'autenticazione silenziosa di rete (SNA) verifica un utente confermando, tramite la rete mobile, che un dispositivo controlla un determinato numero di telefono, utilizzando la crittografia basata sulla SIM, senza bisogno di digitare alcun codice. Rispetto all'OTP via SMS, si completa in pochi secondi, resiste al phishing e aumenta i tassi di completamento, motivo per cui gli enti regolatori e di standardizzazione stanno orientando i flussi ad alta affidabilità verso questa tecnologia entro il 2026.
Come funziona l'autenticazione di rete silenziosa
SNA si basa sull'iniziativa GSMA Open Gateway e sull'API di verifica del numero CAMARA. Invece di inviare un codice, la tua app effettua una richiesta autenticata tramite la connessione dati mobile; l'operatore verifica, utilizzando l'identità crittografica già presente sulla SIM, se il numero dichiarato dall'app corrisponde effettivamente al numero a cui appartiene la sessione dati e restituisce un semplice risultato di corrispondenza/non corrispondenza. All'utente non viene visualizzato nulla e non è richiesto alcun inserimento dati.
L'esperienza utente consiste in una verifica che si risolve silenziosamente in circa uno o quattro secondi. Non c'è alcun SMS da attendere, nessun codice da copiare e, soprattutto, nessun codice che possa essere letto ad alta voce a un truffatore o intercettato. La prova del possesso è la partecipazione della SIM alla sessione di rete, che un malintenzionato da un dispositivo diverso non può falsificare.
Perché gli standard e gli enti regolatori si stanno muovendo
L'OTP via SMS presenta una debolezza strutturale: il segreto è un codice breve che l'utente può essere indotto a rivelare con l'inganno, e il trasporto non è a prova di phishing. Due fattori hanno modificato il quadro normativo nel periodo 2025-2026.
- Lo standard NIST SP 800-63-4, finalizzato nel luglio 2025, considera i codici monouso via SMS come un metodo di autenticazione limitato che, da solo, non soddisfa i requisiti di autenticazione di livello AAL2 (Advanced Level 2) per la resistenza al phishing.
- La Reserve Bank of India ha deciso di richiedere ulteriori fattori di autenticazione, diversi dagli SMS, per i pagamenti digitali, con scadenza di attuazione fissata al 1° aprile 2026.
- La Banca Centrale degli Emirati Arabi Uniti ha stabilito una tempistica per l'eliminazione graduale dell'OTP via SMS per l'autenticazione bancaria, con scadenza prevista al 31 marzo 2026, a favore di metodi più sicuri.
La tendenza è coerente: l'autenticazione tramite SMS (OTP) viene gradualmente eliminata dai flussi di autenticazione a più alto livello di sicurezza, come pagamenti e accesso ai servizi bancari, pur rimanendo accettabile come metodo di sicurezza inferiore o di riserva. L'autenticazione a due fattori (SNA) è uno dei metodi resistenti al phishing destinati a sostituirla.
SNA vs SMS OTP, a confronto
| Dimensione | SMS OTP | Autenticazione di rete silenziosa |
|---|---|---|
| Azione dell'utente | Leggi e digita un codice | Nessuno — silenzioso |
| Tempo tipico per la verifica | 10–30 secondi (inclusa la latenza degli SMS) | ~1–4 secondi |
| Resistenza al phishing | Basso — il codice può essere manipolato socialmente | Alto — nessun segreto condivisibile |
| Tasso di completamento | Linea di base | Circa il 30-40% in più rispetto all'OTP via SMS (dati di settore) |
| Portata | Universale: qualsiasi telefono | Richiede dati mobili e supporto API dell'operatore. |
| Il ruolo migliore | Fattore di riserva/di minore affidabilità | Verifica primaria, resistente al phishing |
La differenza nel tasso di completamento non è marginale: i fornitori che implementano la verifica del numero tramite GSMA Open Gateway segnalano in genere un tasso di completamento superiore del 30-40% rispetto all'OTP via SMS, perché viene eliminata la necessità di attendere e digitare un codice.
Quando usi ancora SMS o chiamate flash
SNA non è universale. Richiede una connessione dati mobile attiva e il supporto dell'API di verifica del numero da parte dell'operatore nel mercato di riferimento. Quando l'utente è connesso al Wi-Fi senza connessione dati cellulare, o si trova su una rete che non ha reso disponibile l'API, SNA non è in grado di risolvere il problema e si rende necessaria una soluzione alternativa.
- Provate prima con SNA, laddove l'operatore e il dispositivo lo supportino: è il metodo più rapido e resistente al phishing.
- Nei casi in cui SNA non sia disponibile, si ricorre all'OTP via SMS, trattandolo come il fattore di affidabilità inferiore previsto dagli standard attuali.
- Considerate la verifica tramite chiamata rapida come soluzione di ripiego intermedia nei mercati e nelle app in cui è consentita.
- Aggiungere ulteriori fattori di sicurezza per i flussi ad alta affidabilità, in modo che nessun singolo metodo, SMS compreso, abbia il peso completo dell'autenticazione.
Lo stack OTP e verifica di BroadNet utilizza SNA come approccio prioritario con fallback automatico tramite SMS, garantendo così la completezza e la resistenza al phishing della verifica del numero laddove disponibile e la copertura garantita ovunque, il tutto da un'unica integrazione.
Come pianificare la migrazione
Iniziate classificando i vostri flussi in base alle esigenze di sicurezza: i flussi di pagamento e di accesso a dati sensibili dovrebbero abbandonare per primi il sistema basato esclusivamente su SMS, in linea con le scadenze della RBI e della Banca Centrale degli Emirati Arabi Uniti. Aggiungete l'autenticazione di rete silenziosa (SNA) come fattore primario, con gli SMS come alternativa, anziché eliminarli completamente: in questo modo si mantiene la copertura e si aumenta la sicurezza. Per i concetti di base, consultate le nostre risposte su Verifica del numero e su cos'è l'autenticazione di rete silenziosa.
Domande frequenti
L'autenticazione silenziosa di rete è più sicura dell'OTP via SMS?
Sì, per la resistenza al phishing. SNA non ha segreti condivisibili: la verifica è dimostrata dalla partecipazione crittografica della SIM alla sessione di rete, quindi non esiste alcun codice che un malintenzionato possa indurre un utente a rivelare o intercettare. Lo standard NIST SP 800-63-4 (finalizzato a luglio 2025) considera l'OTP via SMS non conforme ai requisiti AAL2 di resistenza al phishing.
SNA funziona senza dati mobili o solo con Wi-Fi?
Non in modo affidabile. L'autenticazione silenziosa di rete (SNA) verifica l'identità tramite la connessione dati mobile, quindi un dispositivo connesso al Wi-Fi con i dati cellulari disattivati generalmente non può completare un controllo SNA. Questo è il motivo principale per cui l'OTP via SMS o la chiamata rapida di fallback sono stati mantenuti nel progetto: per coprire gli utenti e i casi in cui l'autenticazione SNA non riesce a risolvere il problema.
Le autorità di regolamentazione stanno davvero vietando gli SMS OTP?
Si sta procedendo alla sua graduale eliminazione dai flussi ad alta affidabilità, piuttosto che a un divieto totale. La Reserve Bank of India ha fissato il 1° aprile 2026 come termine ultimo per l'introduzione di ulteriori fattori di autenticazione non basati su SMS per i pagamenti digitali, mentre la Banca Centrale degli Emirati Arabi Uniti si è posta l'obiettivo di eliminare gradualmente l'OTP via SMS per le operazioni bancarie entro il 31 marzo 2026. Gli SMS rimangono validi come fattore di autenticazione a bassa affidabilità o di riserva.
Quanto migliora SNA il tasso di conversione rispetto a SMS OTP?
Le implementazioni della verifica del numero tramite GSMA Open Gateway registrano in genere un tasso di completamento superiore del 30-40% rispetto all'OTP via SMS. Il vantaggio deriva dall'eliminazione dell'attesa e della digitazione: la verifica si completa silenziosamente in circa uno-quattro secondi, senza richiedere all'utente di ricevere e inserire un codice.
Riferimenti
- NIST — Linee guida SP 800-63-4 sull'identità digitale (versione definitiva, luglio 2025): csrc.nist.gov
- Iniziativa Open Gateway di GSMA: gsma.com
- Progetto CAMARA — API di verifica del numero: camaraproject.org
- Banca Centrale dell'India - comunicazioni regolamentari: rbi.org.in
- Banca Centrale degli Emirati Arabi Uniti: centralbank.ae