Che cos'è l'autenticazione OTP? Come funziona, rischi e alternative (2026)

I codici di accesso monouso (OTP) sono da oltre vent'anni un pilastro della sicurezza online. Se avete mai ricevuto un codice a sei cifre via SMS per accedere al vostro conto bancario, ne avete già utilizzato uno. Tuttavia, con l'aumentare della sofisticazione degli attacchi informatici, la domanda che le organizzazioni e i team di sicurezza si pongono non è più «dovremmo usare gli OTP?», ma «gli OTP sono ancora abbastanza sicuri?».

Questo articolo spiega cos'è l'autenticazione tramite OTP, come funzionano i diversi tipi, quali rischi specifici comportano e perché la verifica biometrica del volto sta sostituendo sempre più gli OTP come metodo di autenticazione preferito per i casi d'uso che richiedono un elevato livello di sicurezza.

Che cos'è l'OTP? Significato e definizione

Un OTP è un codice generato dal computer, valido per una singola sessione di autenticazione e che scade dopo un breve lasso di tempo – in genere da 30 a 120 secondi – oppure immediatamente dopo l'uso.

A differenza di una password statica, che rimane invariata finché l'utente non la modifica, un OTP è unico ogni volta. Ciò elimina il rischio di attacchi di tipo "replay" delle credenziali, in cui un malintenzionato riutilizza una password intercettata. Gli OTP vengono inviati tramite SMS, e-mail, un'app di autenticazione o un dispositivo token hardware.

L'autenticazione OTP viene comunemente utilizzata come componente dell'autenticazione a più fattori (MFA), soddisfacendo il fattore di possesso, ovvero il livello di sicurezza basato su «ciò che si possiede». Si parte dal presupposto che solo l'utente legittimo abbia accesso al dispositivo o alla casella di posta elettronica che riceve il codice.

Come funziona l'OTP?

Il processo OTP di base si articola in tre fasi:

1. L'utente tenta di effettuare l'accesso o di completare una transazione.
2. Il sistema genera un codice univoco e a durata limitata e lo invia al dispositivo o all'indirizzo e-mail registrati dall'utente.
3. L'utente inserisce il codice per autenticarsi. La sessione viene concessa se il codice corrisponde e non è scaduto.

Gli OTP vengono generati utilizzando uno dei due algoritmi sottostanti:

• HOTP (password monouso basata su HMAC): il codice viene generato in base a un contatore che aumenta ad ogni evento di autenticazione. Il codice rimane valido fino al suo utilizzo, anziché scadere dopo un determinato periodo di tempo.
• TOTP (Time-Based One-Time Password):il codice viene generato in base all'ora corrente e scade dopo un intervallo prestabilito, solitamente di 30 secondi. Le app di autenticazione come Google Authenticator utilizzano il sistema TOTP.

Nel caso degli OTP via SMS, non viene utilizzato nessuno dei due algoritmi: il codice viene semplicemente generato dal server e trasmesso tramite la rete mobile, senza alcun collegamento crittografico con il dispositivo dell'utente.

Le principali tipologie di autenticazione OTP

• SMS OTP: un codice monouso inviato al tuo numero di cellulare tramite SMS. È il formato più diffuso, ma anche il più vulnerabile.
• Codice OTP via e-mail:un codice inviato alla casella di posta elettronica registrata. Comodo, ma dipende dalla sicurezza dell'account e-mail.
• TOTP (Time-Based, App-Generated): un codice a rotazione generato da un'app di autenticazione (Google Authenticator, Microsoft Authenticator, Authy). Più sicuro degli SMS perché non viene trasmesso tramite la rete telefonica. Di solito ha una validità di 30 secondi.
• HOTP (basato su contatore): un codice che aumenta di valore ad ogni utilizzo anziché scadere dopo un determinato periodo di tempo. Utilizzato in alcune implementazioni di token hardware.
• Token hardware:un dispositivo fisico dedicato (non uno smartphone) che visualizza un codice monouso. Sono comunemente utilizzati in ambito aziendale e nei servizi finanziari.

Autenticazione OTP: Qual è il problema?

Mela Abesamis si era sempre considerata attenta quando si trattava di sicurezza informatica. Conosceva bene gli attacchi di phishing e altre tattiche di frode comuni e sapeva come individuarli. Era anche abituata a ricevere dalla sua banca i codici OTP (One Time Passcode), inviati via SMS al suo dispositivo mobile per autenticare la sua identità.

Ma poi, nel dicembre 2021, Mela ha ricevuto un messaggio dalla sua banca in cui le veniva comunicato che 50.025 pesos filippini (circa 950 dollari) erano stati trasferiti dal suo conto a un certo Mark Nagoyo. Questa è stata la prima e unica indicazione che ha ricevuto del fatto che fosse stato effettuato un trasferimento di denaro. Non aveva mai sentito parlare di Mark Nagoyo, di certo non aveva effettuato il pagamento e non aveva ricevuto un codice di sicurezza monouso durante la transazione.

Non era l'unica. La frode ha colpito oltre 700 titolari di conti. In filippino, la parola «nagoyo» significa «prendere in giro qualcuno».

Alla fine, cinque persone sono state incriminate per questa truffa. I truffatori hanno utilizzato tecniche di phishing per ottenere le credenziali di accesso ai conti bancari. Sono poi riusciti a eludere completamente i controlli di sicurezza basati su OTP della banca – le vittime hanno riferito che le transazioni sono state elaborate senza che venisse richiesto alcun codice OTP – e a svuotare i conti bancari delle persone.

La banca ha rimborsato gli importi in questione, ma questo non ha compensato completamente l'esperienza traumatica delle vittime.

Questo è solo un esempio di come l'autenticazione OTP stia diventando sempre meno un ostacolo per gli hacker, sempre più sofisticati. Questo articolo analizza nel dettaglio come funzionano questi attacchi e quali sono le alternative più sicure.

Gli OTP sono sicuri?

I codici OTP sono più sicuri delle sole password statiche. Poiché ogni codice è unico e ha una validità limitata nel tempo, la sua intercettazione non fornisce all'autore dell'attacco credenziali riutilizzabili.

Tuttavia, gli OTP presentano un limite strutturale fondamentale: soddisfano solo il fattore di autenticazione basato sul possesso – «ciò che possiedi». Qualunque dispositivo o casella di posta elettronica riceva il codice, può essere compromesso. Un telefono rubato, un numero di telefono dirottato o un codice ottenuto tramite phishing rendono l'autenticazione OTP del tutto inefficace, senza che l'autore dell'attacco debba violare alcun sistema crittografico.

Il consenso tra i ricercatori nel campo della sicurezza e le autorità di regolamentazione è cambiato. Le Linee guida sull'identità digitale del NIST (SP 800-63B) limitano ora esplicitamente l'uso degli OTP via SMS per l'autenticazione ad alto livello di sicurezza, data la loro vulnerabilità all'intercettazione. Analogamente, il National Cyber Security Centre del Regno Unito raccomanda alle organizzazioni di abbandonare i fattori di autenticazione secondari basati su SMS laddove siano disponibili alternative.

Quindi: gli OTP sono più sicuri delle sole password, ma non sono abbastanza sicuri per casi d'uso che richiedono un elevato livello di sicurezza — e le tecniche di attacco che li prendono di mira stanno diventando sempre più facili da eseguire su larga scala.

È possibile hackerare l'OTP?

Sì, e esistono diversi metodi ben documentati che gli hacker utilizzano per intercettare o aggirare l'autenticazione OTP senza bisogno di accedere fisicamente al dispositivo della vittima.

Attacchi tramite sostituzione della SIM

L'attacco tramite OTP via SMS più diffuso. Il truffatore raccoglie i dati personali della vittima — tramite phishing, violazioni dei dati o ingegneria sociale — e li utilizza per convincere l'operatore di telefonia mobile della vittima a trasferire il numero di telefono su una scheda SIM sotto il controllo dell'autore dell'attacco. Tutti i messaggi SMS successivi, compresi gli OTP, vengono quindi recapitati all'autore dell'attacco.

Le frodi tramite sostituzione della SIM stanno aumentando vertiginosamente. L'organismo britannico di controllo sulle frodi Cifas ha registrato un'impennata del 1.055% nei casi di sostituzione non autorizzata della SIM nel 2024, con un aumento da 289 casi nel 2023 a quasi 3.000. Negli Stati Uniti, l'Internet Crime Complaint Center dell'FBI ha registrato nel 2024 perdite per 26 milioni di dollari legate a segnalazioni di furti di SIM, e un singolo caso ha portato a una sentenza arbitrale di 33 milioni di dollari a carico di T-Mobile dopo che uno scambio di SIM ha permesso il furto di criptovalute.

La vulnerabilità del protocollo SS7

L'SS7 (Signaling System No. 7) è un protocollo in uso da decenni che costituisce la base delle reti mobili 2G e 3G, compreso l'instradamento degli SMS. Presenta un difetto di progettazione che consente agli aggressori che hanno accesso alla rete SS7, in genere gruppi criminali sofisticati o attori statali, di intercettare chiamate e messaggi di testo in transito, compresi i codici OTP.

In Germania, alcuni truffatori hanno sfruttato il protocollo SS7 tramite un operatore di rete straniero per intercettare su larga scala i codici OTP inviati via SMS ai clienti di O2 Telefonica, riuscendo così a svuotare i conti bancari di un numero imprecisato di clienti.

Phishing in tempo reale e intercettazione degli OTP

Una categoria di attacchi in crescita e particolarmente pericolosa. I toolkit di tipo «man-in-the-middle» — tra cui framework ampiamente diffusi come Evilginx — consentono agli aggressori di creare versioni proxy molto realistiche di pagine di accesso legittime. Quando una vittima inserisce le proprie credenziali e il codice OTP, il server dell’aggressore li intercetta in tempo reale e li inoltra al sito autentico prima che il codice OTP scada. L’aggressore ottiene così pieno accesso alla sessione, nonostante la vittima abbia completato correttamente l’autenticazione a più fattori (MFA).

Questo attacco non richiede l'accesso alla SIM, né lo sfruttamento del protocollo SS7, né l'uso di malware: bastano una pagina di phishing convincente e un sistema di inoltro automatizzato. È in grado di aggirare con la stessa efficacia sia gli OTP via SMS che quelli via e-mail, nonché il TOTP.

Rischi specifici del TOTP

Il TOTP basato su app è più resistente alle intercettazioni rispetto agli SMS, ma presenta comunque dei punti deboli che possono essere sfruttati:

• Furto o compromissione del dispositivo. Se un malintenzionato ottiene l'accesso a un dispositivo su cui è installata un'app di autenticazione — e quello stesso dispositivo viene utilizzato per completare la transazione — i «due fattori» si riducono a uno solo. La classificazione MFA diventa quindi discutibile.
• Esposizione dei codici di ripristino. La maggior parte delle app di autenticazione genera codici di ripristino durante la configurazione. Se tali codici vengono conservati in modo non sicuro (in un'app per appunti, in un'e-mail o in un backup su cloud), diventano un punto di vulnerabilità.
• Ingegneria sociale. Gli hacker contattano sempre più spesso le vittime in tempo reale, spacciandosi per membri dei servizi antifrode delle banche, e le costringono a comunicare il proprio codice TOTP durante una chiamata di “verifica dell’account”.

Quali sono i rischi per la sicurezza dell'autenticazione OTP?

Il problema fondamentale dell'autenticazione OTP è che soddisfa solo il fattore di autenticazione basato sul possesso. Ciò che si possiede — che si tratti del cellulare o di un token hardware — può andare perso, essere rubato, compromesso o oggetto di spoofing a livello di operatore. Di seguito è riportata una sintesi dei principali vettori di rischio in base al tipo di OTP.

Rischi per la sicurezza legati agli OTP via SMS

Come dimostra il caso delle Filippine, gli hacker non hanno bisogno di rubarti il telefono per aggirare l'OTP via SMS. I messaggi di testo non sono crittografati e sono associati a un numero di telefono piuttosto che a un dispositivo specifico. I principali vettori di attacco sono lo scambio di SIM, lo sfruttamento del protocollo SS7 e il phishing in tempo reale – tutti argomenti trattati in dettaglio in precedenza.

Rischi per la sicurezza di TOTP

L'autenticazione TOTP e quella basata su app offrono una maggiore sicurezza rispetto agli SMS, poiché il codice viene generato localmente e non viene trasmesso attraverso la rete di un operatore. Tuttavia, come già sottolineato, la compromissione del dispositivo, il phishing in tempo reale e il social engineering rimangono tutte vie di attacco possibili. Inoltre, il TOTP soddisfa ancora solo il fattore di possesso, sollevando dubbi sul fatto che si tratti effettivamente di un'autenticazione a più fattori quando sia la transazione che l'autenticazione avvengono sullo stesso dispositivo.

L'autenticazione OTP offre un'esperienza utente obsoleta?

La pandemia ha accelerato la domanda di esperienze utente fluide e incentrate sul lavoro da remoto. L'autenticazione OTP presenta delle lacune sotto diversi aspetti.

Processo attivo

L'autenticazione OTP richiede un intervento da parte dell'utente: prendere in mano un dispositivo, aprire un'app o passare da una schermata all'altra. La finestra di scadenza di 30 secondi del TOTP comporta che gli utenti che non agiscono con sufficiente rapidità vadano incontro a errori di autenticazione, il che crea difficoltà e talvolta porta addirittura all'abbandono della procedura.

Una mancanza di inclusività

L'autenticazione tramite OTP presuppone che gli utenti dispongano di un dispositivo mobile, di un numero di telefono attivo e della capacità di seguire istruzioni articolate in più passaggi su schermate diverse. Non tutti ne sono in grado. Per gli utenti con determinate disabilità, per le fasce d'età più anziane o per coloro che non dispongono di un accesso costante a un dispositivo mobile, la sicurezza basata su OTP crea vere e proprie barriere di esclusione. Anche la verifica biometrica richiede un dispositivo, ma elimina la necessità di un numero di telefono attivo e riduce i passaggi cognitivi a un'unica azione passiva, in linea con le WCAG 2.2 AA.

OTP contro autenticazione biometrica: un confronto

Mentre l'autenticazione OTP soddisfa il fattore di possesso («ciò che possiedi»), l'autenticazione biometrica soddisfa il fattore di inerenza — «ciò che sei». Il tuo volto non può essere smarrito, rubato o trasferito a un altro numero.