Il tuo numero di telefono vecchio apre ancora i tuoi account: il rischio in Italia

Quanti di noi hanno cambiato numero negli ultimi anni? Magari per passare da Vodafone a TIM, da Iliad a un operatore tradizionale, oppure semplicemente perché la SIM prepagata era scaduta. Il numero sparisce dalla tua lista di contatti, ma non scompare dal resto del mondo digitale. Rimane ancora dentro Google, PayPal, nel conto della tua banca come canale di recupero, e lì sedimenterà finché non deciderai di cambiarle attivamente.

Il problema è che il numero, dopo poche settimane o mesi, il provider lo restituisce in circolazione e lo riassegna a qualcun altro. Una ricerca dell'Università di Princeton del 2020 è stata una delle poche a misurare il danno reale: i ricercatori hanno comprato 259 numeri riciclati da Verizon e T-Mobile negli Stati Uniti e hanno verificato cosa ancora vi era collegato. Nel 66 percento dei casi (171 numeri), almeno un account della proprietaria precedente era ancora attivo su Amazon, Google, Facebook, PayPal o Yahoo. Nel 9 percento dei numeri, in una sola settimana di ascolto sono arrivati messaggi di sicurezza rilevanti—codici monouso da Apple, Google, Microsoft, WhatsApp.

Negli Stati Uniti la Federal Communications Commission (FCC) impone un minimo di 45 giorni, massimo 90 giorni di quarantena per i numeri riciclati. È un custodiano tra te e l'ignoto. In Germania, invece, non esiste alcuna protezione legale. La Telekommunikations-Nummerierungsverordnung, il regolamento tedesco, recita semplicemente che il numero torna al provider al termine del contratto. Niente periodo di attesa obbligatorio. Deutsche Telekom stessa ammette nei suoi forum di supporto che il blocco "può durare tra 1 e 6 mesi a seconda del provider". Ma se il tuo numero viene rilasciato dopo 30 giorni, WhatsApp riconoscerà comunque il nuovo proprietario come possibile erede dell'account dopo soli 45 giorni di inattività.

Il vero interrogativo non è quanto durerà la batteria, ma quanto durerà l'entusiasmo dopo i primi sei mesi.

L'Italia, per quanto ne sappiamo, non ha una regolamentazione specifica sul tema—come molti paesi europei oltre la Germania. L'Agcom (Autorità per le Garanzie nelle Comunicazioni) non prescrive tempi di quarantena, e TIM, Vodafone e Iliad seguono criteri interni. Quando contatti il servizio clienti per una pratica di portabilità, le verifiche sono minime: nome, cognome, data di nascita, indirizzo. Dati che finiscono in ogni fuga di dati considerevole. Nessuno dei nostri tre principali operatori offre un servizio di blocco della portabilità prenotabile, a eccezione di una password hotline il cui valore varia notevolmente.

Il vero problema però non è solo il riciclaggio naturale. Esiste una seconda strada, ben più insidiosa: il SIM swap. Qualcuno si finge te, chiama l'operatore e fa trasferire il tuo numero su una nuova SIM. La verifica che il provider fa per questo trasferimento è basata sui dati pubblici: nome, cognome, data di nascita, indirizzo. O2, per dire, fino a febbraio 2023 accettava facilmente una password cliente personalizzata, poi ha cambiato e ora richiede il codice cliente personale o il PUK del contratto. Deutsche Telekom offre la password facoltativa ma non la fa sostituire ai dati soliti, la aggiunge soltanto.

La ragione di questa negligenza non è la scarsità. L'Agenzia Federale Tedesca per le Reti (Bundesnetzagentur) cataloga circa 430 blocchi di un milione di numeri mobili ciascuno. Alla fine del 2025 erano in uso attivo 106,4 milioni di profili SIM. Chi riassegna un numero lo fa per ragioni operative, non per necessità. È una questione di cultura della sicurezza e di priorità regolamentari.

Secondo la nostra redazione, il rischio è concreto ma facilmente mitigabile. La soluzione non passa per leggi—benché sarebbero utili—ma per abitudini: controlla regolarmente quale numero hai registrato su Google, PayPal, email, banca. Se hai cambiato numero e non l'hai aggiornato ovunque, fallo subito. Aggiungi autenticazione a due fattori basata su app (Authenticator, Authy) anziché SMS dove possibile. E sì, quando parli con il tuo operatore di portabilità, insisti per una verifica più solida.