Quando apri l’app della banca, il telefono che hai in mano non è soltanto lo schermo su cui compare la richiesta di accesso. È anche un apparecchio agganciato a una rete mobile, che di quell’apparecchio sa alcune cose: quale scheda SIM ha dentro, a quale numero corrisponde quella scheda, e da quanto tempo la combinazione tra le due è quella. Sono informazioni che l’operatore telefonico ha sempre avuto, per il semplice fatto di far funzionare la rete. La novità è che ora comincia a venderle come servizio di sicurezza.
Si chiamano Network API, e sono la ragione per cui le compagnie telefoniche non escono di scena insieme al codice via messaggio. Il termine è tecnico ma il concetto non lo è: un’API è una porta d’ingresso che un sistema informatico apre agli altri, con delle regole precise su cosa si può chiedere e cosa arriva in risposta. Qui la porta la aprono gli operatori mobili, e chi bussa è la banca o l’app di pagamento. Abbiamo raccontato il quadro d’insieme nel pezzo su perché il codice della banca sta sparendo: questo scende di un piano, dentro la parte che riguarda la rete.
Che domanda si fa alla rete, esattamente
Le richieste che queste interfacce accettano sono poche e molto specifiche. Le due citate dalle fonti riguardano lo stesso oggetto: la scheda dentro il telefono. Una chiede se un certo numero di telefono sia effettivamente associato alla SIM presente sul dispositivo che sta tentando l’accesso. L’altra chiede se quella scheda sia stata sostituita di recente.
Vale la pena notare che cosa non viene chiesto. La rete non riceve il nome dell’account, non sa a quale servizio la persona stia accedendo, non entra nel merito dell’operazione. Tim Green lavora al Mobile Ecosystem Forum, l’organizzazione di settore che segue questi standard. La sua osservazione è che l’operatore risponda su tutt’altro terreno rispetto alla credenziale registrata sull’app. La rete non conosce necessariamente l’account a cui si sta accedendo, ma può dire qualcosa sul contesto della connessione e sull’affidabilità di quel numero.
È una divisione dei compiti abbastanza netta. La credenziale crittografica salvata sul dispositivo — la passkey, cioè la chiave digitale che sostituisce la password — certifica il rapporto tra la persona e quella specifica applicazione. L’operatore certifica il rapporto tra un numero e una scheda. Il secondo è un dato che nessuna app, per quanto ben fatta, può ricavare da sola: sta nell’infrastruttura, non nel telefono.
Da un controllo unico a un controllo permanente
Il cambiamento più sostanziale non riguarda però quali informazioni si possano ottenere, ma quando. Il messaggio con il codice era un evento isolato: succedeva al momento del login, chiedeva un gesto alla persona, e finiva lì. Una volta entrati, il sistema smetteva di guardare.
Un’interrogazione alla rete costa invece all’utente esattamente zero gesti, perché avviene in sottofondo. E siccome non costa niente, non c’è ragione di farla una volta sola. Le fonti descrivono proprio questo: per banche, piattaforme di pagamento e marketplace particolarmente esposti alle frodi si apre la strada a modelli in cui la verifica non è più un singolo momento ma un processo che continua, alimentato via via da segnali diversi. Green arriva a definire queste interfacce un sensore antifrode permanente.
Il risultato pratico è che il momento più delicato si sposta. Non è più solo l’accesso, è anche il bonifico fatto mezz’ora dopo, o il cambio di numero di telefono richiesto dall’interno dell’app. Un’operazione ordinaria può passare senza ulteriori richieste; una che stona con i segnali disponibili può farne scattare altre. La sicurezza smette di essere una porta e diventa una condizione che viene riverificata.
Perché agli operatori questa cosa interessa parecchio
C’è un motivo economico dietro l’entusiasmo del settore, e le fonti non lo nascondono. Per anni l’SMS con il codice è stato uno dei prodotti più venduti dai fornitori di Communications Platform as a Service — le aziende che rivendono alle imprese la possibilità di mandare messaggi ai clienti attraverso le reti telefoniche. Ogni codice recapitato era un messaggio fatturato. Se quel meccanismo esce di scena, una fetta consistente di quel traffico esce con lui.
Le Network API sono la risposta a quel problema, e sono una risposta che sposta gli operatori più in alto nella catena del valore: l’espressione indica quanto è pregiata la posizione che occupi in una filiera. Trasportare un codice è un lavoro da corriere, pagato a consegna e facilmente sostituibile. Fornire un segnale che serve a decidere se autorizzare un pagamento è un lavoro molto meno intercambiabile, perché quel dato ce l’ha solo chi gestisce la rete. Le fonti lo dicono senza giri di parole: il declino degli SMS non equivale necessariamente a una perdita di rilevanza per le telco nel mercato dell’autenticazione, e potrebbe valere il contrario — una rete meno visibile al cliente finale ma più profondamente incastrata nell’infrastruttura di sicurezza di banche, fintech e grandi piattaforme.
La condizione, però, è tutt’altro che scontata. Perché una banca possa usarle davvero, queste interfacce devono funzionare allo stesso modo con tutti gli operatori e in tutti i paesi: sarebbe impraticabile integrare una procedura diversa per ogni compagnia telefonica. È il nodo della standardizzazione, e le fonti lo indicano come il vero banco di prova del settore: trasformare dati di rete disponibili in servizi uniformi, interoperabili e semplici da integrare per chi sviluppa applicazioni. Finché quel lavoro non è compiuto, il vantaggio resta sulla carta.
Il limite: un telefono acceso lì vicino
Neanche questa verifica è infallibile, e conviene dirlo con precisione perché il punto è controintuitivo. Il Mobile Ecosystem Forum cita un’analisi secondo cui alcuni di questi controlli, in circostanze particolari, sarebbero teoricamente aggirabili: basterebbe che l’attaccante si trovasse a poca distanza dal telefono della vittima, con l’apparecchio acceso.
La ragione sta nella natura stessa del segnale. La rete verifica una scheda e un apparecchio, non una persona: se scheda e apparecchio sono quelli giusti e sono raggiungibili, la risposta che l’operatore restituisce è affermativa a prescindere da chi in quel momento stia usando il servizio. È l’esatto rovescio del punto di forza delle credenziali crittografiche, che invece richiedono di sbloccare fisicamente il dispositivo. Le fonti precisano che si tratta di circostanze particolari e non di una falla generalizzata, ma la conseguenza sul piano logico è quella che conta: nessuno dei due strumenti regge da solo, ed è la ragione per cui vengono presentati insieme e non in alternativa. Lo stesso vale per il calendario aziendale che sta accelerando la transizione, quello che Microsoft ha fissato per gli SMS di Entra ID, con la data di febbraio 2027 come punto di arrivo.
La domanda che resta aperta
C’è un aspetto che i materiali disponibili non affrontano e che vale la pena segnalare come questione aperta piuttosto che come allarme. In un modello dove la rete viene interrogata di continuo, e non più una volta sola al momento del login, quelle interrogazioni avvengono senza che la persona ne veda traccia. È esattamente il vantaggio rivendicato: nessuna interruzione dell’esperienza d’uso. Ed è anche ciò che rende l’operazione invisibile a chi la subisce.
Quanto sappia realmente la rete, per quanto tempo tenga traccia delle risposte fornite, e quale forma prenda il consenso a un controllo che per definizione non si nota, sono domande di cui le fonti non discutono. Non è detto che le risposte siano preoccupanti — la richiesta descritta è circoscritta, e la rete quei dati li possiede comunque per far funzionare il servizio telefonico. Ma sono domande che il passaggio da un modello a un altro pone, e che finora hanno ricevuto molta meno attenzione della parte tecnica.
Lascia un commento