In India il SIM binding trasforma una misura antifrode in una tassa per tutti

E se la tua app di messaggistica smettesse di funzionare nel momento in cui togli la SIM dal telefono? In India non è un'ipotesi. È il piano, e ora ha una data.

Come riporta The Times of India, l'India ha reso obbligatorio il SIM binding dal 1 gennaio 2027: app come WhatsApp e Telegram non funzioneranno senza una SIM attiva. La regola arriva dal Dipartimento delle Telecomunicazioni (DoT), che ha emanato le prime disposizioni a fine novembre 2025 e da allora ha spostato la scadenza. Secondo BrandEquity dell'Economic Times, la data è slittata al 31 dicembre e un logout basato sul rischio ha sostituito il logout obbligatorio ogni sei ore.

Il bersaglio è reale, ma la mira è sbagliata

Il problema descritto dal DoT è autentico. La direttiva parla di chiudere "una falla di sicurezza concreta che i criminali informatici sfruttano per mettere in atto frodi digitali su larga scala, spesso transfrontaliere", secondo un'analisi di GoTrust. Lo schema: registrare un account con un numero indiano, togliere o disattivare la SIM e continuare a operare dall'estero tramite dispositivi collegati.

Capiamo la logica. Il nostro dubbio è che funzioni. L'Internet and Mobile Association of India, che rappresenta tra gli altri Meta, ha scritto al ministro delle Comunicazioni, come ha riferito The Hindu, che ci sono "prove limitate" del fatto che il SIM binding riduca in modo significativo le frodi. L'argomento è semplice: i centri di frode possono comunque procurarsi SIM indiane tramite reti di prestanome, e i truffatori locali usano documenti falsi o presi in prestito, usano una SIM per poco tempo e poi la gettano.

Quest'ultimo punto è il cuore della questione. Una regola che verifica se è presente una SIM non verifica se la persona che c'è dietro sia onesta. I criminali che già vivono di SIM usa e getta, sospettiamo, superano il test con facilità. A restare chiuso fuori è l'utente onesto con una SIM fuori uso o in viaggio all'estero. A nostro avviso, è uno scambio sbagliato.

Il conto lo pagano gli utenti comuni

Pensa a chi toglie davvero una SIM. Viaggiatori che usano un numero internazionale. Persone con un secondo dispositivo. Titolari di piccole attività che gestiscono le chat con i clienti da un portatile tutto il giorno. La lettera della IAMAI metteva in guardia proprio su questi casi, e sui disagi per le micro, piccole e medie imprese che dipendono dalla messaggistica web per ordini e assistenza.

Il fatto che la direttiva rivista elimini il logout web dopo sei ore è una buona notizia, e suggerisce che l'impostazione originale fosse troppo rozza. Ma "basato sul rischio" è una formula vaga. Chi definisce il rischio, e quali segnali raccoglie l'app per decidere? Temiamo che i controlli continui sulla presenza della SIM e il calcolo del punteggio di rischio avvicinino le app di messaggistica a posti di controllo dell'identità in stile operatore telefonico. A quanto si riferisce, la direttiva designa queste piattaforme come Telecommunication Identifier User Entities, collocandole sotto una vigilanza normalmente riservata agli operatori.

C'è anche una questione giuridica. La IAMAI sostiene che i servizi over-the-top non rientrino nel Telecommunications Act del 2023. Non siamo in grado di dire chi abbia ragione, ma quando è lo stesso settore ad affermare che il regolatore potrebbe non averne il potere, un modello merita di essere esaminato con attenzione prima che qualcuno lo copi.

Il vero tema è il rischio di fare da modello

Ecco la parte che dovrebbe interessare i lettori fuori dall'India. Quando gli account di messaggistica sono legati per legge a un numero di telefono e a una SIM fisica, il numero smette di essere una comodità e diventa un ancoraggio dell'identità. Qualsiasi governo preoccupato per gli abusi anonimi o transfrontalieri potrebbe avere un motivo per chiedere lo stesso. È una previsione, non un fatto, ma è una previsione naturale.

App come Signal, citate tra le piattaforme interessate, hanno costruito la propria reputazione raccogliendo il minimo indispensabile. Obbligarle a verificare la presenza della SIM va controcorrente. La crittografia del contenuto dei messaggi potrebbe restare intatta, ma, a nostro avviso, un sistema che dimostra di continuo che "questo account è legato a questa SIM" potrebbe generare metadati e un potere di pressione che prima non esistevano.

Il nostro verdetto

Contrastare le truffe dell'"arresto digitale" e le frodi dall'estero è urgente. Ma le prove offerte finora suggeriscono che il SIM binding sia uno strumento grossolano, che i truffatori possono aggirare e gli utenti no. Controlli KYC più stringenti, una migliore gestione del ciclo di vita delle SIM e un rilevamento delle frodi che funzioni a prescindere dal dispositivo, cioè le alternative indicate dalla stessa IAMAI, appaiono più promettenti.

Se sei in India, organizzati per tempo: tieni attiva la SIM registrata e nel telefono principale prima del 1 gennaio 2027, e controlla come potrebbero cambiare le tue abitudini con la versione web e i dispositivi secondari. Se sei altrove, tieni gli occhi aperti. La questione non è solo se questa regola funzioni in India. È se diventi la risposta predefinita ovunque.