Nell’estate del 2026 il codice via SMS, per anni la forma più diffusa di autenticazione a due fattori, sta perdendo terreno a una velocità che pochi analisti avevano previsto. La FIDO Alliance ha annunciato il superamento dei 5 miliardi di passkey attive nel mondo, mentre regolatori bancari da Abu Dhabi a Bruxelles stanno mettendo scadenze precise alla dismissione dell’OTP via SMS. In Italia, la ricerca del termine “autenticazione a due fattori” muove ancora oltre 4.000 query mensili, segno che moltissimi utenti restano confusi su quale metodo scegliere tra SMS, app authenticator, passkey e chiavi di sicurezza hardware. Questo confronto mette a terra dati, tabelle di specifiche, benchmark di sicurezza e una guida pratica alla migrazione, per aiutare sviluppatori, team IT e utenti avanzati a scegliere il metodo giusto senza fidarsi del sentito dire.
Cos’è l’autenticazione a due fattori e perché il metodo scelto conta davvero
L’autenticazione a due fattori (2FA) aggiunge una seconda prova d’identità oltre alla password: qualcosa che l’utente possiede (un telefono, una chiave fisica) o qualcosa che è (un’impronta, il volto). Il problema è che non tutti i “secondi fattori” offrono la stessa protezione. Un codice via SMS dipende da un operatore telefonico che può essere ingannato con una SIM swap. Un’app authenticator genera codici offline, ma un utente distratto può comunque incollarli su un sito di phishing. Una passkey o una chiave di sicurezza hardware, basate sullo standard FIDO2/WebAuthn, legano crittograficamente la sessione al dominio legittimo, rendendo il phishing classico quasi impossibile.
Questa differenza non è teorica. Il NIST, nella revisione dello Special Publication 800-63B, non considera più l’OTP via SMS sufficiente per il livello di garanzia AAL2, citando esplicitamente SIM swap, attacchi al protocollo SS7 e intercettazione degli SMS come rischi concreti. È un cambio di postura importante da parte dell’ente che per anni ha fissato lo standard de facto per l’autenticazione negli Stati Uniti, e che influenza indirettamente anche le linee guida europee su PSD2 e Strong Customer Authentication.
Per chi gestisce un servizio online, oggi la domanda non è più “abilitare o no la 2FA”, ma quale combinazione di metodi offrire come primaria e quale relegare a semplice fallback. Le prossime sezioni confrontano i quattro approcci più diffusi con dati aggiornati al 2026.
SMS OTP: il metodo più diffuso, ma sempre più sconsigliato
Il codice via SMS resta il metodo di 2FA più conosciuto perché non richiede installare nulla: arriva su un numero che l’utente già possiede. Proprio questa comodità ne ha decretato il successo iniziale su banche, social network e provider email. Ma la comodità ha un prezzo. Un attaccante che convince (o corrompe) un operatore telefonico a trasferire un numero su una nuova SIM può intercettare i codici OTP senza toccare il dispositivo della vittima. È lo schema alla base della maggior parte delle frodi da SIM swap documentate negli ultimi anni.
La CISA, nelle sue linee guida sulla MFA resistente al phishing, classifica esplicitamente l’SMS come metodo “phishable”, cioè aggirabile con un semplice sito civetta che chiede all’utente di inserire il codice ricevuto. Anche senza SIM swap, un kit di phishing in tempo reale (adversary-in-the-middle) può catturare il codice OTP nel momento stesso in cui l’utente lo digita, e usarlo per autenticarsi al posto suo entro la finestra di validità, spesso di pochi minuti.
Il caso più citato del 2026 arriva dal settore bancario del Golfo: la banca centrale degli Emirati Arabi Uniti ha imposto agli istituti finanziari sotto la sua giurisdizione di eliminare gli OTP via SMS ed email entro il 31 marzo 2026, spostando contestualmente la responsabilità delle frodi legate a SMS OTP sulle banche stesse, secondo un’analisi di Netguardia. È un segnale chiaro: quando il regolatore fa ricadere il costo della frode su chi continua a usare SMS, l’incentivo a migrare diventa immediato, non più “quando ci sarà tempo”.
Detto questo, l’SMS non è inutile. Come canale di fallback per il recupero account, o per utenti a basso rischio senza smartphone compatibile, resta meglio di nessuna 2FA. Il problema nasce quando è l’unica opzione offerta su account ad alto valore: email aziendali, wallet crypto, pannelli di amministrazione cloud.
App authenticator (TOTP): un passo avanti, non un traguardo
Le app authenticator basate su TOTP (Time-based One-Time Password) come Google Authenticator, Microsoft Authenticator o 1Password generano codici direttamente sul dispositivo, senza passare dalla rete telefonica. Questo elimina di netto il rischio di SIM swap e di intercettazione SS7: non c’è alcun canale telecom da corrompere. Per questo motivo restano oggi lo standard minimo consigliato per chiunque gestisca dati sensibili e non abbia ancora accesso a passkey o chiavi hardware.
Il limite delle app TOTP è che il codice generato è comunque un segreto condiviso: un numero a 6 cifre che l’utente digita manualmente. Un sito di phishing costruito bene può chiedere quel codice esattamente come farebbe il sito legittimo, e un utente di fretta può non accorgersi della differenza. Gli attacchi “prompt bombing”, che bersagliano app authenticator basate su push notification piuttosto che su codice numerico, sfruttano lo stesso principio: bombardare l’utente di richieste di conferma finché non ne approva una per stanchezza o distrazione.
Una ricerca pubblicata nel 2026 riassume bene la posizione delle app TOTP nella gerarchia della sicurezza, secondo l’analisi OTP Authentication in 2026: Pros, Cons, and Better Alternatives: i codici via SMS o email restano meglio di niente ma sono aggirabili e sempre più scoraggiati dai regolatori, mentre i codici e le notifiche push delle app authenticator sono più solidi dell’SMS ma restano comunque esposti al phishing in tempo reale. Tradotto: le app authenticator chiudono la porta più semplice (SIM swap) ma lasciano aperta quella più sofisticata (phishing in tempo reale).
Per un team di sviluppo che deve scegliere in fretta cosa implementare, le app TOTP restano comunque la scelta più pragmatica quando i passkey non sono ancora disponibili su tutti i client: costano poco da integrare (librerie open source mature esistono per praticamente ogni linguaggio), non richiedono hardware dedicato e offrono già un salto di sicurezza netto rispetto all’SMS.
Passkey: l’autenticazione passwordless è arrivata a scala globale
Le passkey, basate sullo standard FIDO2/WebAuthn, sostituiscono completamente la password con una coppia di chiavi crittografiche: quella privata resta sul dispositivo (spesso protetta da biometria o PIN), quella pubblica è condivisa con il servizio. Non essendoci alcun segreto digitato dall’utente, non c’è nulla che un sito di phishing possa rubare con l’inganno: la chiave privata semplicemente non lascia mai il dispositivo, e il protocollo verifica automaticamente che il dominio richiedente sia quello legittimo.
I numeri del 2026 raccontano un’adozione che ha superato la fase sperimentale. Secondo il report The State of Passkeys 2026 della FIDO Alliance, il 90% dei consumatori a livello globale conosce ormai le passkey, il 75% ne ha attivata almeno una su un account e circa il 49% le usa regolarmente quando disponibili. Sul fronte aziendale, il 68% delle organizzazioni sta distribuendo, pilotando o implementando passkey per l’autenticazione dei dipendenti.
Il traguardo simbolico è arrivato con il World Passkey Day 2026: la FIDO Alliance ha comunicato il superamento dei 5 miliardi di passkey in circolazione nel mondo. Il Passkey Index, sempre di FIDO Alliance, aggiunge un dettaglio che interessa direttamente chi sviluppa prodotti digitali: in media il 93% degli account presso i servizi partecipanti è tecnicamente idoneo alle passkey, ma solo il 36% degli account ne ha effettivamente una registrata, e appena il 26% dei login totali le utilizza già, secondo i dati del FIDO Alliance Passkey Index. Il divario tra idoneità tecnica e adozione reale è la vera sfida del 2026: la tecnologia c’è, ma l’onboarding degli utenti resta il collo di bottiglia.
Un’analisi di Descope sul report FIDO 2026 nota inoltre che la consapevolezza dei consumatori è salita al 90% globale, in crescita dal 75% registrato nel report World Passkey Day 2025, un aumento di 15 punti percentuali in un solo anno che conferma quanto velocemente il tema sia entrato nel dibattito pubblico, complice anche la spinta di Apple, Google e Microsoft sui rispettivi ecosistemi.
Chiavi di sicurezza hardware: il livello massimo per gli account critici
Le chiavi di sicurezza hardware (dispositivi USB-A, USB-C o NFC come YubiKey o Titan Security Key) condividono con le passkey lo stesso fondamento crittografico FIDO2, ma isolano la chiave privata in un chip dedicato, fisicamente separato dal sistema operativo del computer o dello smartphone. Questo le rende la scelta preferita per amministratori di sistema, sviluppatori con accesso a infrastrutture di produzione e chiunque gestisca fondi crypto o segreti aziendali di alto valore.
Il vantaggio rispetto a una passkey sincronizzata via cloud (per esempio tramite iCloud Keychain o Google Password Manager) è l’assenza totale di superficie d’attacco cloud: anche se l’account Apple o Google dell’utente venisse compromesso, la chiave privata sulla chiavetta fisica resterebbe inattingibile da remoto. Lo svantaggio, altrettanto reale, è la gestione fisica dell’oggetto: va acquistato, portato con sé, e va previsto un piano di backup (tipicamente una seconda chiave conservata in un luogo sicuro) in caso di smarrimento.
Per questo motivo le chiavi hardware raramente sostituiscono le passkey su base cloud per il grande pubblico: restano lo standard per profili ad alto rischio, mentre le passkey sincronizzate coprono l’utente medio con un compromesso migliore tra sicurezza e comodità.
Tabella comparativa: SMS OTP vs App Authenticator vs Passkey vs Chiave Hardware
| Caratteristica | SMS OTP | App Authenticator (TOTP) | Passkey (FIDO2 sync) | Chiave di sicurezza hardware |
|---|---|---|---|---|
| Resistenza al phishing classico | Nessuna | Bassa | Alta (dominio verificato) | Massima (dominio verificato) |
| Rischio SIM swap | Alto | Nessuno | Nessuno | Nessuno |
| Rischio intercettazione SS7 | Sì | No | No | No |
| Funziona offline | No (serve rete telefonica) | Sì | Sì (con dispositivo sbloccato) | Sì |
| Costo per l’utente | 0€ (incluso nel piano telefonico) | 0€ (app gratuite) | 0€ (integrata nel sistema operativo) | 25-70€ per chiave |
| Facilità di configurazione | Molto alta | Media | Alta (su dispositivi recenti) | Media (richiede acquisto) |
| Backup in caso di smarrimento dispositivo | Cambio SIM (rischioso) | Codici di recupero manuali | Sincronizzazione cloud automatica | Seconda chiave fisica necessaria |
| Idoneità media account (2026) | ~100% | ~95% | 93% (FIDO Passkey Index) | Variabile per servizio |
| Adozione reale sui login (2026) | In calo | Stabile | 26% dei login totali | Nicchia (utenti avanzati) |
| Consigliato per | Fallback/recupero account | Account personali standard | Account personali e aziendali | Admin, crypto, infrastrutture critiche |
| Standard di riferimento | Nessuno specifico | RFC 6238 (TOTP) | FIDO2/WebAuthn | FIDO2/WebAuthn + U2F |
| Postura NIST/CISA | Sconsigliato per AAL2+ | Accettabile, non phishing-resistant | Phishing-resistant | Phishing-resistant |
Benchmark di sicurezza: cosa dicono i dati reali su phishing e frodi
Al di là delle caratteristiche tecniche sulla carta, i numeri raccolti da più fonti indipendenti nel 2025-2026 confermano una gerarchia chiara. L’analisi OTP Authentication in 2026 conferma che il NIST SP 800-63B non considera più l’SMS sufficiente per il livello AAL2, e che la CISA classifica esplicitamente l’SMS come metodo “phishable” nelle proprie linee guida sulla MFA resistente al phishing, raccomandandolo solo come canale di fallback o per account a basso impatto.
Sul fronte velocità e usabilità, più fonti del settore riportano che il login tramite passkey è significativamente più rapido di un flusso tradizionale password più OTP, perché elimina i passaggi di digitazione manuale del codice e il tempo di attesa per la ricezione dell’SMS. Il report FIDO Alliance e HID Global citato da più testate di settore nel 2026 segnala che il 69% dei consumatori possiede già almeno una passkey attiva, in crescita dal 39% registrato nel 2024, un raddoppio in circa due anni che segna probabilmente il passaggio più rapido mai osservato per una tecnologia di autenticazione di massa.
Sul fronte aziendale, i dati raccolti da FIDO Alliance sul programma Passkey Pledge indicano che il 68% delle organizzazioni ha già distribuito o sta pilotando le passkey per i propri dipendenti, un dato in linea con quanto riportato al RSA Conference 2026 dalla stessa FIDO Alliance insieme a TeleTrusT, dove è emerso che l’87% degli intervistati ha già implementato o sta implementando passkey, e il 68% considera il progetto una priorità alta o critica per la propria organizzazione.
Il quadro complessivo che emerge da queste fonti incrociate è coerente: SMS in calo strutturale, TOTP stabile come piano intermedio, passkey in crescita a doppia cifra anno su anno sia lato consumer sia lato enterprise.
Tabella prezzi: quanto costa davvero implementare ogni metodo
| Metodo | Costo utente finale | Costo lato azienda (per servizio SMS/API) | Costo integrazione sviluppo | Costo manutenzione a lungo termine |
|---|---|---|---|---|
| SMS OTP | 0€ (salvo roaming) | Da 0,01€ a 0,08€ per SMS inviato, a seconda del provider e del paese | Basso (API SMS gateway standard) | Costo variabile e crescente con il numero di utenti |
| App Authenticator (TOTP) | 0€ | 0€ (nessun costo per invio) | Basso-medio (libreria TOTP open source) | Basso, nessun costo ricorrente per verifica |
| Passkey (FIDO2 sync) | 0€ | 0€ per l’infrastruttura base, costi opzionali per servizi enterprise di gestione identità | Medio (integrazione WebAuthn, gestione fallback) | Basso una volta implementata, riduce i costi di supporto per reset password |
| Chiave di sicurezza hardware | 25-70€ per chiave (consigliata una di backup) | Eventuale sussidio aziendale per dipendenti ad alto rischio | Medio (supporto protocollo U2F/FIDO2) | Basso, ma richiede logistica di distribuzione e sostituzione |
Un punto spesso sottovalutato nei confronti sui costi: l’SMS è l’unico metodo tra i quattro con un costo variabile che cresce linearmente con la base utenti, ed è anche il più esposto a un attacco specifico e redditizio, il toll fraud, in cui un attore malevolo genera invii massivi di OTP verso numeri premium per far lievitare la bolletta del servizio preso di mira. Passkey e app authenticator eliminano completamente questo vettore di costo, un argomento che spesso pesa più della sicurezza pura nelle decisioni di adozione da parte dei CFO.
5 casi reali che mostrano perché il metodo di 2FA fa la differenza
1. Banca centrale degli Emirati Arabi Uniti, marzo 2026. Il regolatore ha imposto agli istituti finanziari di eliminare gli OTP via SMS ed email entro il 31 marzo 2026, spostando la responsabilità delle frodi legate a SMS OTP sulle banche stesse. È il primo caso di un regolatore che rende l’SMS economicamente sconveniente da mantenere, non solo tecnicamente sconsigliato.
2. Adozione enterprise delle passkey, dati RSA Conference 2026. Il report presentato da FIDO Alliance e TeleTrusT alla RSA Conference 2026 ha mostrato un caso con oltre 200 milioni di utenti registrati a passkey e una riduzione del 3% negli OTP via SMS inviati, un segnale concreto di come la migrazione stia iniziando a produrre risparmi misurabili anche su larga scala.
3. Il divario tra idoneità e adozione, FIDO Passkey Index. Con il 93% degli account tecnicamente pronti per le passkey ma solo il 36% con una passkey effettivamente registrata, il caso dimostra che il problema nel 2026 non è più tecnologico: è di comunicazione e onboarding verso l’utente finale.
4. Crescita del possesso di passkey lato consumer. Il balzo dal 39% del 2024 al 69% del 2026 nel possesso di almeno una passkey attiva, riportato da ricerche FIDO Alliance e HID Global, mostra come la spinta arrivata dai grandi produttori di sistemi operativi (prompt di attivazione integrati in iOS, Android e Windows) abbia accelerato l’adozione più di qualunque campagna di sensibilizzazione isolata.
5. Priorità organizzativa della migrazione. L’87% delle organizzazioni intervistate al RSA Conference 2026 ha dichiarato di aver già distribuito o di essere in fase di distribuzione delle passkey, con il 68% che la definisce priorità alta o critica: un dato che segnala come la migrazione non sia più percepita come un progetto IT opzionale, ma come parte della gestione del rischio aziendale corrente.
Quale metodo scegliere: scenari d’uso pratici
Sviluppatore con accesso a repository e infrastrutture di produzione. Chiave di sicurezza hardware come metodo primario, passkey come secondo dispositivo di backup. Il costo di 25-70€ è trascurabile rispetto al danno potenziale di una compromissione delle credenziali di deploy.
Utente privato su email personale e social network. Passkey dove disponibile, app authenticator come alternativa sui servizi che non la supportano ancora. L’SMS va mantenuto solo come canale di recupero account, mai come metodo primario.
Azienda che gestisce l’autenticazione di centinaia di dipendenti. Passkey aziendali gestite tramite un provider di identità centralizzato (Single Sign-On), con chiavi hardware riservate a chi ha accesso a sistemi critici o dati sensibili. Il dato dell’87% di organizzazioni già in fase di adozione, emerso alla RSA Conference 2026, indica che questo è ormai lo standard di mercato, non un’eccezione.
Titolare di wallet o exchange crypto. Chiave di sicurezza hardware obbligatoria, mai SMS: il settore crypto resta tra i bersagli preferiti per gli attacchi SIM swap proprio per l’alto valore dei fondi movimentabili in poche transazioni.
Utente senza smartphone recente o con connettività limitata. App authenticator su dispositivo secondario più economico, oppure SMS come extrema ratio con consapevolezza dei limiti. In questo scenario resta comunque preferibile qualunque 2FA rispetto a nessuna.
Servizio bancario o fintech soggetto a PSD2/SCA in Europa. Passkey o app authenticator come metodo primario per la Strong Customer Authentication, con l’SMS in progressiva dismissione seguendo l’esempio dei regolatori del Golfo che hanno già fissato scadenze vincolanti.
Italia ed Europa: a che punto siamo con la migrazione
Il quadro normativo europeo arriva da una direzione diversa rispetto a quello statunitense, ma converge sullo stesso obiettivo. La PSD2 e la relativa Strong Customer Authentication impongono già da anni ai servizi finanziari l’uso di almeno due fattori indipendenti per i pagamenti online, e le linee guida dell’EBA (European Banking Authority) lasciano ampio margine agli istituti su quale combinazione di fattori adottare. Questo ha permesso all’SMS di sopravvivere più a lungo in Europa che in altri mercati, complice anche una minore pressione regolatoria diretta rispetto alle scadenze fissate da singoli regolatori come quello degli Emirati Arabi Uniti.
In Italia, il volume di ricerca resta un indicatore utile del livello di confusione degli utenti: il termine “autenticazione a due fattori” genera oltre 4.000 ricerche mensili, con varianti legate a servizi specifici come Instagram, Facebook, Gmail e WhatsApp che raccolgono ulteriori centinaia di query ciascuna. Questo suggerisce che buona parte del pubblico italiano sta ancora cercando istruzioni di base su come attivare la 2FA, non su quale metodo scegliere tra passkey e chiave hardware: un segnale che la fase di adozione di massa in Italia è indietro rispetto ai dati di consapevolezza globale del 90% riportati da FIDO Alliance.
Le banche italiane più grandi hanno comunque iniziato a proporre attivamente le passkey come alternativa all’app di autenticazione proprietaria per l’accesso ai servizi di home banking, seguendo la stessa traiettoria vista nel resto d’Europa. La differenza rispetto al caso della banca centrale degli Emirati Arabi Uniti è che qui non esiste ancora una scadenza vincolante per la dismissione dell’SMS: la transizione, per ora, resta guidata dal mercato più che dalla legge. Con la spinta di Apple, Google e Microsoft sui rispettivi sistemi operativi, che ormai propongono l’attivazione della passkey come opzione predefinita durante il login, è plausibile che l’adozione italiana recuperi terreno rapidamente nei prossimi 12-18 mesi, ricalcando la curva già osservata in mercati come Francia, Germania e Regno Unito.
Errori comuni quando si implementa la 2FA
Chi sviluppa il flusso di autenticazione di un servizio commette spesso alcuni errori ricorrenti che vanificano il vantaggio di sicurezza offerto da passkey e chiavi hardware. Conoscerli in anticipo evita di dover rifare il lavoro dopo un incidente.
Il primo errore è lasciare l’SMS come fallback universale anche dopo aver attivato la passkey. Se un attaccante può sempre “retrocedere” al metodo più debole semplicemente cliccando su “non riesci ad accedere con la passkey?”, l’intero investimento in sicurezza crolla: il sistema è forte solo quanto il suo anello più debole, e in questo caso l’anello più debole resta sempre disponibile. La soluzione è limitare il fallback SMS a un numero ristretto di tentativi, con verifiche aggiuntive (per esempio una domanda di sicurezza o un periodo di attesa) prima di consentire il downgrade.
Il secondo errore riguarda la gestione dei codici di recupero delle app authenticator: molti servizi li generano una sola volta al momento dell’attivazione e non offrono un modo semplice per rigenerarli, spingendo gli utenti a salvarli in luoghi poco sicuri come note nel cloud non cifrate o screenshot sul telefono. Un buon flusso di recupero dovrebbe permettere la rigenerazione dei codici in qualsiasi momento, con notifica immediata all’utente se i vecchi codici vengono invalidati.
Il terzo errore è sottovalutare il supporto multi-dispositivo per le passkey aziendali. Un dipendente che perde il laptop aziendale e non ha registrato una passkey di backup su un secondo dispositivo può restare bloccato fuori da sistemi critici per ore, generando un costo di produttività che spesso supera quello di un attacco di phishing andato a segno. Le aziende che hanno completato con successo la migrazione, secondo i dati raccolti alla RSA Conference 2026, tendono a richiedere la registrazione di almeno due metodi phishing-resistant fin dal primo giorno.
Guida alla migrazione: come passare da SMS a passkey senza bloccare gli utenti
Migrare un servizio esistente dall’SMS a metodi phishing-resistant richiede un percorso graduale, non un interruttore acceso o spento. Ecco i passaggi che i team di sicurezza stanno seguendo nel 2026.
- Passo 1: mappare gli account ad alto rischio. Identificare admin, sviluppatori e chiunque abbia accesso a dati sensibili: sono i primi a dover migrare a passkey o chiave hardware.
- Passo 2: attivare le passkey come opzione, non come obbligo immediato. Aggiungere il supporto WebAuthn e proporre l’attivazione della passkey al login, senza rimuovere subito le alternative esistenti.
- Passo 3: usare i codici di recupero, non l’SMS, come fallback. Generare codici di backup monouso al momento dell’attivazione della passkey, da conservare offline.
- Passo 4: introdurre le app authenticator per chi non ha ancora un dispositivo compatibile con le passkey. Non tutti i dispositivi legacy supportano WebAuthn: l’app TOTP resta il ponte intermedio.
- Passo 5: monitorare il tasso di adozione con dati reali. Il FIDO Passkey Index mostra che il divario tra idoneità (93%) e adozione (36%) è il vero collo di bottiglia: servono promemoria periodici e non un singolo prompt.
- Passo 6: fissare una data di disattivazione dell’SMS come metodo primario. Seguendo l’esempio della banca centrale degli Emirati Arabi Uniti, comunicare con largo anticipo (60-90 giorni) la data in cui l’SMS non sarà più accettato come primo fattore su account critici.
- Passo 7: formare il supporto clienti sui nuovi flussi di recupero. Le richieste di assistenza cambiano natura quando si passa da “non ricevo l’SMS” a “ho perso il telefono con la passkey”: serve un playbook aggiornato.
Compatibilità dei dispositivi nel 2026: cosa serve davvero
Un ostacolo pratico che frena ancora la migrazione completa verso le passkey è la frammentazione dei dispositivi in circolazione. Le passkey richiedono un sistema operativo relativamente recente e un browser aggiornato per funzionare correttamente: le versioni moderne di iOS, Android, Windows e macOS le supportano nativamente, ma un parco dispositivi aziendale con hardware più datato può avere lacune significative. Per questo motivo molte aziende procedono con un audit dell’inventario dispositivi come primo passo formale, prima ancora di iniziare la comunicazione agli utenti finali.
Le chiavi di sicurezza hardware, al contrario, offrono un vantaggio pratico proprio in questo scenario: funzionano tramite USB o NFC su qualsiasi dispositivo con una porta o un lettore compatibile, indipendentemente dalla versione del sistema operativo, purché il browser supporti lo standard WebAuthn. Questo le rende una soluzione ponte utile per organizzazioni che gestiscono flotte di dispositivi eterogenee e non possono aggiornare tutto l’hardware in tempi brevi.
Le app authenticator restano invece la soluzione più universale in termini di compatibilità: funzionano su praticamente qualunque smartphone con più di cinque anni di vita, non richiedono hardware aggiuntivo e sono disponibili gratuitamente sia su App Store che su Google Play. È anche per questo che, nonostante il phishing rimanga un rischio, molte aziende scelgono di mantenerle come piano B ufficiale durante tutta la fase di transizione verso le passkey, invece di eliminarle bruscamente in favore dell’SMS come unico fallback.
Un ultimo aspetto da considerare riguarda i browser: Chrome, Safari, Edge e Firefox supportano ormai tutti lo standard WebAuthn per le passkey, ma le implementazioni differiscono leggermente nel modo in cui gestiscono la sincronizzazione cross-device. Chi sviluppa un flusso di login dovrebbe testare l’esperienza su tutte le combinazioni principali di sistema operativo e browser prima di rendere le passkey l’opzione predefinita, per evitare che un sottoinsieme di utenti si trovi bloccato per un problema di compatibilità piuttosto che di sicurezza.
Pro e contro di ciascun metodo a confronto
SMS OTP
Pro: nessuna installazione richiesta, comprensibile per qualunque utente, funziona su ogni telefono con rete cellulare. Contro: vulnerabile a SIM swap e intercettazione SS7, classificato come “phishable” da CISA, sempre più escluso dai regolatori per servizi ad alto rischio, costo variabile per invio.
App Authenticator (TOTP)
Pro: nessun rischio SIM swap, gratuito, funziona offline, standard aperto (RFC 6238) supportato ovunque. Contro: ancora vulnerabile al phishing in tempo reale, richiede backup manuale dei codici di recupero, un dispositivo perso senza backup può bloccare l’accesso.
Passkey (FIDO2 sync)
Pro: phishing-resistant per design, nessun segreto digitato dall’utente, sincronizzazione automatica tra dispositivi, adozione ormai al 69% tra i consumatori. Contro: non tutti i servizi la supportano ancora, dipende dall’ecosistema cloud del produttore (Apple, Google, Microsoft), gap ancora ampio tra idoneità (93%) e adozione reale (36%) secondo FIDO Alliance.
Chiave di sicurezza hardware
Pro: massima resistenza al phishing, chiave privata isolata fisicamente, nessuna dipendenza da account cloud. Contro: costo diretto per l’utente (25-70€), richiede una seconda chiave di backup, oggetto fisico che può essere dimenticato o smarrito.
Verdetto: quale 2FA vince nel 2026 e perché
I dati raccolti in questo confronto convergono su una conclusione chiara. Per la maggior parte degli utenti e delle aziende, le passkey sono oggi il miglior compromesso tra sicurezza e usabilità: eliminano il phishing per design, non hanno costi diretti e sono già attive su 5 miliardi di dispositivi nel mondo secondo FIDO Alliance. Per chi gestisce account a rischio estremo, come infrastrutture di produzione o wallet crypto, le chiavi di sicurezza hardware restano lo standard più solido, con l’unico costo reale rappresentato dal prezzo dell’hardware stesso.
Le app authenticator restano una scelta ragionevole di transizione dove le passkey non sono ancora supportate, offrendo un salto di sicurezza netto rispetto all’SMS a costo zero. L’SMS OTP, invece, andrebbe ormai relegato al ruolo di semplice canale di recupero account: i dati NIST e CISA, uniti alle scadenze regolatorie già fissate da alcune banche centrali, indicano che il suo status di “metodo primario accettabile” è ormai agli sgoccioli. Chi gestisce un servizio digitale nel 2026 dovrebbe pianificare la disattivazione dell’SMS come primo fattore entro la fine dell’anno, seguendo la traiettoria già tracciata dai regolatori più aggressivi.
Domande frequenti sull’autenticazione a due fattori
Le passkey sostituiscono completamente la password?
Sì, quando un servizio le supporta pienamente. La passkey elimina la password dal flusso di login: non esiste più un segreto da digitare o da rubare, sostituito da una coppia di chiavi crittografiche verificate tramite il dispositivo dell’utente.
Cosa succede se perdo il telefono con la mia passkey?
Le passkey moderne si sincronizzano automaticamente tramite il servizio cloud del produttore (iCloud Keychain, Google Password Manager, Microsoft Account), quindi restano accessibili da un nuovo dispositivo collegato allo stesso account. È comunque consigliato registrare più di un metodo di autenticazione per evitare blocchi in caso di problemi con l’account cloud stesso.
L’app authenticator è più sicura dell’SMS?
Sì, in modo significativo. L’app authenticator elimina il rischio di SIM swap e intercettazione della rete telefonica, entrambi vettori attivi contro l’SMS. Resta comunque vulnerabile al phishing in tempo reale, quindi non è al livello di protezione di una passkey o di una chiave hardware.
Vale la pena comprare una chiave di sicurezza hardware per un utente privato?
Dipende dal profilo di rischio. Per un account email personale una passkey è già sufficiente. Per wallet crypto, account con accesso a infrastrutture aziendali o profili pubblici a rischio di attacchi mirati, il costo di 25-70€ per una chiave hardware (più una seconda di backup) è un investimento ragionevole.
Perché i regolatori stanno abbandonando l’SMS come metodo di autenticazione?
Perché l’SMS non protegge da SIM swap, attacchi SS7 e phishing in tempo reale. Il NIST non lo considera più sufficiente per il livello di garanzia AAL2, e alcuni regolatori bancari, come la banca centrale degli Emirati Arabi Uniti, hanno già fissato scadenze precise per la sua dismissione, spostando la responsabilità delle frodi sugli istituti che continuano a usarlo.
Le passkey funzionano anche senza connessione internet?
La verifica locale della passkey (sblocco tramite biometria o PIN sul dispositivo) funziona offline, ma la comunicazione con il servizio online per completare il login richiede comunque una connessione attiva, esattamente come qualunque altro metodo di autenticazione web.
Qual è la differenza pratica tra una passkey e una chiave di sicurezza hardware?
Entrambe usano lo stesso standard FIDO2/WebAuthn, ma la passkey sincronizzata vive nell’ecosistema cloud del produttore del dispositivo (comoda, ma con una minima superficie d’attacco legata all’account cloud), mentre la chiave hardware isola fisicamente la chiave privata in un chip dedicato, senza alcuna dipendenza da servizi cloud esterni.
Le aziende italiane sono obbligate a offrire passkey ai clienti?
Non ancora per legge in modo esplicito, ma la normativa PSD2 sulla Strong Customer Authentication già spinge verso metodi resistenti al phishing per i servizi finanziari, e la tendenza regolatoria osservata in altri mercati suggerisce che requisiti più stringenti sull’SMS potrebbero arrivare anche in Europa nei prossimi anni.
Related Coverage
- Passkey vs Password: 5 Miliardi di Chiavi FIDO [2026]
- Italia Sotto Ransomware: 15 Vittime in 7 Giorni [2026]
- Patch Tuesday: Microsoft Cura 751 CVE, 108 Critici [2026]
- OWASP Top 10 2025 vs API Security Top 10: 10 vs 10
- CISA KEV: 7 Falle Aggiunte, 5 Hanno Oltre 15 Anni [2026]
- Tutte le notizie di sicurezza informatica
