MSISDN o IMSI - Qual è la differenza e perché è importante per l'identità mobile?

I dispositivi mobili sono, per molti di noi, il modo principale di accedere ai servizi online e di effettuare e ricevere pagamenti. Non è quindi una grande sorpresa che il cellulare - e il suo principale identificatore, il numero di telefono cellulare - siano diventati un obiettivo per la criminalità informatica.

‍

Nonostante abbia più di 30 anni, l'umile carta SIM è forse uno dei dispositivi tecnologici più sicuri mai inventati.

‍

È quasi impossibile per un malintenzionato intercettare le comunicazioni criptate tra due carte SIM, quindi si potrebbe pensare che la tecnologia che utilizza il numero di telefono come "secondo fattore" (nota come 2FA) sia altamente sicura.

‍

Ma il problema è che il numero di cellulare che utilizziamo per verificare la nostra identità e il numero di serie che identifica una carta SIM non sono la stessa cosa. E per spiegarne il motivo dobbiamo considerare due numeri diversi: l'MSISDN e l'IMSI.

‍

Entrambi sono fondamentali per identificare e tracciare i dispositivi mobili, ma sono molto diversi.

‍

Che cos'è l'MSISDN?

Abbreviazione di Mobile Station International Subscriber Directory Number, MSISDN è il numero di telefono cellulare che conoscete bene.

‍

È composto da un codice del Paese in cui la SIM è registrata, da un codice di rete che identifica l'operatore di rete e da un numero di abbonato. Il numero dell'abbonato è unico per ogni SIM e identifica un singolo abbonato.

‍

Ma questo numero è solo un'etichetta: una scorciatoia che gli esseri umani possono ricordare e condividere con gli altri, o un codice che, inserito in un qualsiasi telefono, fornisce a una scheda SIM le istruzioni necessarie per connettersi a un'altra scheda SIM.

‍

Che cos'è l'IMSI?

L'International Mobile Subscriber Identity (IMSI) è un altro numero di identificazione unico assegnato a una specifica carta SIM.

‍

A differenza dell'MSISDN, l'IMSI non è direttamente associato a un numero di telefono. È composto da un codice paese mobile (MCC), un codice di rete mobile (MNC) e un numero di identificazione dell'abbonato mobile (MSIN).

‍

MCC e MNC identificano rispettivamente il Paese e l'operatore di rete mobile. Il MSIN identifica il singolo abbonato.

‍

Qual è la differenza tra MSISDN e IMSI e perché è importante?

Sia l'MSISDN che l'IMSI svolgono un ruolo fondamentale per l'identità mobile. Sono utilizzati per vari scopi, come la fatturazione, il roaming e l'identificazione dell'abbonato. L'MSISDN stabilisce la comunicazione tra i dispositivi, mentre l'IMSI è utilizzato per autenticare e autorizzare gli abbonati ad accedere alle reti mobili.

‍

La differenza principale è che l'MSISDN è associato a un numero di telefono. È un'identità pubblica, mentre l'IMSI è un'identità privata.

‍

L'MSISDN è una porta d'accesso all'IMSI e il collegamento tra i due è tutt'altro che sicuro: si interrompe facilmente se un numero di telefono viene riassegnato a una nuova carta SIM.

‍

Se l'IMSI è il lucchetto della SIM, l'MSISDN è la chiave che usiamo per aprirla, e questa chiave è facile da copiare quasi quanto un'e-mail e una password.

‍

Come si realizza la frode dello scambio di SIM?

Le frodi di SIM swap (note anche come SIM splitting, SIMjacking e Port-Out scamming) sono aumentate in modo considerevole, in quanto un numero sempre maggiore di aziende impone di utilizzare il proprio numero di cellulare come parte del 2FA quando si accede a un servizio online, come ad esempio la propria banca.

‍

Si verificano quando un malintenzionato riesce ad acquisire informazioni personali sufficienti su un individuo per convincere la sua società di telefonia mobile a inviargli una nuova carta SIM. A quel punto può inserire la scheda nel telefono e usarla per accedere ai conti della vittima.

‍

Non appena la carta SIM diventa attiva (attivata nel cellulare del malintenzionato), la vostra SIM originale smette di funzionare e, prima che ve ne accorgiate, il malintenzionato mira ad accedere rapidamente al vostro online banking, ai social media, alla posta elettronica e ad altro ancora, e a cambiare la password intercettando il codice PIN inviato via SMS. In questo modo può facilmente rubare la vostra identità e/o il vostro denaro.

‍

Uno studio di Javelin Strategy & Research ha rilevato che le frodi di SIM swap hanno rappresentato 6,7% di tutte le frodi di acquisizione di account (ATO) nel 2019, in aumento rispetto ai 3,8% dell'anno precedente, con un costo mediano di $317 (di tutte le frodi ATO) per le vittime.

‍

I dati dell'FBI rivelano che il crescente impatto finanziario della sostituzione delle SIMcon 1.075 incidenti segnalati nel 2023, con perdite per quasi $50 milioni.

Il problema dei numeri riciclati

Un'altra conseguenza della separazione tra MSISDN e IMSI è ciò che accade quando un numero di cellulare viene riciclato. In ogni Paese sono disponibili solo un numero massimo di numeri di cellulare, quindi c'è sempre una pressione per liberarne altri, dato che gli operatori telefonici possono esaurirli rapidamente.

‍

Ad esempio, gli MNO spesso inviano carte SIM prepagate per attirare clienti sulla loro rete come tattica di marketing, e poiché a ciascuna di queste SIM è assegnato un numero di telefono, anche se non viene attivata, nessun altro può utilizzare quel numero per un certo periodo di tempo.

‍

Ma se non viene utilizzato dopo un certo periodo di tempo, l'operatore di telefonia mobile ricicla l'MSISDN e lo rimette nel pool di numeri disponibili.

‍

Il tempo varia a seconda della rete. In genere ci vogliono da 90 giorni a un anno prima che un numero inutilizzato sia di nuovo disponibile nel Regno Unito, ma in alcuni Paesi può essere questione di settimane o addirittura di giorni. Ciò significa che un nuovo utente può accedere inavvertitamente alle informazioni di accesso di un utente precedente quando cerca di registrarsi per un account, o addirittura ricevere messaggi, chiamate e codici di autenticazione a due fattori destinati all'utente precedente.

‍

Nel migliore dei casi, questo potrebbe semplicemente portare un estraneo confuso a visualizzare accidentalmente il vostro profilo sui social media. Nel peggiore dei casi, potrebbe trattarsi di un individuo malintenzionato che accede deliberatamente ai vostri account online, si appropria del vostro denaro e vi ruba l'identità.

‍

L'MSISDN da solo non è mai sicuro?

La risposta breve è no: tutto ciò che si basa solo sul vostro MSISDN, come un codice SMS o un messaggio vocale, non dovrebbe essere il vostro unico metodo di sicurezza, poiché può essere intercettato in diversi modi.

‍

Tuttavia, i metodi di sicurezza alternativi tendono ad avere i loro problemi. I codici inviati via e-mail possono essere rubati anche tramite attacchi di phishing o social engineering. La biometria sul dispositivo, come l'impronta del pollice, può sembrare più sicura, ma è solo un modo abbreviato di confermare una password memorizzata - si noti che si può sempre scegliere di inserire una password al suo posto, cosa che un malintenzionato sceglierà di fare.

‍

Inoltre, software o hardware esterni, come app di autenticazione e dongle di sicurezza, comportano un impegno per l'utente e costi potenzialmente proibitivi.

‍

Il giusto livello di autenticazione per un'app o un servizio è sempre stato un rompicapo per i team che si occupano di sicurezza, in quanto si tratta di trovare un equilibrio tra il livello di rischio e l'opportunità di aggiungere maggiore complessità all'esperienza dell'utente.

‍

Usare l'IMSI per la sicurezza: ora è possibile

Non è più necessario scendere a compromessi. La chiave per autenticare un utente mobile in modo rapido, sicuro e affidabile è utilizzare il suo numero di cellulare, ma eseguire la verifica utilizzando la carta SIM non clonabile del telefono cellulare.

‍

Le reti mobili lo fanno già ogni secondo: ora le aziende possono sfruttare la stessa tecnologia. Si tratta della forte sicurezza che i telefoni cellulari già utilizzano, oltre che della soluzione più semplice per l'utente.

‍

Sicurezza impareggiabile: I numeri di telefono cellulare sono legati in modo univoco a una singola carta SIM. In ogni momento, l'accoppiata numero di cellulare + carta SIM è assolutamente unica e crittograficamente sicura.

‍

Impedisce lo scambio di SIM: L'autenticazione sia del numero di cellulare che della carta SIM è utile per contrastare le frodi di SIM swap, in quanto garantisce che il numero non sia stato riassegnato di recente.

‍

Risolve numeri riciclati: L'identificazione degli utenti in base alla combinazione di numero di cellulare e carta SIM elimina il rischio che i dati del conto vengano compromessi da un numero riassegnato, garantendo la sicurezza degli utenti.

‍

UX senza soluzione di continuità: Per un utente, la sicurezza è silenziosa e senza sforzo: basta digitare il proprio numero per verificarlo in pochi secondi, senza bisogno di altre azioni.

‍

Informazioni su IDlayr

IDlayr è un pioniere nella verifica dell'identità mobile. La piattaforma IDlayr risolve i grandi problemi di verifica dell'identità, riducendo le frodi, i costi operativi e l'abbandono dei clienti sui dispositivi mobili. Con oltre 2 miliardi di persone già coperte in 27 Paesi e clienti in tutto il mondo, siamo il fornitore di identità mobile più importante al mondo.

‍

Per saperne di più su IDlayr, visitate il nostro sito sito web, o parlare con le vendite per una dimostrazione personalizzata.