App di autenticazione vs codici SMS: qual è più sicuro?

Come Funziona il 2FA via SMS

L'autenticazione a due fattori aggiunge un secondo lucchetto ai tuoi account, e i codici SMS sono la versione che la maggior parte delle persone incontra per prima. Invece di fare affidamento solo sulla password, il servizio invia un codice monouso e breve al tuo telefono tramite messaggio di testo. Inserisci la password come al solito, poi digiti quel codice per completare l'accesso.

Il sistema funziona perché solo tu dovresti controllare il numero di telefono collegato al tuo account. Quando richiedi un accesso, il servizio invia un codice via SMS—in genere di sei cifre, valido per pochi minuti—a quel numero. Niente codice, niente ingresso. La scadenza rapida esiste per un motivo: un codice intercettato diventa inutile dopo pochi minuti, quindi chi lo ruba deve usarlo subito.

Il suo maggior punto di forza è la comodità:

• Niente da installare. Qualsiasi telefono cellulare può ricevere messaggi di testo.
• Niente di nuovo da imparare. Sai già leggere un SMS.
• Funziona su qualsiasi telefono, dall'ultimo smartphone a un vecchio telefono a conchiglia.
• Recupero semplice. Se perdi il telefono, il codice arriva comunque al tuo numero sostitutivo o alla SIM nuova—comodità che però ha un rovescio della medaglia, come vedremo.

Un errore comune: molti digitano il codice mentre lo leggono dall'SMS durante una telefonata, senza pensare che l'interlocutore possa annotarlo. Regola ferrea: nessun codice va comunicato a nessuno, nemmeno a chi dice di essere il supporto tecnico della tua banca.

Il rovescio della medaglia: dipende interamente dal fatto che il tuo numero di telefono e la tua rete mobile restino sotto il tuo controllo.

Come funzionano le app di autenticazione

Le app di autenticazione generano i tuoi codici di accesso direttamente sul tuo dispositivo. Durante la configurazione, scansioni un codice QR che memorizza un segreto condiviso all'interno dell'app. Da quel momento in poi, l'app e il sito web calcolano in modo indipendente lo stesso codice a sei cifre, ruotandone uno nuovo ogni 30 secondi. Non è coinvolta alcuna rete mobile o connessione a internet: i codici vengono calcolati offline, quindi funzionano anche in modalità aereo.

La differenza fondamentale: nessun numero di telefono

Quel segreto condiviso risiede nell'app, non sulla tua scheda SIM. I tuoi codici sono associati al dispositivo che possiede il segreto, non al tuo numero di telefono, quindi non c'è nulla che un attacco basato sull'operatore possa intercettare.

App comuni

• Google Authenticator — semplice e ampiamente supportata
• Microsoft Authenticator — supporta anche le approvazioni push per gli account Microsoft
• Authy — aggiunge backup crittografato tra dispositivi

Un aggressore avrebbe bisogno del dispositivo stesso per produrre un codice valido. Per questo conviene proteggerlo con un blocco schermo (PIN, impronta o riconoscimento facciale): chi trova o ruba il telefono non deve poter aprire l'app. Un errore frequente durante la configurazione è scansionare il QR due volte o non completare la procedura sul sito: il segreto resta salvato nell'app, ma il sito non lo riconosce, e i codici generati vengono rifiutati. Verifica subito dopo l'attivazione inserendo un codice e controlla che l'accesso riesca. Se cambi telefono, usa la funzione di esportazione o migrazione dell'app prima di cancellare il vecchio dispositivo, altrimenti i segreti andranno persi e dovrai rifare la configurazione sito per sito.

Minaccia 1: SIM Swapping

Il SIM swapping è un attacco mirato direttamente all'2FA basato su SMS. L'attaccante contatta il tuo operatore mobile, fingendosi te, e lo convince a trasferire il tuo numero di telefono su una SIM card sotto il suo controllo. Questo può avvenire tramite una storia convincente, dati personali rubati da una violazione di dati, o un dipendente corrotto. Gli operatori sono incoerenti nella verifica dell'identità, quindi l'attacco riesce più spesso di quanto dovrebbe.

Una volta che il tuo numero è stato trasferito, il telefono dell'attaccante riceve ogni SMS che avresti ricevuto — inclusi i tuoi codici di accesso e i messaggi di reimpostazione della password. Il tuo vero telefono tace. Spesso ti accorgi dell'attacco solo quando il telefono perde improvvisamente il segnale: è il segnale d'allarme più tipico, perché significa che la tua SIM è stata disattivata. In quel caso contatta subito l'operatore con un altro canale e cambia le password degli account più critici.

Le app di autenticazione aggirano completamente il problema. Generano i codici sul tuo dispositivo, legati ai tuoi account, senza alcun numero di telefono coinvolto. Non c'è nulla che un attaccante possa trasferire, e il tuo operatore non può divulgare ciò che non possiede mai. Per difendersi fin da subito, chiedi al tuo operatore una protezione con PIN o password sul profilo: non elimina il rischio, ma aggiunge un ostacolo concreto contro i tentativi più semplici.

Minaccia 2: Phishing

Il phishing aggira i codici SMS con imbarazzante facilità. La vittima clicca un link verso una pagina di login fasulla e convincente e inserisce la propria password. Il sito, controllato dall'attaccante, chiede subito il codice di verifica — e lo cattura. Poiché l'attaccante si trova in mezzo al login, riceve il codice nell'istante in cui la vittima lo digita, molto prima che scada. Accede lui stesso; la vittima vede solo una pagina di errore.

Le app di autenticazione complicano la cosa ma non la prevengono. Un codice temporizzato dura circa 30 secondi, il che riduce la finestra dell'attaccante. I kit di phishing moderni gestiscono la cosa agendo da proxy in tempo reale: rilanciano il codice all'istante, oppure mantengono la sessione aperta e chiedono alla vittima un nuovo codice se il primo è scaduto.

Il segnale d'allarme da imparare a riconoscere: il sito chiede il codice dopo la password, nella stessa pagina o subito dopo, e il link è arrivato via email o SMS non richiesto. Verificare sempre il dominio nella barra degli indirizzi, non solo il logo e il layout. Se un messaggio crea urgenza ("account bloccato entro 24 ore"), è quasi sempre esca.

La lezione: qualsiasi codice digitato su un sito web può essere rubato mentre lo si digita. La durata del codice fissa la scadenza dell'attaccante — nient'altro.

Altre differenze pratiche

Affidabilità. I codici SMS dipendono dal tuo operatore. Segnale debole, modalità aereo o congestione della rete possono ritardare un codice di minuti o bloccarlo del tutto, lasciandoti bloccato a metà dell'accesso. Capita spesso in luoghi affollati come stadi o aeroporti, dove la rete è satura proprio quando devi accedere a un biglietto o una prenotazione.

Costo e viaggi. Le app di autenticazione generano i codici direttamente sul dispositivo. Funzionano offline, in aereo o all'estero, senza costi di roaming. Ricevere SMS dall'estero può essere lento o costoso, e in alcuni paesi gli SMS internazionali arrivano con ore di ritardo, trasformando un accesso di trenta secondi in un'attesa frustrante.

Smarrimento del telefono. Entrambi i metodi legano i codici a un solo dispositivo, ma una configurazione basata solo su SMS è più facile da recuperare in caso di smarrimento: i codici arrivano comunque al tuo numero. Se un telefono con un'app di autenticazione viene perso o ripristinato senza backup, quei codici sono irrecuperabili finché non usi i codici di recupero o la procedura di recupero dell'account del fornitore. Errore comune: cambiare telefono e cancellare la vecchia app prima di aver trasferito gli account.

Batteria e aggiornamenti. Le app richiedono un telefono carico e funzionante. Gli SMS richiedono lo stesso, più il segnale. Un telefono scarico blocca entrambi: tenere un power bank aiuta più di qualsiasi scelta tra SMS e app.

Nessuno dei due è perfetto; le app semplicemente falliscono in meno situazioni.

Il Verdetto: Quale È Più Sicuro

Le app di autenticazione battono gli SMS su entrambe le principali vie d'attacco:

• SIM swapping: i codici SMS sono legati al tuo numero di telefono, che gli attaccanti possono dirottare. I codici delle app risiedono sul tuo dispositivo e non toccano mai la rete telefonica. Un attaccante che ottiene la tua SIM può intercettare i messaggi senza mai toccare il telefono fisico; con un'app, invece, dovrebbe avere accesso diretto al dispositivo sbloccato.
• Phishing: i messaggi di testo rendono facile leggere un codice e incollarlo direttamente in un sito falso. I codici delle app si rinnovano ogni 30 secondi e sono legati a un account specifico, il che riduce la finestra per l'abuso — anche se un phisher determinato può comunque ingannarti per ottenere un codice valido. Errore comune: fidarsi di un codice ricevuto non richiesto. Se arriva un codice quando non stai effettuando l'accesso, qualcuno sta provando a entrare: cambia subito la password.

Detto questo, la 2FA via SMS è molto meglio di niente 2FA. Se l'SMS è l'unica opzione che un sito offre, attivala. Un account senza 2FA dipende solo dalla password, che può essere rubata o indovinata.

Più forte di entrambi: le chiavi di sicurezza hardware, che verificano crittograficamente il sito a cui stai effettuando l'accesso e sono progettate per resistere al phishing. Se un sito le supporta, usane una.

Come passare a un'app di autenticazione

Inizia con i tuoi account più importanti: prima la email, poi la banca, poi tutto il resto. La email viene prima perché chi la controlla può resettare le password di quasi tutti gli altri account.

1. Apri le impostazioni di sicurezza. Cerca "Autenticazione a due fattori", "2FA" o "Sicurezza" in ogni account. Non tutti i servizi supportano le app di autenticazione, quindi verifica prima di pianificare qualsiasi altra cosa. Alcuni li seppelliscono in menu con nomi diversi, come "Verifica in due passaggi".
2. Scegli "App di autenticazione" come metodo. Il sito mostra un codice QR.
3. Scansionalo con la tua app. In Google Authenticator, Authy o simili, tocca il pulsante di aggiunta (+) e punta la fotocamera sul codice. L'account compare nell'app e inizia subito a generare codici. Se non riesci a scansionare il QR, la maggior parte dei siti mostra anche una chiave testuale da digitare manualmente. Errore comune: scansionare il QR con la fotocamera normale del telefono invece che dall'interno dell'app.
4. Salva i codici di backup offline. La maggior parte dei servizi mostra codici di recupero monouso durante la configurazione. Scrivili o conservali in un gestore di password — non in uno screenshot sullo stesso telefono: se perdi il telefono, perdi anche i codici.
5. Conferma prima di rimuovere l'SMS. Inserisci un codice dall'app per verificare che funzioni. Fallo anche dopo qualche ora o al giorno successivo, per escludere problemi di sincronizzazione dell'ora. Solo allora valuta di disattivare i codici via SMS.

Tenere entrambi i metodi attivi per breve tempo va bene; fare affidamento solo sull'SMS no.

Pianificazione del recupero

Perdere il telefono non dovrebbe significare perdere i tuoi account. Pianifica il recupero prima di averne bisogno, perché le opzioni di recupero si configurano solo quando hai ancora accesso: dopo, è troppo tardi.

Salva i tuoi codici di backup

La maggior parte dei servizi mostra un set di codici di backup monouso quando attivi un'app di autenticazione. Conservali offline — stampati su carta o scritti e tenuti in un luogo sicuro, ad esempio insieme ai tuoi documenti importanti. Non lasciarli in uno screenshot, in un'app di note o in un file di testo semplice sullo stesso dispositivo che stai cercando di proteggere: chi ruba il telefono ottiene così anche le chiavi del tuo recupero. Ogni codice funziona una sola volta; se ne usi uno, sostituisci il set dal pannello di sicurezza del servizio.

Mantieni un piano di riserva

• Stampa i tuoi codici di backup e conservali in un luogo sicuro, non nel cassetto della scrivania in ufficio.
• Valuta di registrare un secondo dispositivo, come un tablet, se il servizio consente più autenticatori: copertura doppia in caso di rottura o furto.
• Alcune app offrono backup crittografati o supporto multi-dispositivo — consulta la documentazione della tua app prima di fare affidamento su questa funzione. Verifica anche che i backup richiedano una password o una chiave che conosci, non solo il dispositivo stesso.

Prima di ritirare o cancellare un vecchio telefono

1. Registra di nuovo la tua app di autenticazione sul nuovo dispositivo.
2. Verifica che ogni servizio accetti i codici da essa: prova un login reale, non solo l'aggiunta dell'account.
3. Solo allora cancella il vecchio telefono. Saltare questo passaggio è la causa più comune di blocchi autoinflitti.

Errore frequente: cambiare numero di telefono senza disattivare prima il 2FA via SMS sui vari servizi. Il codice finisce sulla SIM di qualcun altro.

La classifica è semplice: gli SMS battono l'assenza di 2FA, un'app di autenticazione batte gli SMS, e i codici di backup ti salvano quando entrambi falliscono. Configura i tuoi oggi — il recupero funziona solo se lo prepari in anticipo.