Mai rubare l’iPhone alla fidanzata di un hacker. La gang che rivendeva smartphone rubati smantellata grazie a un ricercatore di sicurezza

Un furto di smartphone avvenuto a Barcellona si è trasformato in un’indagine tech che ha portato alla luce — e al collasso parziale — di una complessa rete internazionale che rubava telefoni, li inviava all’estero e poi cercava di “sbloccarli” con truffe mirate per depredare la vita digitale delle vittime. La vicenda è emersa dopo che il ricercatore di sicurezza Martín Vigo ha scoperto SMS e siti fraudolenti collegati al furto del cellulare della sua compagna e ha documentato le tecniche usate dagli autori; la sua analisi si è incrociata con un’operazione congiunta di polizia che ha portato a diversi arresti in Spagna e in paesi latinoamericani.

Come funzionava l’organizzazione (passo-passo)

- Sottrazione: i telefoni venivano rubati (idealmente sbloccati, ma anche bloccati possono essere preziosi) in contesti affollati come concerti.

- Messa fuori rintraccio: i dispositivi spesso vengono isolati (es. avvolti in foglio metallico) per bloccare il segnale GPS e poi accumulati in “depositi” prima di essere spediti all’estero (Marocco, Cina e altre destinazioni citate). Questo evita che gli operatori europei li inseriscano in liste nere basate su IMEI.

- Phishing mirato per sbloccare: gli investigatori hanno ricostruito una campagna massiva di SMS fraudolenti che imitavano avvisi di Apple (o messaggi «Find My») e contenevano link con un identificatore univoco per ogni telefono: il primo clic consentiva ai criminali di capire quale vittima avesse reagito; un secondo SMS rimandava a una copia perfetta del sito iCloud dove veniva chiesto il PIN o le credenziali. Una volta ottenuto il PIN (o le credenziali), si poteva cambiare la password Apple, rimuovere le informazioni biometriche dell’utente e aggiungere le proprie per accedere ad app bancarie o wallet.

Le dimensioni dell’operazione e gli arresti

Secondo le autorità e gli approfondimenti giornalistici, l’operazione — coordinata tra forze di polizia in Spagna e in diversi paesi dell’America Latina — ha comportato decine di perquisizioni e l’arresto di soggetti collegati alla piattaforma di phishing. Europol e media specializzati riferiscono di centinaia di migliaia di vittime coinvolte nelle attività collegate alla piattaforma e di centinaia di dispositivi e altri materiali sequestrati durante i blitz. I numeri citati nella ricostruzione includono centinaia di migliaia di vittime intercettate e una piattaforma che avrebbe utilizzato migliaia di siti fasulli per automatizzare l’inganno.

Dettagli tecnici

- Link con identificatore: la tecnica sfrutta link con ID univoci per correlare il comportamento della vittima al dispositivo rubato e quindi indirizzare l’azione del singolo criminale che detiene quel telefono. Questo è il dettaglio che ha permesso a ricercatori come Vigo di mappare la catena.

- Il PIN come chiave master: il PIN del dispositivo (o i codici di sblocco) sono determinanti perché permettono di reimpostare credenziali o aggiungere nuovi metodi biometrici. Per questo gli attaccanti puntano a sottrarre proprio quei numeri.

- “Sblocco hardware” e cambio IMEI: se non è possibile accedere con credenziali/PIN, molti dispositivi vengono comunque inviati in mercati dove è possibile smontarli, sostituire componenti o manipolare l’IMEI per rimetterli in circolazione — una catena che richiede competenze hardware e un mercato nero già consolidato.

Cosa dicono le autorità e quali numeri circolano

Le comunicazioni ufficiali (e le ricostruzioni giornalistiche) parlano di un’operazione transnazionale che ha portato a decine di arresti in più paesi e al sequestro di centinaia di dispositivi, server e materiale connesso alle attività fraudolente; alcune fonti parlano di centinaia di migliaia di vittime che hanno ricevuto SMS di recupero e di milioni di tentativi di sblocco attraverso migliaia di siti falsi. È importante notare che i numeri (vittime, dispositivi “sbloccati”, siti falsi) vengono forniti da diverse indagini e comunicati e possono variare per ambito e definizione.

Perché certe giurisdizioni facilitano il riciclaggio dei dispositivi

In Europa gli operatori condividono blacklist IMEI che rendono difficile rimettere in funzione un telefono rubato; quando i telefoni vengono spediti in paesi dove non esistono questi meccanismi condivisi, o dove esistono laboratori che possono alterare l’IMEI, il valore sul mercato nero torna ad alzarsi. Questo spiega la scelta delle rotte internazionali dei criminali.

Cosa può fare chi subisce il furto (checklist rapida)

1. Denuncia immediata alla polizia locale: serve anche per eventuali iter assicurativi.
2. Contattare l’operatore mobile e chiedere il blocco/blacklist dell’IMEI e la sospensione della SIM.
3. Cambiare subito la password Apple ID e tutte le credenziali collegate (e disconnettere dispositivi da iCloud se possibile). Apple fornisce informazioni su Activation Lock e su come usare i servizi di iCloud/Find My per mitigare i danni. 
4. Attivare l’autenticazione a due fattori (preferibilmente con app di autenticazione o chiavi hardware, non con SMS quando possibile).
5. Segnalare l’evento alla banca e revocare eventuali carte salvate nel wallet; monitorare movimenti sospetti.
6. Non cliccare mai link ricevuti via SMS che promettono la localizzazione o il recupero del telefono: rivolgersi sempre ai canali ufficiali del produttore o dell’operatore.

Implicazioni per la sicurezza e per le policy

Questa vicenda ribadisce alcuni punti chiave: le misure anti-furto integrate nei dispositivi (Activation Lock, Find My) funzionano ma possono essere aggirate se la vittima fornisce volontariamente credenziali o il PIN; la criminalità si è professionalizzata e ha creato “servizi” (phishing-as-a-service) che scalano l’inganno; e infine che la lotta a questo fenomeno richiede cooperazione transnazionale tra forze dell’ordine, operatori di telefonia e produttori hardware/software. Le operazioni recenti coordinate da Europol e partner mostrano però che la cooperazione può colpire efficacemente queste reti.

Se gestite incident response per utenti o clienti, tenete in conto la catena completa: furto fisico → comunicazione via SMS/telefono → phishing per credenziali/PIN → escalation verso bancarie/servizi. Preparare playbook che includano azioni immediate (revoca sessioni, reset credenziali, comunicazione a fornitori terzi) e checklist legali/forensi è ormai imprescindibile. L’analisi di casi come quello documentato da Martín Vigo è una miniera di indicatori (domini, URL, pattern di SMS, artefatti server) da integrare nei canali di threat-intelligence.

Il “giorno dopo” di un furto di smartphone può essere molto più grave del furto materiale: la porta d’ingresso alla vita digitale apre la strada a frodi, ricatti e furti d’identità. La storia partita dal furto dell’iPhone alla fidanzata di un ricercatore mostra come competenze tecniche, attenzione e collaborazione internazionale possano smantellare pezzi di queste reti; ma è anche un monito: la prevenzione (PIN, 2FA, attenzione ai link) e procedure chiare per rispondere a un furto rimangono la miglior difesa.