensile, un classico dirottamento da "parassita".
L'articolo afferma che non è sempre possibile individuare una singola violazione come causa principale. Ma la BBC ha scoperto che l'indirizzo email di Fran era stato esposto in almeno quattro violazioni, tra cui:Archivio Internet (2024),Trellov (2024),Descomplica (2021)EWattpad (2020).
Un ricercatore di sicurezza citato nell'articolo, Alon Gal di Hudson Rock, ha descritto un mercato di account di streaming violati, che ha trasformato la fuga di notizie di un'azienda in un abuso continuo.
Quando l'autenticazione a due fattori fallisce ancora
Uno degli aspetti più inquietanti delle truffe moderne è che a volte gli aggressori riescono a eludere le protezioni che gli utenti ritengono "sufficienti".
La BBC descrive la storia di Leah, una piccola imprenditrice, presa di mira da un'email di phishing che sembrava provenire da Facebook. Ha cliccato su un link, ha inserito i propri dati su una falsa pagina Meta e dei truffatori hanno preso il controllo del suo account aziendale, nonostante avesse...autenticazione a due fattori.
Gli aggressori hanno poi pubblicato video di abusi sessuali su minori sotto il suo nome (facendola bloccare) e hanno diffuso centinaia di sterline di pubblicità pagate da lei nei tre giorni che ci sono voluti per riprendere il controllo (alla fine ha recuperato i soldi).
Come può la 2FA fallire? I percorsi più comuni includono:
- Phishing proxy in tempo reale:il sito falso trasmette le credenziali al sito reale e chiede il codice 2FA, utilizzandolo immediatamente.
- Furto di sessione/cattura di token:Alcuni kit di phishing catturano il cookie di sessione dopo l'accesso.
- Scappatoie nel recupero dell'account:se l'email/telefono di recupero viene compromesso, gli aggressori ripristinano l'accesso senza attivare i normali controlli.
Il punto non è che la 2FA sia inutile, ma chel'account più forte è quello con più livelli, non una sola casella di controllo.
Il ruolo dei data broker e dell’“arricchimento”
Anche quando una violazione non include tutto ciò che un aggressore desidera, i criminali possono combinare le fonti.
La BBC osserva che i truffatori spesso mescolano informazioni private rubate con informazioni pubbliche. Gli investigatori hanno descritto come un aggressore potrebbe collegare un indirizzo email rubato con un numero aziendale pubblico per inviare un messaggio di phishing più convincente.
Ecco cosa rende le truffe moderne così inquietanti: il messaggio non sembra spam. Sembra scrittoper te.
Il problema della scala: le violazioni di massa alimentano un'economia globale di truffe
La BBC nota che diversi attacchi di alto profilo in2025ha esposto milioni di record, elencando esempi come:
- 6,5 milionicolpiti da una violazione della Co-op (aprile)
- un attacco informatico che ha colpito i clienti di Marks & Spencer (l'azienda non ha specificato quanti)
- 400.000I clienti di Harrods interessati
- 5,7 milionicolpito da un attacco informatico alla Qantas
Cita anche il Data Breach Observatory di Proton Mail:794 violazioni verificateda fonti identificabili scoperte finora nel 2025, esponendopiù di 300 milionirecord individuali.
A quella scala, i criminali non hanno bisogno di essere brillanti. Devono essere tenaci e produttivi.
Cosa fanno (e cosa non fanno) le aziende dopo le violazioni
Spesso le vittime scoprono che non esiste un sistema standard di "assistenza post-violazione".
La BBC riporta che in passato offrire un monitoraggio gratuito del credito era una prassi comune, ma ora sono sempre meno le aziende che lo fanno. Si sottolinea che alcune aziende non offrivano questi servizi, mentre Co-op offriva un buono a determinate condizioni.
L’articolo menziona anche una tendenza crescente di azioni legali collettive – sebbene difficili da vincere perché è difficile dimostrare l’impatto individuale – e un accordo degno di nota: T-Mobile ha accettato di pagare350 milioni di dollaridopo una violazione del 2021 che ha interessato76 metriclienti, con pagamenti segnalati che vanno dada $ 50 a $ 300.
Un piano di risposta realistico se si sospetta uno scambio di SIM
Poiché la sostituzione della SIM è un'operazione che richiede tempo, è utile avere una lista di controllo.
- Se il tuo telefono perde improvvisamente il servizio(e non ti trovi in una zona morta), trattalo come urgente.
- Chiama il tuo operatore da un altro telefonoe chiedere se è avvenuto un trasferimento della SIM o del numero.
- Richiedi un blocco immediatoin caso di ulteriori modifiche della SIM e reimpostare le credenziali dell'account/PIN.
- Proteggi il tuo account di posta elettronica principalepoi, perché può resettare tutto il resto.
- Cambiare le passwordper servizi bancari, app di pagamento e qualsiasi conto collegato a codici SMS.
- Controllare nuovi conti/attività di creditonel tuo nome.
Anche se l'attacco si rivelasse un problema di rete, si perderebbe poco agendo rapidamente.
Misure pratiche per ridurre il rischio (senza paranoia)
Non puoi impedire che un'azienda di cui ti servivi anni fa venga violata. Ma puoi rendere i dati trapelati meno utili agli aggressori.
1) Proteggi il tuo account mobile
- Chiedi al tuo operatore informazioniPIN dell'account, serrature di uscita e verifica aggiuntiva.
- Ridurre al minimo il numero di servizi che utilizzano gli SMS come metodo di recupero.
2) Utilizzare un'autenticazione più forte ove possibile
Per i tuoi account più importanti (e-mail, servizi bancari, gestore password), preferisci:
- app di autenticazione (TOTP)
- chiavi di accesso
- o chiavi di sicurezza hardware
…tramite codici SMS.
3) Utilizzare un gestore di password + password univoche
Il credential stuffing è ancora un'attività poco costosa. Le password univoche impediscono a una sola violazione di sbloccare tutto.
4) Tratta la tua email principale come l'"account root"
Se i criminali riescono a entrare nella tua casella di posta elettronica, possono reimpostare quasi tutti gli altri account. Crea la tua email:
- fortemente autenticato
- opzioni di recupero garantite
- e monitorato per accessi sospetti
In conclusione
Le violazioni dei dati non sono solo un problema di privacy: sono la catena di approvvigionamento delle truffe. Vecchie fughe di notizie possono essere combinate con informazioni pubbliche per impersonarti, rubare il tuo numero di telefono tramite uno scambio di SIM, bypassare gli accessi e trasformare una singola compromissione in una cascata che coinvolge email, account finanziari e profili social. La difesa più efficace è a più livelli: proteggi il tuo numero di telefono, metti in sicurezza la tua email principale e, ove possibile, evita la sicurezza basata sugli SMS.
Italiano
English
العربية
Čeština
Dansk
Nederlands
Eesti
Suomi
Français
Deutsch
Ελληνικά
Magyar
日本語
한국어
Latviešu valoda
Lietuvių kalba
Norsk bokmål
Polski
Português
Română
Русский
Slovenčina
Slovenščina
Español
Svenska
Türkçe