Le password via SMS stanno scomparendo: ecco come cambierà la sicurezza digitale

Per oltre un decennio gli SMS OTP (One-Time Password) hanno rappresentato uno dei sistemi di autenticazione più diffusi per accedere a servizi bancari, piattaforme digitali e account aziendali. Ai giorni nostri, però questo modello sta entrando nella sua fase finale e i grandi protagonisti del settore stanno accelerando una transizione destinata a cambiare il modo in cui ci identifichiamo online.

Ad aprire ufficialmente questa nuova fase è Microsoft, che ha annunciato la progressiva eliminazione dei codici inviati via SMS e delle chiamate vocali per Entra ID, la piattaforma utilizzata per gestire l’accesso a servizi come Microsoft 365, Azure e Dynamics 365; da settembre gli utenti verranno invitati ad adottare le passkey, mentre dal febbraio 2027 l’autenticazione tramite SMS sarà completamente abbandonata.

Questa novità tuttavia va ben oltre Microsoft. L’intero settore della cybersecurity sta convergendo verso un’architettura più moderna, nella quale biometria, crittografia, Intelligenza Artificiale e segnali provenienti dalla rete mobile collaborano per rendere l’identità digitale molto più difficile da compromettere. Non si tratta semplicemente di sostituire un codice con un altro metodo di accesso, ma di costruire un sistema capace di valutare il livello di fiducia dell’utente in modo molto più dinamico.

Segui TuttoTech.net su Google Discover

Perché le passkey stanno sostituendo gli SMS OTP

Il principale limite degli SMS OTP non è mai stato soltanto il messaggio in sé, ma il fatto che il codice possa essere intercettato, rubato o inserito volontariamente dall’utente su una pagina di phishing.

Le passkey cambiano completamente questo paradigma. Invece di richiedere una password o un codice temporaneo, sfruttano una coppia di chiavi crittografiche; una pubblica conservata dal servizio online e una privata che rimane protetta sul dispositivo dell’utente. L’accesso viene autorizzato attraverso il riconoscimento biometrico, come impronta digitale o volto, senza che alcun codice venga trasmesso.

Il vantaggio è evidente in quanto una pagina fraudolenta non può ottenere una risposta valida dalla passkey, perché la credenziale è legata esclusivamente al dominio autentico del servizio; anche nel caso di un tentativo di phishing ben costruito, l’attaccante non può riutilizzare la chiave privata da un altro dispositivo.

A differenza delle password tradizionali, inoltre, le passkey eliminano anche il problema del riutilizzo delle credenziali tra servizi differenti, una delle pratiche che ha favorito numerose violazioni negli ultimi anni. Ogni credenziale è infatti unica e specifica per il singolo sito o applicazione.

Bisogna precisare bene che non si tratta più di una tecnologia sperimentale. Secondo i dati della FIDO Alliance, nel mondo sono già state attivate circa 5 miliardi di passkey e oltre il 75% degli utenti dispone almeno di una credenziale di questo tipo. Oltre a Microsoft, aziende come PayPal, eBay, Uber, Yahoo e DocuSign hanno già avviato la transizione verso questo modello di autenticazione, segnale che il mercato sta ormai considerandolo il naturale successore delle password e degli OTP.

L’Intelligenza Artificiale rende il phishing molto più credibile

Se le passkey stanno diventando la nuova normalità, è anche perché gli attacchi informatici stanno evolvendo rapidamente. L’AI generativa permette oggi di creare email, messaggi e siti web contraffatti con un livello di realismo difficilmente distinguibile dalle comunicazioni autentiche. I criminali possono personalizzare le campagne su larga scala, imitare il linguaggio di aziende e colleghi e costruire pagine praticamente identiche a quelle originali.

Secondo Microsoft, alcune campagne di phishing supportate dall’AI hanno registrato tassi di interazione fino al 54%, contro circa il 12% osservato nelle campagne tradizionali. Non è quindi soltanto una questione di quantità degli attacchi, ma soprattutto della loro qualità.

In questo contesto gli SMS OTP mostrano tutte le proprie debolezze. Tecniche come il SIM swapping, il furto del numero telefonico o il semplice inganno dell’utente rendono il codice temporaneo molto meno affidabile rispetto a una credenziale crittografica che non deve essere letta né digitata manualmente.

L’obiettivo delle nuove tecnologie di autenticazione è proprio quello di ridurre il numero di informazioni che l’utente deve ricordare, leggere o trasferire durante il login. Meno passaggi manuali significano anche meno opportunità per chi tenta di manipolare la vittima attraverso il social engineering.

Le Network API aggiungono un nuovo livello di protezione

L’abbandono degli SMS non significa però che gli operatori telefonici diventeranno meno importanti nella sicurezza digitale; anzi, il loro ruolo potrebbe diventare ancora più strategico grazie alle Network API. Queste interfacce consentono alle applicazioni di interrogare direttamente la rete mobile per ottenere informazioni sul contesto della connessione.

Ad esempio possono verificare se il numero telefonico è realmente associato alla SIM presente nel dispositivo oppure rilevare una sostituzione recente della scheda, uno dei segnali più comuni nelle frodi legate al SIM swapping. La differenza rispetto agli SMS quindi è alquanto sostanziale; mentre il codice OTP richiede un’interazione esplicita dell’utente, le verifiche tramite Network API avvengono in background, senza interrompere l’esperienza d’uso.

Per una banca o un servizio di pagamento questo significa poter combinare più elementi contemporaneamente:

• la passkey conferma l’identità del dispositivo
• la rete verifica l’affidabilità della SIM
• i sistemi antifrode analizzano comportamento, posizione e caratteristiche della transazione

Di conseguenza, la fiducia non dipende più da un singolo fattore, ma dalla somma di diversi segnali che vengono valutati in tempo reale. Per il settore delle telecomunicazioni questo rappresenta anche un cambio di prospettiva; dagli SMS come semplice veicolo del codice di verifica a una rete capace di fornire informazioni utili per prevenire le frodi prima ancora che l’utente se ne accorga.

Il futuro della sicurezza sarà multilivello, non basato su una sola tecnologia

L’evoluzione dell’autenticazione non consiste semplicemente nel sostituire gli SMS con un nuovo metodo; il modello verso cui si sta muovendo il mercato è molto più articolato e punta a costruire una valutazione dinamica della fiducia.

Le passkey diventeranno probabilmente la credenziale principale per dimostrare il diritto di accesso a un account, mentre le Network API forniranno informazioni sul dispositivo e sulla rete mobile; a questi si aggiungeranno poi analisi comportamentali, controlli sul terminale e sistemi di rilevamento delle anomalie alimentati dall’intelligenza artificiale.

Per gli utenti il risultato potrebbe essere persino più semplice; ci saranno meno password da ricordare, meno codici da copiare e una maggiore protezione contro phishing e furto delle credenziali. Per aziende, banche e piattaforme digitali, invece, la sfida sarà integrare questi strumenti in un’infrastruttura già standardizzata e interoperabile.

La progressiva uscita di scena degli SMS OTP rappresenta quindi solo l’inizio di una trasformazione più ampia. La sicurezza digitale del futuro non sarà affidata a una singola tecnologia, ma a un ecosistema di verifiche che collaborano per rendere ogni accesso più sicuro senza complicare l’esperienza dell’utente. Passkey, biometria, crittografia e segnali di rete sono destinati a convivere, costruendo un modello di autenticazione più resiliente e molto meglio preparato ad affrontare le minacce della nuova era dell’Intelligenza Artificiale.