Standard di sicurezza SMS OTP 2026: cosa richiedono realmente NIST, PSD2, PCI DSS e le banche centrali

Le password monouso SMS sono limitate, non vietate, nei principali standard del 2026. NIST SP 800-63B-4 (luglio 2025) classifica SMS e i codici vocali come autenticatori "limitati" che sono ancora consentiti presso AAL2 se il fornitore offre un'alternativa e ne spiega il rischio, ma non presso AAL3. Ai sensi di PSD2, l'Autorità Bancaria Europea accetta un SMS OTP come elemento di possesso. PCI DSS 4.0.1 richiede un MFA resistente al replay e non bypassabile senza menzionare SMS. La RBI dell'India ha esplicitamente mantenuto SMS OTP a partire dal 1 aprile 2026. Le restrizioni reali sono più circoscritte: le banche a Singapore, Hong Kong, Malaysia, Emirati Arabi Uniti e Filippine hanno spostato l'accesso o le transazioni ad alto rischio verso l'autenticazione tramite app o dispositivo vincolato. Ogni requisito riportato di seguito rimanda alla relativa fonte.

Le regole in sintesi

NIST SP 800-63B-4: limitato, non vietato

NIST ha pubblicato il SP 800-63B-4 finale a luglio 2025, che sostituisce l'800-63-3. Tratta i codici monouso inviati tramite la rete telefonica pubblica (SMS o voce) come un **autenticatore limitato** (sezione 3.2.9). Un fornitore che ne utilizza uno deve offrire almeno un'alternativa non limitata, fornire agli utenti un avviso significativo sui rischi, tenerne conto nella propria valutazione del rischio e mantenere un piano di migrazione; se la parte affidataria ritiene il rischio inaccettabile, l'autenticatore non deve essere utilizzato.

• **Livelli di garanzia:** i codici out-of-band sono consentiti a AAL2, combinati con una password o un dato biometrico, ma non a AAL3, che richiede autenticatori crittografici resistenti al phishing. I verificatori AAL2 devono offrire almeno un'opzione resistente al phishing.
• **Regole del codice:** almeno 6 cifre generate da un generatore casuale approvato, accettato una sola volta e valido per non più di 10 minuti; blocco dopo non più di 100 tentativi consecutivi falliti.
• **Segnali di rischio:** prima di inviare un codice, i verificatori dovrebbero controllare il cambio di dispositivo, la variazione di SIM e la portabilità del numero (si tratta di una raccomandazione, non di un obbligo).
• L'**email** non deve essere utilizzata come autenticatore out-of-band.

Per i controlli su variazione SIM e portabilità, consultare Number Verify and SIM Swap APIs e SIM swap fraud defence.

CISA: rivolto a soggetti altamente profilati

La Mobile Communications Best Practice Guidance di CISA del 18 dicembre 2024 afferma: "Non utilizzare SMS come secondo fattore di autenticazione", poiché SMS non è crittografato e "non è resistente al phishing e pertanto non costituisce un'autenticazione forte per gli account di individui altamente profilati". Il suo pubblico è composto da alti funzionari governativi e politici, e raccomanda FIDO come unico metodo resistente al phishing. Si tratta di una guida, non di una regola per i servizi consumer.

UE: PSD2 accetta SMS OTP; PSD3 non è ancora legge

Gli standard tecnici regolamentari sull'autenticazione forte del cliente (Regolamento Delegato (UE) 2018/389), applicabili dal 14 settembre 2019, stabiliscono i criteri per qualsiasi password monouso utilizzata nei pagamenti:

• **Articolo 4:** il codice di autenticazione è accettato una sola volta e non può essere contraffatto; al massimo 5 tentativi consecutivi falliti prima del blocco; al massimo 5 minuti di inattività dopo l'accesso.
• **Articolo 5 (collegamento dinamico):** al pagatore vengono mostrati l'importo e il beneficiario, e il codice è specifico per essi; qualsiasi modifica lo invalida.
• **Articolo 7:** gli elementi di possesso devono essere dotati di misure contro l'uso non autorizzato e la duplicazione.
• **Articolo 9:** gli elementi devono essere indipendenti; su un dispositivo multiuso come uno smartphone, sono richiesti l'esecuzione sicura separata e il rilevamento delle manomissioni.

Il EBA ha confermato in Q&A 2018_4039 che un SMS OTP può essere un elemento di possesso se protetto contro la duplicazione, e il suo parere di giugno 2019 elenca OTP tramite SMS come un elemento di possesso valido. PSD3 e il Regolamento sui servizi di pagamento hanno raggiunto un accordo politico nel novembre 2025, ma alla data del 22 ottobre 2026 sono ancora in attesa di adozione finale e pubblicazione; nel testo concordato non abbiamo trovato alcuna disposizione rivolta a SMS OTP.

PCI DSS 4.0.1: SMS non è menzionato

PCI DSS 4.0.1 richiede l'autenticazione a più fattori per ogni accesso all'ambiente dei dati del titolare della carta (requisito 8.4.2) e stabilisce come deve funzionare la MFA (8.5.1): resistente al replay, impossibile da aggirare senza un'eccezione documentata e limitata nel tempo, utilizzando almeno due diversi tipi di fattori, con il requisito che ogni fattore sia necessario per il successo dell'autenticazione. Entrambi sono diventati obbligatori il 31 marzo 2025. Lo standard non proibisce SMS (formulazione riportata; lo standard stesso è soggetto a licenza); il supplemento informativo MFA del PCI SSC riporta solo la precedente cautela di NIST riguardo a SMS.

Regolatori dell'area Asia-Pacifico

• **Singapore:** MAS e l'Association of Banks in Singapore hanno annunciato il 9 luglio 2024 che le principali banche retail avrebbero eliminato gradualmente i OTP per l'accesso entro tre mesi per i clienti dotati di token digitale (rilascio MAS). I clienti con token fisici non sono stati interessati.
• **Hong Kong (banche):** la circolare di HKMA del 14 aprile 2025 rende il dispositivo vincolato lo standard predefinito, invece di SMS OTP, per l'accesso e le transazioni ad alto rischio, con obiettivi previsti nel Q3 e Q4 del 2025. SMS OTP rimane possibile per i clienti senza l'app o che scelgono di aderire (circolare HKMA).
• **Hong Kong (broker e piattaforme di virtual asset):** la circolare SFC 26EC35 del 9 luglio 2026 vieta i OTP per l'accesso dei clienti e il vincolo del dispositivo, a favore di passkey o dispositivi vincolati, entro l'8 luglio 2027.
• **Malaysia:** Bank Negara Malaysia ha richiesto alle istituzioni finanziarie di migrare dai SMS OTP verso un'autenticazione più sicura, come annunciato il 26 settembre 2022 (BNM).
• **India:** le direttive RBI relative ai meccanismi di autenticazione per le transazioni di pagamento digitale del 2025 richiedono l'autenticazione a due fattori con un elemento dinamico a partire dal 1 aprile 2026; la RBI ha dichiarato che il framework "non richiede la dismissione dei OTP basati su SMS" (RBI).
• **Filippine:** la circolare BSP 1213, firmata a maggio 2025, limita l'autenticazione intercettabile come SMS OTP per le grandi istituzioni, richiede metodi biometrici, comportamentali o passwordless per le transazioni ad alto rischio e vieta link e codici QR in SMS, con l'obbligo di conformità entro giugno 2026 (BSP).

Il Golfo

Negli Emirati Arabi Uniti, le banche hanno spostato i clienti dall'autenticazione tramite SMS ed email OTP all'autenticazione in-app tra il 25 luglio 2025 e il 31 marzo 2026, secondo i rapporti relativi alla nota della Banca Centrale; non era disponibile alcun testo pubblico della CBUAE. Gli utenti non bancari negli Emirati Arabi Uniti utilizzano ancora ampiamente SMS OTP. Consultare SMS OTP dopo il divieto bancario e la cronologia della regolamentazione della messaggistica A2P.

Errori comuni

• **"NIST ha vietato SMS."** No. SMS è un autenticatore limitato, consentito presso AAL2 a determinate condizioni ed escluso solo presso AAL3.
• **"PSD2 proibisce SMS OTP."** No. La EBA lo accetta come elemento di possesso; i requisiti stringenti sono il dynamic linking e la protezione contro la replicazione.
• **"PCI DSS 4.0 vieta l'MFA SMS."** No. Richiede un'MFA resistente al replay e non bypassabile e non cita SMS.
• **"CISA ha detto a tutti di smettere di usare SMS."** Esagerato. La guida si rivolge a individui governativi e politici soggetti a attacchi mirati.
• **"PSD3 è già legge."** Non alla data del 22 ottobre 2026.
• **"L'India sta eliminando gradualmente SMS OTP."** No. Il RBI non ha esplicitamente richiesto la sua interruzione.
• **"Singapore ha vietato SMS OTP."** Più specificamente: l'accesso bancario per i clienti dotati di token digitale.

Una checklist per SMS OTP conforme a questi standard

1. 1Generare codici di almeno 6 cifre tramite un generatore casuale crittograficamente sicuro; accettare ogni codice una sola volta; farli scadere entro 10 minuti (5 minuti è lo standard per i pagamenti).
2. 2Limitare i tentativi: PSD2 blocca l'accesso dopo 5 fallimenti consecutivi; NIST consente al massimo 100 tentativi prima del blocco.
3. 3Per i pagamenti nell'UE, mostrare l'importo e il beneficiario nel messaggio e vincolare il codice a essi (dynamic linking).
4. 4Verificare i segnali di variazione SIM e di portabilità del numero prima di inviare un codice a una sessione ad alto rischio.
5. 5Offrire almeno un'alternativa più sicura (notifica push dell'app, passkey, FIDO) e mantenere SMS come canale di fallback e recupero.
6. 6Mantenere il traffico OTP di tipo transazionale: nessun link o offerta nel messaggio contenente il codice; questo garantisce inoltre che rimanga al di fuori degli orari di silenzio del marketing e dei blocchi dei link.
7. 7Inviare tramite rotte dirette e monitorate degli operatori, protette da un firewall SMS, per evitare che i codici vengano intercettati, ritardati o soggetti a SMS pumping.

La OTP API di BroadNet eroga codici attraverso oltre 1.000 connessioni dirette con gli operatori e fallback multicanale; scopri la verifica OTP multicanale, dai SMS OTP alle passkey e, per gli operatori, il firewall SMS e la SS7 protezione.

Domande frequenti

L'SMS OTP è ancora consentito nel 2026?

Sì, nella maggior parte degli standard. NIST SP 800-63B-4 lo classifica come limitato ma consentito presso AAL2, PSD2 lo accetta come elemento di possesso, PCI DSS non lo proibisce e la RBI dell'India lo ha mantenuto. Alcuni regolatori, tra cui la MAS di Singapore, la HKMA di Hong Kong e la BSP delle Filippine, hanno spostato l'accesso bancario o le transazioni ad alto rischio verso metodi più sicuri.

NIST ha vietato l'autenticazione a due fattori SMS?

No. NIST SP 800-63B-4 (luglio 2025) definisce i codici SMS e vocali come autenticatori limitati: i fornitori devono offrire un'alternativa non limitata, spiegare il rischio e valutarlo. SMS è consentito presso AAL2 ma non presso AAL3, che richiede autenticatori resistenti al phishing.

L'SMS OTP PSD2 è conforme?

Può esserlo. Il Q&A 2018_4039 di EBA accetta un SMS OTP come elemento di possesso se è protetto contro la duplicazione e, per i pagamenti, il codice deve essere collegato dinamicamente all'importo e al beneficiario ai sensi dell'Articolo 5 del RTS sulla forte autenticazione del cliente.

PCI DSS 4.0 consente l'uso di SMS per la MFA?

PCI DSS 4.0.1 non nomina né proibisce SMS. I requisiti 8.4.2 e 8.5.1, obbligatori dal 31 marzo 2025, richiedono la MFA per ogni accesso all'ambiente dei dati dei titolari di carta che sia resistente al replay, non aggirabile e che utilizzi almeno due diversi tipi di fattori.

Per quanto tempo dovrebbe essere valida una SMS OTP?

Non più di 10 minuti sotto NIST SP 800-63B-4, e ogni codice può essere utilizzato una sola volta. Molti flussi di pagamento utilizzano 5 minuti o meno, in linea con il limite di inattività di PSD2.

Quali paesi limitano l'uso di SMS OTP per il settore bancario?

Singapore (login bancario per clienti con token digitale, dal 2024), Hong Kong (dispositivi vincolati per impostazione predefinita per login bancario e transazioni ad alto rischio nel 2025; broker entro luglio 2027), Malaysia (migrazione obbligatoria dal 2022), Emirati Arabi Uniti (la OTP bancaria si sposterà in-app entro marzo 2026, come riportato) e Filippine (transazioni ad alto rischio presso grandi istituzioni, entro giugno 2026).

La PSD3 è in vigore?

Non al 22 ottobre 2026. La PSD3 e il Payment Services Regulation hanno raggiunto un accordo politico nel novembre 2025 e sono in attesa di adozione finale e pubblicazione sulla Gazzetta Ufficiale.

Qual è il modo più sicuro per inviare una OTP tramite SMS?

Utilizzare codici monouso di almeno 6 cifre casuali con scadenza in pochi minuti, limitare i tentativi, verificare i segnali di SIM-swap e porting per le sessioni a rischio, evitare link nel messaggio e consegnare tramite rotte dirette degli operatori protette da un firewall SMS, offrendo parallelamente un metodo più sicuro.