Addio SMS OTP: perché il codice della banca sta sparendo

Se hai un conto in banca, un account di posta o un profilo su un sito di acquisti, conosci quel messaggio: sei righe di testo con dentro un numero di sei cifre, valido pochi minuti, da ricopiare in una casella prima che scada. Si chiama SMS OTP — dove OTP sta per one-time password, cioè password usa e getta — ed è stato per più di dieci anni il modo più comune di dimostrare a un servizio online di essere davvero noi.

Quel messaggio sta per diventare un ricordo. Non perché qualcuno abbia deciso che era brutto, ma perché l’idea su cui poggiava non tiene più. L’idea era semplice: chi riesce a leggere il codice sul telefono è il proprietario dell’account. Per anni ha funzionato. Poi è diventato troppo facile far arrivare quel codice nelle mani sbagliate — o, più spesso, convincere la persona giusta a digitarlo nel posto sbagliato. Al suo posto non arriva un unico sostituto, ma un modo diverso di ragionare, in cui nessun singolo elemento decide da solo.

Che cosa non funziona più nel codice via SMS

Il punto debole del codice temporaneo non è quasi mai il messaggio in sé. È tutto quello che gli sta intorno. Un numero di telefono può essere sottratto con il SIM swapping: il criminale convince l’operatore telefonico a trasferire il numero della vittima su una scheda in suo possesso, e da quel momento i messaggi arrivano a lui. Ci sono poi le strade più banali: l’account del servizio compromesso, la manipolazione di chi lavora allo sportello, e soprattutto la vittima che il codice lo inserisce da sola, in buona fede, su una pagina falsa.

Quest’ultimo caso è quello che pesa di più, e ha un nome tecnico: adversary in the middle, letteralmente l’avversario in mezzo. Funziona così: la pagina contraffatta raccoglie il codice appena la vittima lo digita e lo gira in tempo reale al sito vero, entrando al posto suo. Il codice è autentico, arriva davvero dalla banca, scade davvero dopo qualche minuto — e non serve a niente, perché il problema non è la sua validità ma il fatto che possa essere letto, copiato e trasferito da una persona.

Su questo terreno l’intelligenza artificiale generativa ha cambiato le proporzioni. Produrre un messaggio credibile un tempo richiedeva tempo e una discreta padronanza della lingua: gli errori di grammatica sono stati per anni il segnale che insegnavamo tutti a riconoscere. Oggi quel segnale non c’è più, e la personalizzazione su misura di ogni singolo destinatario si è fatta economica. Il risultato lo misura un dato di Microsoft citato dalle fonti: le campagne di phishing costruite con l’aiuto dell’AI sono arrivate a far cliccare fino al 54% dei destinatari; la percentuale si ferma intorno al 12% quando la stessa campagna è confezionata con i metodi di prima. Vale la pena fermarsi sul rapporto tra i due numeri, perché è quello che racconta la storia: una campagna su misura fa cliccare oltre quattro volte più persone di una campagna generica. Se ti interessa capire come funzionano nel dettaglio queste trappole, ne abbiamo parlato in modo esteso nella nostra spiegazione di che cos’è il phishing.

Il senso di quel salto è che la difesa basata sull’attenzione della persona ha smesso di essere sufficiente. Finché il sistema chiede a un essere umano di leggere qualcosa e riscriverlo altrove, esiste un momento in cui quell’essere umano può essere ingannato. La direzione presa dal settore è togliere quel momento, non renderlo più sorvegliato.

Le passkey: la chiave che resta nel telefono

La tecnologia indicata come erede principale si chiama passkey. Il nome dice poco, il funzionamento un po’ di più. Quando registri una passkey su un sito, il tuo dispositivo genera due chiavi digitali accoppiate: una pubblica, che viene consegnata al servizio, e una privata, che resta sul telefono o sul computer e da lì non esce mai. Il servizio, con la chiave pubblica, può verificare le risposte prodotte dalla chiave privata, ma non può ricostruirla — è il principio della crittografia a chiave pubblica, ed è lo stesso che protegge da anni le connessioni ai siti web.

Il riconoscimento del volto o dell’impronta digitale, in tutto questo, non è la password. È solo la serratura che sblocca la chiave privata sul dispositivo: la biometria resta lì, non viaggia verso il servizio. Al momento dell’accesso non viene trasmesso nessun codice che qualcuno possa leggere, intercettare o farsi consegnare.

Da qui derivano due conseguenze che riguardano da vicino chi legge. La prima: una passkey è legata al dominio per cui è stata creata. Una pagina che imita alla perfezione il sito della banca non ottiene una risposta valida, perché l’indirizzo non corrisponde a quello registrato — e questo vale anche se la copia è indistinguibile a occhio nudo. È il motivo per cui le passkey vengono descritte come resistenti al phishing: non chiedono alla persona di riconoscere il falso, chiedono al dispositivo, che sull’indirizzo non si distrae. La seconda: ogni credenziale è unica per il singolo sito, quindi sparisce il problema della stessa password riutilizzata su dieci servizi diversi, che è all’origine di una lunga serie di violazioni.

Non è più una tecnologia da laboratorio. Secondo i dati della FIDO Alliance, l’organizzazione che ne cura gli standard, il conteggio mondiale a maggio 2026 sfiorava i 5 miliardi di credenziali di questo tipo già attive, e oltre il 75% degli utenti ne aveva almeno una. Microsoft non è sola: sulla stessa strada si sono messe Uber e Yahoo, il servizio di firma digitale DocuSign e, sul fronte dei pagamenti, eBay insieme a PayPal.

Microsoft ha messo una data sul calendario

L’annuncio che ha dato il colpo più visibile riguarda Entra ID, la piattaforma con cui Microsoft gestisce gli accessi aziendali: sotto Entra ID passano Azure, Dynamics 365 e la suite Microsoft 365. Le date sono due e sono precise. Dal 1° settembre 2026 chi accede ancora con un codice via messaggio si vede proporre la registrazione di una passkey, e l’attivazione parte in automatico. Dal 1° febbraio 2027 Microsoft smette del tutto di recapitare SMS e chiamate vocali per l’autenticazione.

C’è un dettaglio che nelle fonti emerge solo leggendo le domande frequenti pubblicate dall’azienda: tra quelle due date le organizzazioni possono chiedere di restare fuori dall’attivazione automatica, con una procedura che non compare tra i comandi dell’interfaccia di amministrazione. È una deroga sui tempi, non sulla sostanza: la scadenza di febbraio 2027 resta dov’è. Abbiamo ricostruito il calendario completo e il funzionamento di questa uscita temporanea nell’approfondimento su come Microsoft chiude gli SMS su Entra ID.

Una precisazione utile per chi legge da casa: qui si parla di account aziendali, quelli che l’azienda o l’ente assegna ai dipendenti. Non è il tuo account personale della banca. Ma il calendario di una piattaforma di queste dimensioni conta comunque, perché indica a tutto il resto del mercato in quale direzione si sta andando e con quali tempi.

Quello che le passkey non vedono

Nessun metodo è invulnerabile, ed è una regola generale della sicurezza informatica prima ancora che un’osservazione su questa tecnologia. Anche le passkey hanno mostrato dei fianchi scoperti: le fonti citano casi recenti in cui vulnerabilità presenti in Chrome e in Windows sono state sfruttate per aggirare alcune delle protezioni legate alle credenziali sincronizzate — quelle che il dispositivo salva in un gestore come iCloud Keychain o Google Password Manager, così da ritrovarle su tutti i propri apparecchi.

C’è però un limite più strutturale, e non è un difetto: è una questione di competenza. Una passkey risponde bene a una domanda sola, cioè se il dispositivo che sta chiedendo di entrare possiede la credenziale registrata in precedenza per quel servizio. Non sa dire nulla su tutto il resto. Non sa se la SIM dentro quel telefono è stata cambiata ieri, non conosce il contesto della connessione, non ha idea se l’operazione in corso somigli o meno alle abitudini di quella persona.

Ed è qui che rientra in gioco, in una veste inattesa, proprio il mondo delle telecomunicazioni che sembrava destinato a perdere terreno con la fine degli SMS.

La rete mobile come sensore, non più come postino

Gli operatori telefonici stanno costruendo le cosiddette Network API: interfacce che permettono a una banca o a un’applicazione di rivolgere una domanda direttamente alla rete mobile. Per esempio, se quel numero di telefono corrisponda davvero alla SIM presente nel dispositivo che sta effettuando l’accesso, oppure se la scheda sia stata sostituita di recente — che è, come si è visto sopra, uno dei segnali tipici di una frode da SIM swapping.

La differenza rispetto al messaggio di prima è più profonda di quanto sembri. Il codice via SMS chiedeva alla persona di fare qualcosa: aspettare, leggere, ricopiare. La verifica tramite queste interfacce avviene in sottofondo, mentre l’accesso procede, senza che nessuno debba digitare niente. La rete smette di fare il postino che consegna il numero e diventa una fonte di indizi su chi sta bussando alla porta.

Secondo Tim Green, che segue il programma dedicato ad API e autenticazione al Mobile Ecosystem Forum, passkey e interfacce di rete non si contendono lo stesso posto: rispondono a domande diverse e lavorano su piani diversi del controllo. Abbiamo dedicato un pezzo a parte a che cosa sa la rete mobile su chi accede e ai limiti di questa verifica, perché neanche questa è infallibile.

Non un successore, ma una fiducia distribuita

Il quadro che emerge dalle fonti è che la ricerca del sostituto unico degli SMS OTP sia una domanda mal posta. Quello che sta cambiando non è quale strumento certifica l’identità, ma quanti ne servono contemporaneamente e come si combinano tra loro.

Nel modello vecchio la fiducia stava tutta in un punto: il codice arrivato al numero giusto. Nel modello che si sta formando, viene ripartita su più elementi che si controllano a vicenda. La passkey attesta che quel dispositivo ha la credenziale registrata per quel servizio. La rete mobile aggiunge quello che sa sulla SIM e sul numero. I sistemi antifrode osservano il comportamento della sessione, la posizione, il tipo di operazione. Chi volesse entrare abusivamente dovrebbe superarli tutti, e sono cose diverse tra loro: non si aggirano con lo stesso trucco.

C’è anche una conseguenza che si nota poco e che invece è quella che il lettore comune sperimenterà per prima. Il livello di controllo diventa variabile: un accesso ordinario, dallo stesso telefono di sempre, può passare quasi senza attriti, mentre un’operazione insolita o particolarmente delicata fa scattare verifiche aggiuntive. È il contrario di quello che ci si aspetterebbe da un aumento della sicurezza: nella maggior parte dei casi le richieste all’utente diminuiscono invece di crescere.

Resta un nodo, che riguarda soprattutto le aziende che devono organizzare il passaggio. Microsoft, nelle sue indicazioni, raccomanda di predisporre per ogni utente almeno due metodi di accesso utilizzabili. La ragione è pratica: una credenziale legata al possesso fisico di un dispositivo funziona benissimo finché quel dispositivo c’è. Quando si rompe, viene rubato o sostituito, il problema non sparisce — si sposta soltanto, dalla sicurezza al banco dell’assistenza.

Il codice a sei cifre, insomma, non sta scomparendo perché ne è stato inventato uno migliore. Sta scomparendo perché la domanda a cui rispondeva — sei tu? — ha smesso di poter avere una risposta sola.