La progressiva uscita di scena delle password usa e getta inviate via messaggio entra in una fase decisiva. A imprimere un’ulteriore accelerazione è Microsoft, che ha annunciato il passaggio dalle one time password alle passkey per Entra ID, la piattaforma cloud utilizzata per gestire l’accesso a servizi aziendali come Microsoft 365, Dynamics 365 e Azure. Da settembre gli utenti che ancora ricorrono a un codice inviato via Sms saranno invitati a registrare una passkey, mentre da febbraio 2027 Microsoft prevede di abbandonare completamente sia l’autenticazione via Sms sia quella vocale.
La decisione non rappresenta un caso isolato. Al contrario, fotografa una trasformazione ormai strutturale del mercato dell’identità e della sicurezza online. La necessità di ridurre la dipendenza da password e codici temporanei sta infatti spingendo imprese, piattaforme digitali, banche e fornitori di servizi verso strumenti capaci di combinare una migliore esperienza per l’utente con una maggiore resistenza agli attacchi.
Ma la crescita delle passkey apre anche una questione particolarmente importante per il settore delle telecomunicazioni. Se l’Sms Otp ha rappresentato per anni uno dei servizi più diffusi nel portafoglio dei provider di Communications Platform as a Service, quale sarà il ruolo delle Network Api, spesso indicate proprio come una delle alternative più promettenti alla verifica tramite messaggistica?
Secondo Tim Green, director of APIs and Authentication Programme del Mobile Ecosystem Forum, la risposta è meno conflittuale di quanto possa apparire. Passkey e Api di rete non sono necessariamente tecnologie concorrenti: operano infatti su livelli differenti del processo di verifica e possono diventare complementari all’interno di una strategia di sicurezza più articolata.
Indice degli argomenti
Green: «Le passkey cambiano il paradigma della verifica dell’utente»
Il meccanismo alla base delle passkey modifica radicalmente l’approccio tradizionale all’accesso ai servizi online. Invece di chiedere all’utente di ricordare una password o di inserire un codice ricevuto sul telefono, il sistema sfrutta un elemento biometrico, come il riconoscimento del volto o l’impronta digitale, collegandolo però a un’infrastruttura basata sulla crittografia a chiave pubblica.
È proprio questo secondo elemento a rendere la tecnologia particolarmente interessante. La biometria non viene utilizzata come una semplice password più sofisticata, ma serve a sbloccare una credenziale crittografica specifica per il sito o l’applicazione alla quale l’utente vuole accedere. In questo modo la chiave privata rimane protetta sul dispositivo, mentre il servizio remoto conserva soltanto la componente pubblica necessaria a verificare l’identità.
Il risultato è una maggiore resistenza al phishing. Una pagina contraffatta che riproduce l’interfaccia di una banca o di una piattaforma digitale, per esempio, non è in grado di ottenere una risposta valida dalla passkey associata al dominio originale. Allo stesso tempo, l’attaccante non può semplicemente sottrarre una password o intercettare un codice temporaneo per riutilizzarlo da un altro dispositivo.
La protezione è quindi strettamente legata al possesso fisico del terminale e alla capacità dell’utente di sbloccarlo. Questo rende molto più complessi numerosi attacchi che negli ultimi anni hanno sfruttato proprio la debolezza dei meccanismi basati su password e codici ricevuti tramite messaggio.
La diffusione del modello sta crescendo rapidamente. Microsoft è soltanto una delle grandi aziende che stanno riducendo il ricorso agli Otp. Fra le realtà che hanno già avviato percorsi analoghi figurano Uber, Yahoo, DocuSign, eBay e PayPal. Secondo i dati citati dalla Fido Alliance, a maggio 2026 risultavano già in uso circa 5 miliardi di passkey nel mondo e il 75% delle persone aveva attivato almeno una credenziale di questo tipo.
Numeri che evidenziano come non si tratti più di una tecnologia sperimentale, ma di una componente destinata a diventare centrale nell’ecosistema dell’accesso digitale.
Green: «L’intelligenza artificiale rende il phishing molto più efficace»
A spingere le aziende verso sistemi più robusti è anche l’evoluzione delle tecniche di attacco. L’intelligenza artificiale generativa sta infatti abbassando la soglia di ingresso per molte attività di social engineering, consentendo ai criminali di produrre messaggi più credibili, personalizzati e difficili da distinguere dalle comunicazioni autentiche.
L’automazione permette inoltre di condurre campagne su larga scala mantenendo un livello di personalizzazione che in passato avrebbe richiesto un considerevole lavoro manuale. Testi privi di errori grammaticali, messaggi costruiti sulla base del profilo della vittima, comunicazioni che imitano il tono di colleghi o dirigenti e siti contraffatti sempre più realistici contribuiscono a ridurre l’efficacia delle tradizionali difese basate sull’attenzione dell’utente.
Microsoft ha segnalato di aver osservato campagne di phishing supportate dall’intelligenza artificiale con tassi di click fino al 54%, contro circa il 12% registrato nelle campagne più tradizionali. Parallelamente, tecniche come il Sim swapping e l’aggiramento dei meccanismi di autenticazione a più fattori sono diventate più accessibili e replicabili.
In questo scenario il problema dell’Sms Otp non riguarda soltanto la possibilità di intercettare materialmente il codice. La vulnerabilità può nascere in diversi punti della catena: dalla compromissione dell’account dell’utente alla sottrazione del numero telefonico, dal social engineering nei confronti degli operatori fino alla capacità di convincere la vittima a inserire volontariamente il codice su una pagina malevola.
L’arrivo delle passkey risponde dunque anche a un cambiamento nella natura del rischio. Se l’intelligenza artificiale rende più facile ingannare una persona, la risposta consiste nel ridurre il numero di informazioni che quella persona deve conoscere, ricordare, leggere e trasferire manualmente durante l’accesso a un servizio.
Green: «Passkey e Api di rete rispondono a domande differenti»
La crescita delle credenziali crittografiche non rende tuttavia irrilevante il ruolo delle telecomunicazioni nel contrasto alle attività fraudolente. Ed è proprio qui che entra in gioco il rapporto con le Network Api.
A prima vista potrebbe sembrare che le due tecnologie siano destinate a contendersi lo stesso spazio lasciato progressivamente libero dagli Otp. In realtà, osserva Green, passkey e Api di rete rispondono a due domande diverse.
La passkey serve principalmente a dimostrare che il dispositivo e l’utente che stanno tentando di accedere a un account dispongono della credenziale precedentemente registrata per quel determinato servizio. È dunque uno strumento strettamente collegato al rapporto tra la persona e l’applicazione utilizzata.
Le Api messe a disposizione dagli operatori mobili, invece, consentono di interrogare direttamente alcune informazioni disponibili a livello di rete. Possono verificare, per esempio, se un determinato numero è effettivamente associato alla Sim presente nel dispositivo oppure se quella Sim è stata sostituita di recente.
Si tratta di un segnale completamente differente. La rete non conosce necessariamente l’account al quale la persona sta tentando di accedere, ma può fornire informazioni preziose sul contesto della connessione e sull’affidabilità del numero telefonico utilizzato.
Da qui deriva la complementarità delle due soluzioni. La credenziale crittografica può attestare l’accesso al servizio, mentre l’operatore può offrire un ulteriore livello di intelligence sul dispositivo e sulla Sim. Una variazione improvvisa della scheda telefonica, per esempio, potrebbe essere utilizzata come segnale di rischio anche quando la procedura principale di accesso si basa su una passkey.
Per banche, piattaforme di pagamento, marketplace e servizi particolarmente esposti alle frodi, questa possibilità apre la strada a modelli nei quali la verifica non è più affidata a un singolo evento, ma diventa un processo continuo alimentato da differenti segnali di sicurezza.
Green: «Le Network Api possono diventare un sensore antifrode permanente»
È proprio questa caratteristica che potrebbe rafforzare il ruolo degli operatori di telecomunicazioni nel nuovo ecosistema dell’identità digitale. Per anni l’Sms Otp ha rappresentato uno dei punti di contatto più evidenti tra telco, piattaforme digitali e procedure di autenticazione. Il progressivo declino di questo meccanismo potrebbe mettere sotto pressione una componente significativa del traffico di messaggistica applicativa.
Le Network Api offrono però agli operatori la possibilità di spostarsi verso una parte della catena del valore potenzialmente più strategica. Non più soltanto trasporto del codice necessario a completare l’accesso, ma fornitura di segnali di rete utilizzabili in tempo reale per valutare il rischio di una transazione.
La differenza è sostanziale anche dal punto di vista del modello di servizio. L’Sms richiede una partecipazione esplicita dell’utente, che deve ricevere il messaggio, leggere la sequenza numerica e inserirla nell’applicazione o nel sito. Una verifica effettuata tramite Api può invece svolgersi in background, senza interrompere la customer experience.
Un’applicazione finanziaria potrebbe quindi utilizzare contemporaneamente più informazioni. La passkey può confermare che il dispositivo dispone della corretta credenziale associata al profilo del cliente. Un’Api dell’operatore può aggiungere l’informazione che il numero è effettivamente collegato alla Sim utilizzata oppure segnalare una recente sostituzione della scheda. Altri sistemi antifrode possono poi analizzare localizzazione, comportamento dell’account, tipologia di transazione e caratteristiche del dispositivo.
La sicurezza diventa così il risultato della combinazione di più indizi, piuttosto che della fiducia assoluta riposta in un singolo fattore.
Per il settore telecom questo passaggio è particolarmente rilevante perché valorizza asset che soltanto gli operatori possiedono: la conoscenza in tempo reale della rete, della Sim e del rapporto fra numero e dispositivo. È il principio sul quale si basa buona parte della strategia legata alle Api standardizzate che il comparto sta cercando di portare sul mercato globale.
Green: «Nessun metodo può essere considerato invulnerabile»
La combinazione tra tecnologie differenti non è soltanto una possibilità commerciale. È anche una risposta a una regola fondamentale della cybersecurity: nessun sistema può essere considerato completamente immune dalle vulnerabilità.
Anche le passkey, pur essendo molto più resistenti al phishing rispetto alle password tradizionali, non eliminano ogni possibile vettore di attacco. Green richiama recenti casi nei quali vulnerabilità presenti in Chrome e Windows sono state utilizzate per aggirare alcune delle protezioni associate alle credenziali sincronizzate.
Allo stesso modo, le verifiche basate sulle Api di rete non possono essere considerate infallibili. Secondo un’analisi citata dal Mobile Ecosystem Forum, in determinate circostanze sarebbe teoricamente possibile superare alcuni controlli se il telefono del reale proprietario fosse acceso e si trovasse nelle vicinanze dell’attaccante.
Sono casi molto diversi fra loro e non equivalgono a una compromissione generalizzata dei due modelli. Evidenziano però un principio essenziale: la sostituzione dell’Sms Otp con un singolo nuovo strumento non può essere considerata, da sola, la soluzione definitiva al problema delle frodi.
La solidità dell’architettura deriva piuttosto dalla possibilità di verificare contemporaneamente elementi differenti. Un attaccante che riesca a compromettere uno dei livelli dovrebbe comunque superare gli altri. È la stessa logica che ha portato negli anni alla diffusione dell’autenticazione multifattore, ma applicata ora a informazioni più ricche e meno facilmente trasferibili.
Nel nuovo scenario, il possesso di una passkey può essere accompagnato da una verifica effettuata sulla rete mobile, da un controllo del dispositivo e da un’analisi comportamentale della transazione. Il livello di protezione può inoltre diventare dinamico: un accesso considerato ordinario può richiedere meno controlli, mentre un’operazione anomala o particolarmente sensibile può attivare ulteriori verifiche.
Green: «Il futuro sarà basato su più livelli di fiducia»
La progressiva dismissione degli Sms Otp segna quindi un passaggio più ampio del semplice cambio di tecnologia. Sta cambiando il modo stesso in cui piattaforme digitali e imprese costruiscono la fiducia nei confronti dell’utente.
Nel vecchio modello il processo era relativamente lineare. Il servizio inviava un codice a un numero telefonico e presumeva che chi fosse in grado di leggerlo fosse anche il legittimo titolare dell’account. La diffusione del phishing, del Sim swapping e di altri strumenti di manipolazione ha progressivamente indebolito questa equivalenza.
La nuova architettura tende invece a distribuire la fiducia tra più elementi. La passkey lega l’utente e il dispositivo alla specifica applicazione attraverso la crittografia; la rete mobile può attestare informazioni relative al numero e alla Sim; i sistemi antifrode valutano il comportamento della sessione e della transazione.
Per gli operatori telecom, questo significa che la riduzione dell’utilizzo dei codici via Sms non coincide necessariamente con una perdita di rilevanza nel mercato dell’autenticazione. Potrebbe avvenire esattamente il contrario: la rete può assumere un ruolo meno visibile per il consumatore ma più profondo nell’infrastruttura di sicurezza utilizzata da banche, fintech, retailer e grandi piattaforme.
La sfida riguarda però la capacità del comparto di trasformare la disponibilità dei dati di rete in servizi standardizzati, interoperabili e facilmente integrabili dagli sviluppatori. È su questo terreno che le iniziative legate alle Network Api stanno tentando di costruire un’alternativa al tradizionale modello basato sulla messaggistica.
Allo stesso tempo, l’esperienza delle passkey dimostra l’importanza della semplicità. Una tecnologia di sicurezza può diffondersi realmente soltanto se l’utente non è costretto a gestire procedure sempre più complesse. Biometria e verifiche di rete condividono proprio questo obiettivo: rendere più robusta la protezione riducendo, anziché aumentando, le azioni richieste alla persona.
L’evoluzione annunciata da Microsoft rappresenta dunque un altro segnale della trasformazione in corso. Gli Sms Otp sono destinati a perdere progressivamente il ruolo centrale occupato negli ultimi anni, ma non emerge ancora un unico successore destinato a sostituirli in ogni scenario.
Il mercato sembra piuttosto dirigersi verso una combinazione di tecnologie. Le passkey possono diventare la credenziale primaria con la quale dimostrare il diritto di accedere a un account. Le Api di rete possono aggiungere informazioni sul contesto mobile e rilevare anomalie che la singola applicazione non è in grado di vedere.
La vera alternativa agli Otp, in altre parole, potrebbe non essere una nuova tecnologia, ma un’architettura in cui più strumenti concorrono a costruire una valutazione dinamica della fiducia. Ed è proprio in questa convergenza tra piattaforme digitali, cybersecurity e infrastrutture telecom che si giocherà una parte importante della prossima fase del mercato dell’identità online.
Partecipa alla community