// SMARTWORLD — CYBERSECURITY
Addio agli SMS OTP: Microsoft abbandona i codici via SMS in favore delle passkey
Ricevere un codice via SMS per accedere a un servizio sta diventando un'abitudine destinata a sparire. Microsoft ha annunciato che da settembre gli utenti di Entra ID, la piattaforma che gestisce l'accesso a Microsoft 365, Azure e Dynamics 365, verranno invitati ad abbandonare i codici via SMS in favore delle passkey. Dal febbraio 2027, l'autenticazione via SMS e quella vocale verranno dismesse del tutto.
Non è una mossa isolata: già Uber, PayPal, eBay, DocuSign e Yahoo hanno avviato percorsi simili. Secondo la FIDO Alliance, a maggio 2026 risultavano in uso circa 5 miliardi di passkey nel mondo, con il 75% degli utenti che ne aveva attivata almeno una. Non siamo più nel territorio della sperimentazione.
Il meccanismo è diverso da tutto quello a cui siamo abituati. Invece di ricordare una password o copiare un codice, il sistema usa un elemento biometrico (impronta digitale o riconoscimento del volto) per sbloccare una credenziale crittografica specifica per ogni sito o app. La chiave privata resta sul dispositivo, il servizio remoto conserva solo la componente pubblica.
Il risultato pratico è che una pagina di phishing, anche perfettamente imitata, non può ottenere una risposta valida dalla passkey associata al dominio originale. Un attaccante non può intercettare un codice temporaneo né riutilizzarlo da un altro dispositivo: la protezione è legata fisicamente al possesso del terminale.
A spingere ancora di più verso questi sistemi è l'evoluzione degli attacchi. Microsoft ha rilevato campagne di phishing supportate dall'intelligenza artificiale con tassi di click fino al 54%, contro il 12% circa delle campagne tradizionali. L'AI generativa abbassa la soglia di ingresso per il social engineering: messaggi senza errori grammaticali, personalizzati sulla vittima, siti contraffatti sempre più credibili. La risposta logica è ridurre le informazioni che l'utente deve leggere e trasferire manualmente durante l'accesso.
La domanda ovvia è: se le passkey sostituiscono gli SMS OTP, cosa rimane da fare agli operatori telecom? Più di quanto sembri. Secondo Tim Green, director of APIs and Authentication Programme del Mobile Ecosystem Forum, passkey e Network API rispondono a domande diverse e possono diventare complementari.
Le Network API degli operatori mobili permettono di interrogare informazioni a livello di rete: verificare se un numero è associato alla SIM presente nel dispositivo, oppure se quella SIM è stata sostituita di recente. È un segnale completamente diverso da quello della passkey: la rete non conosce l'account a cui si sta accedendo, ma può dire molto sul contesto della connessione e sull'affidabilità del numero telefonico.
In pratica, un'applicazione finanziaria potrebbe usare più livelli in parallelo: la passkey conferma che il dispositivo ha la credenziale giusta, l'API dell'operatore segnala se la SIM è stata cambiata di recente, altri sistemi analizzano comportamento e tipologia di transazione. La sicurezza diventa il risultato di più indizi combinati, non della fiducia assoluta in un singolo fattore. Come dice Green: "Le Network API possono diventare un sensore antifrode permanente".
C'è anche un vantaggio pratico per l'utente: la verifica via API avviene in background, senza interrompere l'esperienza. Niente messaggi da leggere, niente codici da copiare.
Le passkey sono molto più resistenti al phishing rispetto alle password tradizionali, ma non eliminano ogni vettore di attacco. Green cita casi in cui vulnerabilità in Chrome e Windows sono state usate per aggirare alcune protezioni legate alle credenziali sincronizzate. Allo stesso modo, le verifiche via Network API non sono infallibili: in circostanze particolari, sarebbe teoricamente possibile superare alcuni controlli se il telefono del legittimo proprietario si trovasse nelle vicinanze dell'attaccante.