novauth
PrezziDocumentazioneBlogInizia gratis
Torna al blog
Tendenze del settorePasskeysSMS OTP

Microsoft ha appena ritirato l'autenticazione via SMS. Ecco cosa dicono i dati sul prossimo passo

Novauth Team6 min di lettura

Il 13 luglio, Microsoft ha annunciato che Entra ID — la piattaforma di identità dietro l'accesso per una larghissima parte del software enterprise — sta ritirando l'autenticazione multifattore basata su SMS e voce. Non una deprecazione. Un ritiro vero e proprio. Le Passkeys diventano il metodo di autenticazione predefinito a partire da settembre 2026 e, entro il 1° febbraio 2027, l'MFA via SMS e voce fornito da Microsoft smetterà semplicemente di funzionare per l'accesso. Gli utenti che lo usano ancora vengono iscritti automaticamente alle Passkeys; se SMS o voce è l'unico metodo MFA di qualcuno, si troverà davanti a una richiesta obbligatoria di registrare una Passkey prima di poter accedere.

Non è un fornitore che spinge i clienti verso un'opzione più comoda. È uno dei più grandi identity provider al mondo che fissa una data di spegnimento per un metodo di autenticazione vecchio di 20 anni. Siamo andati a cercare i dati dietro questa decisione, ed è una storia più grande della roadmap di una singola azienda.

Il numero che Microsoft ha effettivamente citato

La motivazione dichiarata da Microsoft non era astratta. L'azienda ha indicato campagne di phishing potenziate dall'IA che raggiungono tassi di click-through fino al 54%, contro circa il 12% delle tradizionali campagne di phishing. I fattori di autenticazione phishabili — un codice che puoi essere indotto a leggere ad alta voce o inoltrare, un SMS che puoi essere manipolato a girare a qualcun altro — sono ciò che gli attaccanti oggi battono con un tasso di successo quasi 5 volte superiore a prima. L'SMS OTP rientra esattamente in questa categoria: niente in un messaggio di testo impedisce a una pagina di login falsa abbastanza convincente di chiederti semplicemente di incollarci il codice.

Le Passkeys non sono più una scommessa di nicchia

L'infrastruttura per sostenere una data di ritiro come questa esiste già su scala reale. I numeri 2026 della FIDO Alliance, tratti da una ricerca su 11.000 consumatori e 1.400 decision-maker aziendali in dieci Paesi:

  • 5 miliardi di Passkeys attualmente attive nel mondo
  • 90% di consapevolezza dei consumatori riguardo alle Passkeys
  • 75% dei consumatori ha attivato una Passkey su almeno un account
  • 68% delle organizzazioni ha implementato o sta attivamente implementando le Passkeys per l'accesso dei dipendenti
  • 33% dei consumatori riferisce di aver subito una compromissione dell'account o una notifica di violazione nell'ultimo anno — il disagio di fondo che guida l'adozione

Non è più territorio da early adopter. È il percorso predefinito per una quota significativa dei flussi di login su internet, e la mossa di Microsoft lo rende il percorso obbligatorio per una grossa fetta dell'identità enterprise.

I dati sulle frodi a sostegno del "perché"

I ricercatori di sicurezza dicono da tempo che l'SMS OTP è l'anello debole — il Verizon Data Breach Investigations Report sconsiglia esplicitamente le password monouso via SMS come fattore MFA, citando l'esposizione al SIM swap. I dati sulle frodi lo confermano, in modo disomogeneo ma chiaro:

  • Il report Cifas Fraudscape del Regno Unito ha registrato SIM swap non autorizzati passare da 289 a quasi 3.000 in un solo anno — un aumento del 1.055%.
  • L'Australia ha registrato un aumento anno su anno del 240% di persone che chiedono aiuto per frodi da SIM swap e phone-porting (IDCARE).
  • I dati dell'FBI IC3 (USA) mostrano un calo del numero di reclami per SIM swap — da 2.026 nel 2022 a 982 nel 2024 — ma i ricercatori avvertono che questo probabilmente riflette il fatto che le vittime segnalano la frode a valle (conti prosciugati, criptovalute rubate) sotto altre categorie, piuttosto che un calo reale degli attacchi, tanto più che gli operatori aggiungono attrito che sposta le tattiche invece di eliminarle.
  • L'intercettazione a livello di protocollo SS7 — la falla di rete che permette a un attaccante di reindirizzare o leggere messaggi SMS senza toccare il telefono della vittima — è ancora un vettore di attacco attivo; Metro Bank nel Regno Unito e diverse banche tedesche hanno subito l'intercettazione di codici 2FA in questo modo, e le segnalazioni di sfruttamento attivo continuano.

Nessuno di questi attacchi richiede di rompere la crittografia o indovinare una password. Sfruttano il fatto che un numero di telefono non è mai stato progettato per essere una credenziale sicura — è un indirizzo di instradamento che può essere reindirizzato, sottratto tramite ingegneria sociale o letto a un livello di rete che precede le moderne assunzioni di sicurezza.

Cosa questo non risolve — e perché conta per la verifica

Ecco la parte che si perde nei titoli tipo "l'SMS è morto": le Passkeys risolvono il login, non la verifica telefonica, e sono problemi diversi sotto la stessa etichetta "2FA".

Una Passkey dimostra che sei lo stesso dispositivo/account già registrato in precedenza. In questo è eccellente — resistente al phishing, nessun codice da intercettare, nessuna SIM da clonare. Ma non può fare il lavoro per cui SMS OTP, flash call, WhatsApp OTP e Telegram OTP sono stati effettivamente creati fin dall'inizio: confermare che un numero di telefono del tutto nuovo appartenga a una persona reale e raggiungibile durante la registrazione, prima che esista un account o una Passkey con cui fare il confronto. Le Passkeys non hanno nulla contro cui autenticarsi al primissimo contatto di qualcuno con il tuo prodotto.

Quindi il cambiamento realistico non è "la verifica scompare". È che la verifica si divide in due compiti con due strumenti diversi:

  • Login di un utente di ritorno → Passkeys, sempre più spesso di default, esattamente sulla strada appena imposta da Microsoft.
  • Verifica telefonica al primo contatto → richiede ancora un canale live verso un numero non verificato, il che significa che la scelta del canale — e la sua esposizione a frodi da SIM swap, SS7 e AIT — conta ancora enormemente. È tutto l'argomento a favore della verifica flash call rispetto al semplice SMS: non eredita nessuna delle esposizioni a SIM swap o SS7 descritte sopra, perché non c'è nessun codice trasmesso come dato da intercettare fin dal principio.

Microsoft ha appena dimostrato che il settore fa sul serio nell'eliminare l'SMS come fattore di login. La prossima domanda — quale canale meriti davvero il momento della registrazione — è esattamente dove la cosa si fa interessante.

Fonti