SIM swap e furto di criptovalute: reati e difesa

Chi ruba criptovalute con un SIM swap risponde anzitutto di frode informatica aggravata dal furto o dall'indebito utilizzo dell'identità digitale (art. 640-ter, comma 3, c.p.): reclusione da 2 a 6 anni e multa da 600 a 3.000 euro, con procedibilità d'ufficio. Possono concorrere l'accesso abusivo agli account (art. 615-ter c.p.) e la sostituzione di persona (art. 494 c.p.).

Che cos'è il SIM swap e come viene usato per rubare criptovalute?

Banca d'Italia definisce il SIM swap come «un particolare furto di identità del cliente» finalizzato a operare con le sue credenziali. Lo schema tipico ha quattro fasi: raccolta dei dati personali della vittima (phishing, data breach, social network); richiesta all'operatore o a un rivenditore di una SIM sostitutiva, spesso con documenti contraffatti o con la complicità di un addetto; ricezione dei codici inviati via SMS per il recupero delle password e l'autenticazione a due fattori; accesso agli account e trasferimento dei fondi.

Con le cripto-attività il danno è immediato: una volta entrato nell'account dell'exchange o nella casella di posta che custodisce le chiavi di backup, l'autore trasferisce i fondi verso indirizzi propri e li sposta rapidamente tra più wallet. Il primo segnale per la vittima è la perdita improvvisa di campo sul telefono, spesso di notte o nel fine settimana. Per il quadro delle altre condotte illecite con le cripto si rinvia alla sezione crypto e reati informatici.

Quali reati commette chi ruba criptovalute tramite SIM swap?

Il SIM swap è una sequenza di condotte, ciascuna con una propria rilevanza penale.

Il comma 3 è la qualificazione centrale: il SIM swap serve proprio a impossessarsi dell'identità digitale della vittima (numero di telefono, credenziali, codici OTP). Poiché si procede d'ufficio, la remissione della querela o un accordo risarcitorio non chiudono il procedimento. La struttura della norma è illustrata nella pagina sulla frode informatica dell'art. 640-ter.

L'operatore telefonico è responsabile se un truffatore ottiene un duplicato della SIM?

Non sul piano penale, salvo il coinvolgimento consapevole di singoli addetti. La questione riguarda la responsabilità civile e regolamentare. La delibera AGCOM 86/21/CIR, pubblicata il 27 luglio 2021 e operativa dal 15 novembre 2022, impone per il cambio SIM e la portabilità:

• l'identificazione del cliente con documento d'identità e codice fiscale;
• la validazione della richiesta tramite SMS o chiamata vocale registrata con richiesta di conferma;
• l'informazione al cliente in ogni fase della procedura;
• una modalità semplice per interrompere la procedura se il cliente la disconosce.

Se l'operatore o il rivenditore non ha rispettato questi passaggi, la vittima può far valere l'inadempimento in sede civile, oltre a segnalare il caso ad AGCOM e, per il trattamento dei dati, al Garante privacy. La prova del nesso tra la violazione e la perdita delle cripto è il punto su cui si concentrano le contestazioni: l'operatore sostiene di regola che la sottrazione è stata resa possibile anche da credenziali già compromesse.

Un addetto di un negozio di telefonia che attiva SIM con documenti falsi rischia un'accusa penale?

Sì, se ha agito consapevolmente. L'addetto che accetta un documento palesemente contraffatto dietro compenso, o che attiva duplicati su richiesta di terzi senza la presenza del titolare, può rispondere in concorso (art. 110 c.p.) nella frode informatica aggravata e nella sostituzione di persona. Se invece è stato a sua volta ingannato da un documento ben falsificato, manca il dolo: la sua posizione riguarda al più il rispetto delle procedure aziendali.

Il profilo privacy è autonomo. Con il provvedimento del 22 febbraio 2024 il Garante per la protezione dei dati personali ha sanzionato con 150.000 euro una società che gestiva due punti vendita di un operatore per l'attivazione illecita di 931 SIM con dati di clienti ignari. La difesa dell'addetto indagato lavora su registri di attivazione, procedure seguite, eventuali pressioni commerciali e flussi di denaro: la presenza di compensi non spiegati è l'indizio che l'accusa valorizza di più.

Cosa fare subito dopo aver perso criptovalute per un SIM swap?

La rapidità conta perché i fondi vengono spostati in poche ore. Banca d'Italia raccomanda di contattare subito l'operatore per bloccare la sostituzione e la banca per bloccare il conto.

Per le cripto-attività custodite da un exchange, la tutela dipende dal contratto e dalle regole MiCAR sulla custodia; le cripto in un wallet non custodito non hanno un intermediario a cui chiedere il rimborso.

Si possono recuperare le criptovalute rubate con un SIM swap?

A volte, in parte. Il recupero è possibile quando i fondi raggiungono un exchange che identifica i clienti o quando sono convertiti in stablecoin il cui emittente può congelarle: in questi casi la Procura può disporre un sequestro, secondo le regole descritte nella pagina sul sequestro e la confisca di criptovalute. Dopo la condanna, i beni confiscati o sequestrati possono essere restituiti alla persona offesa, che può anche costituirsi parte civile per il risarcimento.

Quando i fondi finiscono in mixer o in wallet non custoditi il recupero diventa difficile. In questa fase le vittime sono spesso contattate da sedicenti società di recupero che chiedono un anticipo: si tratta di una seconda truffa, descritta nella pagina sulla recovery scam dei falsi recuperatori.

Chi è accusato di SIM swap può essere processato in Italia se le vittime sono all'estero?

Sì, se ha agito dall'Italia. L'art. 6 c.p. considera il reato commesso nel territorio dello Stato quando l'azione o l'omissione vi è avvenuta «in tutto o in parte», oppure vi si è verificato l'evento. Chi dall'Italia richiede i duplicati, accede agli account o riceve i fondi su wallet gestiti in Italia può essere processato qui anche se le vittime risiedono altrove.

Se il cittadino italiano ha agito interamente all'estero, si applica l'art. 9 c.p.: per i delitti con reclusione non inferiore nel minimo a 3 anni si procede se si trova in Italia; per quelli con pena minima inferiore, come la frode informatica del comma 3 (minimo 2 anni), serve la richiesta del Ministro della giustizia oppure l'istanza o la querela della persona offesa. Lo Stato delle vittime può anche chiedere la consegna. I criteri sono approfonditi nella pagina sul reato commesso all'estero e processo in Italia.