Come proteggersi dal riciclo dei numeri di telefono

Perché il riciclo dei numeri è un problema di sicurezza

I numeri di telefono sono una risorsa finita: gli operatori telefonici li riciclano e li assegnano a nuovi clienti. Questo crea un rischio reale quando servizi e account usano il numero per la verifica o per il recupero password. Se dimentichi di dissociare il tuo numero, il nuovo titolare potrebbe ricevere codici di verifica, messaggi sensibili o poter resettare password, con conseguente furto di account o impersonificazione.

Importante: molti attacchi non sono casuali. Criminali e ricercatori malevoli cercano attivamente numeri riciclati incrociandoli con dati violati, blocchi numerici sequenziali o servizi pubblici per identificare bersagli ad alto valore.

Quanto tempo impiega l’operatore a riciclare un numero

La maggior protezione offerta dagli operatori è il periodo di “raffreddamento” (cooling off), durante il quale il numero non viene riassegnato. Tipicamente questo periodo è di 45–90+ giorni a seconda dell’operatore e del paese. Alcuni servizi applicano politiche proprie circa l’inattività: per esempio, WhatsApp elimina un account dopo 120 giorni di inattività. Queste finestre temporali aiutano, ma non coprono tutte le piattaforme.

Nota: le durate variano per operatore, paese e tipo di contratto (prepagato vs. abbonamento). Verifica le condizioni contrattuali del tuo operatore locale.

Quando il riciclo porta a un furto di account

Una volta che un numero viene riassegnato, il nuovo utente può:

• Ricevere SMS di verifica o di recupero password;
• Ricevere notifiche che contengono dati sensibili o informazioni personali;
• Registrare account su servizi che usano il numero come identificatore (es. WhatsApp), potenzialmente impersonando il precedente titolare.

I vettori di attacco più comuni sono il recupero via SMS e la registrazione su app con numero. Per aumentare le probabilità di successo, gli attaccanti analizzano blocchi di numeri, confrontano numeri disponibili con violazioni di dati o raccolgono informazioni da broker di dati.

Come dissociare il numero da tutti gli account

Dissociare il numero dai servizi è il passo più importante. Non esiste una soluzione automatica infallibile: serve un approccio metodico.

Mini-metodologia: ricerca, verifica, azione

1. Ricerca — trova dove hai usato il numero.
2. Verifica — accedi agli account trovati e controlla le impostazioni di recupero e 2FA.
3. Azione — rimuovi il numero, imposta email alternative, abilita passkey o TOTP.

Suggerimenti pratici per trovare gli account:

• Cerca il numero nella tua casella email tra virgolette: “+39 333 1234567” o “3331234567”. Molti servizi inviano email di conferma o notifiche che contengono il numero.

ALT: Interfaccia Gmail con barra di ricerca evidenziata mentre si cerca un numero di telefono.

• Controlla il tuo password manager: spesso contiene le voci di login per servizi che usano il numero.
• Controlla gli accessi social: per Google vai su Pagina account con app connesse; per Facebook visita la pagina App e siti web.

ALT: Schermata dell’elenco delle app connesse a un account Google che mostra servizi autorizzati.

• Controlla gli SMS vecchi: molte registrazioni inviano SMS di conferma che contengono il nome del servizio.
• Interroga servizi bancari e istituzioni finanziarie: spesso l’IBAN o l’email non bastano, e la banca potrebbe richiedere numero per alert.

Checklist rapida per ogni account trovato:

• Rimuovere il numero dalle opzioni di recupero.
• Aggiornare il metodo di autenticazione a email secondaria, TOTP o passkey se possibile.
• Disattivare SMS 2FA e configurare un’app di autenticazione.

Cancellare o trasferire gli account di messaggistica

App come WhatsApp, Signal, Telegram e altre spesso legano l’identità principale al numero. Usa la procedura ufficiale per cambiare numero o eliminare l’account:

• WhatsApp: Impostazioni → Account → Cambia numero oppure Elimina account. Questo trasferisce la cronologia (se desideri) o elimina l’account dai server.
• Signal e Telegram: usano il numero come chiave primaria; segui le opzioni interne per cambiare numero o cancellare il profilo.

ALT: Menu impostazioni account di WhatsApp che mostra le opzioni Cambia numero ed Elimina account.

Seguendo la procedura ufficiale riduci il rischio che i messaggi o i dati rimangano associati al numero dopo la riassegnazione.

Disiscriviti dai messaggi promozionali e rimuovi dati pubblici

I messaggi promozionali possono rivelare informazioni personali. Per ridurre la superficie d’attacco:

• Rispondi con STOP o UNSUBSCRIBE dove indicato.
• Usa il link o l’opzione “Annulla iscrizione” nelle email promozionali.
• Controlla le impostazioni account dei servizi per disattivare comunicazioni commerciali.
• Cerca il tuo numero su siti di data broker e richiedi rimozione dove possibile (vedi sezione Privacy e GDPR).

Avvisa i tuoi contatti importanti

Dopo il cambio numero invia un messaggio personale a familiari, colleghi e partner di lavoro: se qualcuno salva il tuo vecchio numero, potrebbe chiamare o inviare messaggi al nuovo titolare per errore.

Esempio di messaggio da inviare:

Ciao, ti informo che ho cambiato numero: ora sono raggiungibile al +39 3XX XXX XXXX. Ho disattivato il vecchio numero, ignorare eventuali messaggi da quel numero.

Come evitare che il numero venga disattivato

Se non vuoi dissociare il numero, mantienilo attivo:

• Prepagato: ricarica regolarmente e usa il servizio (chiamate, SMS, dati).
• Abbonamento: continua a pagare i canoni.

Molti operatori disattivano numeri per inattività o mancato pagamento. Controlla la policy del tuo operatore e valuta un piano cheap-to-keep se desideri conservare il numero.

Evita il recupero account basato sul numero e l’SMS 2FA

L’attacco più comune è il furto d’account tramite SMS. Alternative più sicure:

• Passkey (autenticazione senza password): si basa su chiavi criptografiche sul dispositivo e non su SMS.
• TOTP (app di autenticazione come Authenticator): genera codici temporanei locali.
• Push 2FA (notifiche push approvate dall’app ufficiale del servizio).

Quando possibile, rimuovi il numero come metodo di recupero e imposta una email secondaria o passkey. SMS è deprecato per le operazioni sensibili: Google stessa lo sta progressivamente limitando.

Playbook rapido prima di disattivare un numero (SOP)

1. Elenca i servizi che usano il numero (email, social, banca, servizi di streaming, account aziendali).
2. Accedi a ciascun servizio e aggiorna il metodo di recupero (email secondaria, passkey/TOTP).
3. Cambia numero negli account di messaggistica oppure elimina gli account.
4. Disiscriviti da newsletter e promozioni che contengono il numero.
5. Avvisa contatti importanti.
6. Conserva il vecchio numero attivo fino a conferma che i servizi sono aggiornati.

Decisione rapida: se non puoi completare i passaggi, mantieni il numero attivo pagandolo fino a quando non hai completato la migrazione.

Checklist per ruolo

Utente privato:

• Cercare il numero nelle email.
• Rimuoverlo dalle impostazioni di recupero.
• Eliminare o trasferire account di messaggistica.
• Avvisare amici e contatti.

Professionista IT / Admin di piccola azienda:

• Inventario dei numeri aziendali e servizi associati.
• Procedura centralizzata per la migrazione dei numeri.
• Disabilitare SMS per 2FA dove possibile e abilitare passkey/TOTP aziendali.

Manager di sicurezza:

• Policy aziendale su gestione numeri e dispositivi.
• Formazione per dipendenti su riconoscimento di numeri riciclati.
• Monitoraggio di account critici per login sospetti dopo riciclo numeri.

Quando le contromisure possono fallire

• Servizi che richiedono obbligatoriamente un numero per esistere (es. alcune app di messaggistica) impediranno la rimozione completa.
• Se hai dato il numero a molte persone o servizi e non hai traccia degli account, il processo di pulizia può richiedere molto tempo.
• Alcuni operatori hanno periodi di recycling molto brevi in certe regioni, aumentando il rischio di riassegnazione rapida.

Privacy e note GDPR per residenti UE

La rimozione dei dati dai data broker può essere soggetta a diverse regole nazionali. In molti casi i cittadini UE possono esercitare il diritto di cancellazione (diritto all’oblio) o rettifica sul trattamento dei dati personali. Consulta le pagine di privacy dei singoli data broker e invia richieste formali di rimozione quando applicabile.

Importante: la GDPR non obbliga gli operatori a conservare un numero per un periodo di tempo indefinito; tutela i tuoi dati richiedendo la rimozione dove possibile.

Fattori chiave e numeri utili

• Periodo tipico di raffreddamento: 45–90+ giorni (variabile per operatore e paese).
• Esempio noto: WhatsApp elimina account dopo 120 giorni di inattività.
• Alternative raccomandate all’SMS: passkey, TOTP, notifiche push.

Esempi di messaggi e query utili

Query per cercare nei messaggi/email (copia/incolla):

• “”””””””””””””””””””””””””” “+39 3” OR “333” OR “tuo-numero” (adatta il prefisso e il formato) “””””””””””””””””””””””””””

Template per avvisare i contatti:

Ciao, ho cambiato numero. Il mio nuovo numero è +39 3XX XXX XXXX. Ignora qualsiasi messaggio dal vecchio numero.

Template per richiesta di rimozione a data broker:

Gentile responsabile del trattamento, chiedo la rimozione del mio numero di telefono [inserisci numero] dai vostri archivi in base al diritto di cancellazione. Grazie.

FAQ

Cosa succede se non dissocio il numero e lo disattivo subito?

Se disattivi subito il numero senza dissociarlo, l’operatore potrebbe riciclarlo e il nuovo titolare potrebbe ricevere codici di verifica o messaggi di recupero. Rischi furto d’account e impersonificazione.

Posso mantenere il numero in modo economico per evitare rischi?

Sì: valuta un piano con costo ridotto, una ricarica periodica o un’opzione che mantenga la linea attiva. Verifica la policy dell’operatore.

L’eliminazione dell’account WhatsApp previene sempre l’accesso al numero da parte di un nuovo utente?

Cancellare o trasferire l’account tramite la procedura ufficiale riduce molto il rischio, ma non può cancellare tutte le copie locali dei messaggi sui dispositivi altrui.

Come verifico che ho trovato tutti gli account legati al mio numero?

Non esiste una garanzia assoluta. Usa la ricerca nella posta, contatta il supporto dei servizi critici (banca, azienda), controlla password manager e notifiche SMS storiche.

Cosa devo fare se sospetto che il nuovo titolare stia tentando di accedere ai miei account?

Cambia le credenziali principali (password/email di recupero), abilita TOTP o passkey, contatta il supporto dei servizi interessati e segnala l’accesso non autorizzato.

Riepilogo

• Dissociare il numero prima di disattivarlo è la misura più efficace.
• Aggiorna metodi di recupero e passa a passkey o TOTP quando possibile.
• Mantieni il numero attivo fino a completare la migrazione dei servizi.
• Avvisa contatti e rimuovi il numero da data broker e comunicazioni promozionali.

Importante: trattando il cambio di numero come un piccolo progetto di sicurezza (censimento, azione, verifica), puoi ridurre drasticamente il rischio che il tuo vecchio numero diventi una porta per attacchi contro i tuoi account.