L'OTP via SMS è meglio della sola password, ma non è un secondo fattore forte: i codici si possono rubare con SIM swap, intercettazione SS7, malware e, più spesso di tutto, phishing. Diverse autorità bancarie hanno abbandonato l'OTP via SMS per le operazioni ad alto rischio, mentre l'SMS resta molto usato per la verifica del numero e per i login a basso rischio.
L'OTP via SMS è sicuro?
L'OTP via SMS è moderatamente sicuro. Ferma gli attacchi che si basano solo su una password rubata ed è semplice per tutti gli utenti. Però dipende dalla rete telefonica e dal numero dell'utente, non da un dispositivo che l'utente controlla con la crittografia. La linea guida NIST sull'identità digitale SP 800-63B classifica i codici via SMS e voce come autenticatore "restricted": le organizzazioni possono usarli, ma devono valutarne il rischio e offrire un'alternativa più forte. A dicembre 2024 l'agenzia statunitense CISA ha consigliato alle persone particolarmente esposte di non usare affatto l'SMS come secondo fattore.
Quali sono i rischi di sicurezza della 2FA via SMS?
- SIM swap. Un criminale convince o corrompe un operatore mobile per spostare il numero della vittima su una nuova SIM. Da quel momento tutti i codici OTP arrivano all'attaccante. Gli operatori riducono il rischio con controlli d'identità più rigidi e PIN per la portabilità, e alcune app verificano se la SIM è stata cambiata di recente prima di inviare codici sensibili.
- SS7 e attacchi di segnalazione. SS7 è la rete di segnalazione tra operatori, vecchia di decenni. Con un accesso illegittimo, un attaccante può deviare gli SMS verso un'altra rete. Gli operatori installano firewall di segnalazione, ma la protezione cambia da rete a rete.
- Phishing e inoltro in tempo reale. È l'attacco più comune: un sito falso o un finto operatore convince l'utente a digitare o leggere il codice, e l'attaccante lo usa entro pochi secondi. Qui l'OTP via SMS non protegge, perché è l'utente stesso a consegnare il codice.
- Malware. Su un telefono compromesso, app malevole con accesso agli SMS o alle notifiche possono leggere i codici.
- Riciclo dei numeri. Gli operatori riassegnano i numeri abbandonati, quindi i codici possono arrivare a un nuovo titolare se il tuo database utenti non è aggiornato.
- Rotte grigie. I codici inviati su rotte non autorizzate passano per soggetti che non conosci. Vedi i rischi delle rotte SMS grigie.
Le autorità stanno abbandonando l'OTP via SMS per le banche?
Sì, in diversi mercati, soprattutto per login e transazioni di home banking e non per tutti gli usi. Esempi confermati a ottobre 2026:
| Paese | Cosa è cambiato |
|---|---|
| Singapore | In seguito alle misure della Monetary Authority of Singapore, le principali banche retail hanno smesso di usare l'OTP via SMS per il login dei clienti con token digitale, da luglio 2024. |
| Malesia | A settembre 2022 Bank Negara Malaysia ha chiesto alle banche di passare dall'OTP via SMS ad autenticazioni più sicure per le operazioni online come bonifici e modifiche del conto. |
| Emirati Arabi Uniti | La Banca Centrale degli Emirati ha imposto agli istituti finanziari di abbandonare l'OTP via SMS ed email per autenticare le transazioni dei clienti, con scadenza il 31 marzo 2026. |
| India | Le direttive sull'autenticazione della Reserve Bank of India, in vigore dal 1 aprile 2026, mantengono l'autenticazione a due fattori ma ammettono altri fattori (token sul dispositivo, biometria, passphrase) oltre all'OTP via SMS. Allargano le opzioni invece di vietare l'SMS. |
Queste regole riguardano banche e fornitori di pagamento. La maggior parte delle altre aziende usa ancora l'OTP via SMS, ma per le operazioni di alto valore la direzione è chiara.
2FA via SMS o app di autenticazione: cosa è più sicuro?
Un'app di autenticazione (TOTP) è più sicura contro SIM swap e SS7, perché il codice viene generato sul dispositivo e non passa mai sulla rete telefonica. Resta però vulnerabile al phishing, perché l'utente può digitare il codice su un sito falso. Passkey e chiavi di sicurezza hardware (FIDO2/WebAuthn) resistono al phishing, perché il browser accede solo al dominio vero.
| Metodo | SIM swap | Intercettazione di rete | Phishing | Facilità per gli utenti |
|---|---|---|---|---|
| OTP via SMS | Vulnerabile | Vulnerabile | Vulnerabile | Molto facile |
| App di autenticazione (TOTP) | Resistente | Resistente | Vulnerabile | Richiede configurazione |
| Approvazione push nell'app della banca | Resistente | Resistente | In parte (con confronto del numero) | Facile |
| Passkey o chiave di sicurezza | Resistente | Resistente | Resistente | Facile dopo la configurazione |
Come rendere più sicuro l'OTP via SMS
Se l'OTP via SMS resta nel tuo flusso, come succede spesso per registrazione e verifica del numero, riduci il rischio:
- Scrivi nel messaggio lo scopo e il tuo marchio e ricorda agli utenti di non condividere mai il codice. Vedi le buone pratiche per gli SMS OTP.
- Usa codici di breve durata (pochi minuti) e monouso, con un limite di tentativi.
- Usa rotte dirette o ben gestite e un sender ID registrato, così i codici non passano per soggetti sconosciuti. Vedi le rotte SMS dirette.
- Prima delle operazioni ad alto rischio verifica se c'è stato un SIM swap o una portabilità recente, se il tuo fornitore lo offre. Vedi la portabilità del numero.
- Limita la frequenza delle richieste per fermare l'SMS pumping, che è un attacco ai costi e non agli account, ma spesso colpisce lo stesso modulo.
- Offri fattori più forti (passkey, approvazione nell'app) e spingi gli utenti a usarli per pagamenti e modifiche dell'account.
Quali sono le alternative all'OTP via SMS?
Le alternative principali sono passkey, app di autenticazione, approvazione push nell'app, messaggi di autenticazione WhatsApp e OTP vocale. Le alternative di messaggistica condividono alcune debolezze dell'SMS, perché sono legate al numero di telefono. Vedi WhatsApp o SMS per l'OTP e l'OTP vocale.
Per i flussi di registrazione e verifica che mantengono l'SMS, VoIPMatcher cerca rotte SMS A2P presso i suoi carrier e le gestisce. Richiedi una rotta SMS sicura per OTP.
Domande frequenti
L'OTP via SMS sta per essere abbandonato?
Per l'home banking in diversi Paesi sì, almeno per le operazioni ad alto rischio. Singapore, Malesia ed Emirati Arabi Uniti hanno spinto le banche verso l'autenticazione tramite app e altri metodi più forti, e l'India ora ammette altri fattori oltre all'OTP via SMS. Per la verifica del numero di telefono e i normali login alle app, l'OTP via SMS resta molto diffuso nel 2026.
Qualcuno può intercettare il mio SMS con l'OTP?
È possibile, ma raro per gli utenti comuni. Le vie principali sono il SIM swap, con cui un criminale si impossessa del numero, l'abuso della rete di segnalazione SS7 e il malware sul telefono. Molto più spesso, però, gli attaccanti convincono semplicemente l'utente a cedere il codice con chiamate, messaggi o siti falsi di phishing.
Perché le banche dicono di non condividere mai l'OTP?
Perché il modo più comune per aggirare l'OTP via SMS è l'ingegneria sociale: il criminale si finge la banca, un corriere o l'assistenza, chiede il codice e lo usa in pochi secondi per accedere o approvare un pagamento. Una banca vera non ha mai bisogno che tu le legga un codice.
Qual è l'alternativa più sicura all'OTP via SMS?
Le passkey e le chiavi di sicurezza hardware basate su FIDO2 e WebAuthn sono le opzioni diffuse più sicure, perché resistono al phishing e non dipendono dalla rete telefonica. In banca si usa molto l'approvazione nell'app con associazione al dispositivo e biometria. Le app di autenticazione sono più sicure dell'SMS contro il SIM swap, ma possono comunque subire phishing.
Il SIM swap colpisce anche WhatsApp e l'OTP vocale?
Sì. Qualsiasi metodo che invia un codice a un numero di telefono è esposto quando il numero viene sottratto, compreso l'OTP vocale e, in molti casi, la nuova registrazione di WhatsApp su un altro dispositivo. I metodi legati a un dispositivo o a una chiave crittografica, come passkey e app di autenticazione, non risentono del SIM swap.
Ti serve una rotta?
Mandaci destinazione, tipo di rotta e tariffa target. Ti rispondiamo con quello che possiamo offrirti.