de Călin Perpelea,
Consultant IT pentru procese financiare,
Membru al echipei PNEFR
E o dimineață obișnuită. Te trezești, întinzi mâna după telefon, vrei să verifici câteva mesaje. În locul ecranului familiar de notificări, vezi două cuvinte: „No Service”. Sau, în română, „Fără semnal”.
Crezi că e o problemă de rețea. Pornești și oprești telefonul. Nimic. Verifici dacă ai semnal Wi-Fi, da, ai. Doar partea de telefonie e moartă.
Te conectezi la aplicația băncii pe Wi-Fi. „Cont blocat din motive de securitate.” Verifici emailul. Câteva minute mai târziu, vezi notificările: cineva tocmai a făcut transferuri din contul tău, către IBAN-uri pe care nu le recunoști.
Nu cineva ți-a furat telefonul. Cineva ți-a furat numărul de telefon. Și odată cu el, tot ce era legat de el, adică, în 2026, practic toată viața ta digitală.
Asta se cheamă SIM swap. Și e una dintre cele mai eficiente fraude financiare ale momentului.
Cifrele oficiale care arată dimensiunea reală a fenomenului
Statisticile sunt mai grave decât crede majoritatea oamenilor pentru că fenomenul a explodat în 2024-2025, iar raportarea publică nu a ținut pasul.
Centrul de Reclamații pentru Infracțiuni Cibernetice al FBI (IC3) a documentat creșterea sistematică pe parcursul mai multor ani: 320 de cazuri raportate și 12 milioane de dolari pierderi între 2018-2020, urcând la 1.611 cazuri și peste 68 de milioane de dolari pierderi într-un singur an, 2021. În 2022, pierderile au ajuns la peste 72 de milioane de dolari. Statisticile FBI pentru anii următori arată o aparentă stabilizare, dar analiștii explică acest lucru prin faptul că majoritatea victimelor raportează categoria finală a fraudei (furt din cont bancar, fraudă cu criptomonede) și nu mecanismul prin care a fost compromisă identitatea mecanism care, în multe cazuri, e tocmai SIM swap-ul.
În Marea Britanie, organizația națională de prevenire a fraudei Cifas a documentat un salt spectaculos: o creștere de 1.055% a cazurilor de SIM swap în 2024 față de 2023, ajungând la aproape 3.000 de incidente oficiale într-un singur an. În Australia, IDCARE a raportat o creștere de 240% în 2024, cu o observație remarcabilă: în 90% din cazuri, victima nu a avut nicio interacțiune cu atacatorul înainte de furt.
Cifrele pentru România sunt centralizate sub categoria generală „fraude online” raportate către DNSC. Buletinul DNSC pentru prima jumătate a anului 2025 confirmă o tendință globală relevantă pentru contextul SIM swap: 79% din intruziuni se realizează acum manual, fără software malițios adică tocmai prin compromiterea identității, nu prin atacuri tehnice asupra sistemelor.
„Bine, dar la mine asta nu se poate întâmpla. Operatorul nu îmi dă SIM-ul cuiva oarecare.”
Aceasta e iluzia care face fraudă să prospere. Operatorii de telefonie au, în teorie, proceduri stricte de verificare a identității înainte să emită un SIM nou. În practică, aceste proceduri se sparg constant, în trei moduri diferite.
Prima cale: ingineria socială. Atacatorul sună call-centerul operatorului tău, spune că „a pierdut telefonul” sau că „SIM-ul s-a stricat”, și începe să răspundă la întrebările de verificare ale operatorului. Acele întrebări: numele complet, data nașterii, CNP, adresa, ultimele numere apelate, ultimele facturi plătite, par confidențiale, dar nu sunt. Sunt informații pe care un atacator profesionist le-a achiziționat în prealabil dintr-o bază de date scursă pe dark web. Cu suficiente informații în mână, atacatorul trece de verificare. Operatorul emite un SIM nou, pe adresa pe care o spune el. În câteva ore, numărul tău e pe SIM-ul lui.
A doua cale: insider la operator. Pe forumuri de criminalitate cibernetică monitorizate de specialiști în securitate, apar regulat anunțuri specifice de recrutare a angajaților din interiorul companiilor de telecomunicații. Plățile oferite pot ajunge la mii de euro per swap reușit. Un singur angajat cu acces la sistemele de provisioning ale operatorului poate efectua transferul în câteva minute, fără verificări suplimentare. În 2024, o astfel de rețea a fost destructurată în Statele Unite, atacatorii plătind angajații unuia dintre marii operatori americani cu câteva sute de dolari pentru fiecare SIM transferat ilegal.
A treia cale: documente falsificate la un magazin fizic. Atacatorul se prezintă în magazin cu un buletin contrafăcut sau cu o împuternicire falsă „de la titular”. Calitatea documentelor false vândute pe piețele subterane a crescut dramatic în ultimii ani, în mare parte datorită inteligenței artificiale.
Concluzia onestă: atacatorul nu are nevoie să fie genial. Are nevoie doar de informații despre tine pe care le poate cumpăra cu câteva zeci de dolari pe piețele subterane și de o încercare la unul dintre cei trei vectori.
Cum funcționează lucrurile
Imediat ce SIM-ul tău e activat pe cartela atacatorului, începe un cronometru.
În primele minutele, atacatorul deschide aplicațiile online ale băncilor mari și apasă „Am uitat parola”. Sistemul îi trimite un cod SMS, la noul SIM, adică la el. Resetează parola. Intră în cont. Repetă pentru a doua bancă, pentru a treia. La cele mai multe instituții, autentificarea în doi pași (2FA) se face prin SMS, exact ce el primește acum.
Apoi, atacatorul inițiază transferuri. Sumele se aleg să fie sub pragul automat de raportare. Băncile cer confirmare prin SMS, el o primește, o aprobă, transferul pleacă. Pentru tranzacțiile mai mari, există adesea o ușoară întârziere de procesare; atacatorul folosește această fereastră pentru a deschide alte conturi.
Ulterior, atacatorul atacă emailul principal. Pe Gmail, Yahoo, Outlook, „resetarea parolei” se face tot prin SMS la numărul asociat. De acolo, are acces la tot, istoricul de email, datele de identitate, contractele, fotografiile, totul. Și, mai important, de aici poate compromite și mai multe conturi: PayPal, Revolut, eToro, portofele de criptomonede, conturi de magazine online cu date de card salvate, conturi de social media.
În minutele 30-45, victima realizează că ceva e în neregulă. Sună la operator de pe un alt telefon. Operatorul are nevoie de timp pentru a verifica și a bloca. Sună la bancă. Banca are nevoie de timp pentru a confirma și a opri tranzacțiile, multe dintre ele deja finalizate. Cei mai rapizi atacatori reușesc să transforme în cash sau în criptomonede sume semnificative înainte ca cineva să poată interveni.
Materialele de specialitate de securitate cibernetică descriu acest mecanism cu un termen tehnic precis: „single point of failure”, punct unic de eșec. Sub designul actual al ecosistemului digital, numărul tău de telefon a devenit cheia universală a vieții tale online. Iar tehnologia care îl găzduiește, cartela SIM, a fost proiectată la începutul anilor ’90, când nimeni nu se gândea că va deveni cardul de identitate digitală al omenirii.
Ce poți face concret
Vestea bună: spre deosebire de multe alte fraude moderne, SIM swap-ul are soluții tehnice concrete și accesibile. Două măsuri concrete fac diferența majoră.
Primul lucru și cel mai eficient: înlocuiește SMS-ul cu o aplicație de autentificare.
Aceasta e măsura care, în practică, reduce dramatic impactul unui SIM swap asupra conturilor tale. Dacă banca, emailul și restul serviciilor tale digitale folosesc SMS pentru autentificarea în doi pași, ele depind 100% de SIM-ul tău. Înlocuiește SMS-ul cu o aplicație de autentificare și legătura cu SIM-ul dispare.
Aplicațiile recomandate sunt gratuite și disponibile pentru orice telefon. Cele mai folosite sunt Google Authenticator, Microsoft Authenticator și Authy. Toate funcționează după același principiu: generează un cod numeric care se schimbă la fiecare 30 de secunde, calculat matematic pe dispozitivul tău, fără să mai depindă de rețeaua de telefonie. Codul există doar pe telefonul tău fizic, nu pe SIM, nu pe numărul de telefon.
Activarea durează aproximativ 5 minute pe fiecare cont important. Intri în setările contului (banca, emailul, magazinele cu cardul salvat, conturile cu criptomonede), cauți secțiunea „autentificare în doi pași” sau „2FA”, și schimbi metoda din „SMS” în „aplicație de autentificare”. Scanezi un cod QR, gata. Din acel moment, chiar dacă cineva îți preia numărul de telefon, nu mai poate intra în conturile tale, pentru că codul nu mai călătorește prin rețeaua de telefonie.
Pentru utilizatorii mai avansați, există nivelul următor: chei fizice de securitate (standard FIDO2/passkeys) dispozitive de tip USB sau NFC, ca YubiKey, care înlocuiesc complet parola și 2FA-ul. Costă între 25 și 50 de euro, durează ani de zile, și sunt, în acest moment, unul dintre cele mai puternice mecanisme de protecție disponibile pentru utilizatorul individual.
Al doilea lucru – verifică ce protecții suplimentare oferă operatorul tău de telefonie.
Mai mulți operatori europeni, inclusiv unii din România, oferă în 2025-2026 o opțiune suplimentară de protecție: un cod PIN dedicat exclusiv operațiunilor de transfer SIM, port-out de număr sau schimbare de cartelă. Cu acest cod activat, orice cerere de înlocuire a SIM-ului tău necesită cunoașterea PIN-ului suplimentar, fără el, operațiunea nu se efectuează, indiferent ce documente sau ce date personale prezintă persoana care încearcă.
Cum verifici: contactează direct serviciul clienți al operatorului tău sau verifică în aplicația de cont disponibilitatea acestei opțiuni. În cazul în care e oferită, durează câteva minute să o activezi. PIN-ul îl stabilești tu și îl ții într-un loc separat de telefon de preferat memorat sau scris într-un seif. Costul: zero.
Combinate, cele două măsuri, aplicație de autentificare în locul SMS-ului + verificarea protecțiilor suplimentare oferite de operator, reduc dramatic riscul efectiv de SIM swap. Timpul de implementare: o seară.
Ce se schimbă la nivel european și global
Reglementarea a început să recupereze decalajul față de fenomen. În Statele Unite, Federal Communications Commission (FCC) a adoptat reguli stricte care impun operatorilor de telefonie verificări suplimentare la transferul SIM-urilor și care fac răspunderea operatorilor pentru pagubele cauzate de SIM swap mult mai clară juridic.
În Uniunea Europeană, Regulamentul privind Reziliența Cibernetică (CRA — UE 2024/2847) impune obligații suplimentare producătorilor de dispozitive digitale și furnizorilor de servicii electronice de comunicații, inclusiv pentru securizarea autentificării. Autoritățile europene de reglementare în telecomunicații impun standarde de verificare a identității înainte de orice transfer de SIM.
În paralel, eSIM, cartela SIM digitală, încorporată direct în telefon, fără cartelă fizică devine standard pe telefoanele noi începând cu 2024. eSIM-ul nu poate fi „înlocuit fizic” prin documente false la un magazin, ceea ce elimină structural una dintre cele trei căi principale de atac descrise mai sus. Tranziția spre eSIM va dura câțiva ani, dar reduce structural unul dintre cele mai importante riscuri actuale.
Educația financiară inseamna și să înțelegi că, în 2026, cel mai vulnerabil punct al vieții tale financiare nu mai e cardul tău bancar, care poate fi blocat în 30 de secunde. Nu mai e nici parola, care poate fi schimbată. E numărul tău de telefon pe care nu-l poți „schimba” peste noapte și de care depind, în acest moment, accesul la bancă, la email, la documente, la criptomonede, la magazine, la conturi de social media folosite pentru identitate.
Asta e ironia istoriei: un cip mic, proiectat acum mai bine de trei decenii pentru a identifica utilizatorul unui apel vocal, a devenit, fără un design specific pentru această sarcină, cheia universală a întregului tău patrimoniu digital. Iar atacatorii au înțeles asta mai devreme decât majoritatea utilizatorilor.
Vestea bună e că soluțiile există, sunt gratuite, sunt accesibile și nu cer cunoștințe tehnice. Tot ce cer e o seară de configurare și înțelegerea că singura măsură care nu funcționează e să presupui că „mie nu mi se va întâmpla”.
Data viitoare când vezi „No Service” pe ecranul telefonului, înainte să dai vina pe operator sau pe rețea, întrebarea utilă ar fii daca poate fii un SIM swap.
