Microsoft elimina gli SMS: arrivano le passkey per Windows 11

Gli SMS come secondo fattore di autenticazione sono stati per anni il minimo comune denominatore della sicurezza digitale: nessuna app da installare, funzionava su qualsiasi telefono. Microsoft ha ufficialmente confermato in maggio 2026 che eliminerà progressivamente questo metodo per tutti gli account personali, citando una motivazione tecnica precisa: l’autenticazione via SMS è classificata dall’azienda stessa come una delle principali fonti di frode attuale. La transizione riguarda chiunque acceda a Windows 11, OneDrive, Xbox, Microsoft Store e Microsoft 365 consumer con un account personale — in pratica, centinaia di milioni di utenti.

Indice

1. Perché Microsoft ha dichiarato guerra agli SMS
2. Come funzionano le passkey su Windows 11
3. I tre metodi che sostituiscono gli SMS
4. SMS vs passkey: il confronto tecnico
5. Come configurare una passkey su Windows 11
6. FAQ — Domande frequenti

Perché Microsoft ha dichiarato guerra agli SMS

La dichiarazione pubblicata sulla pagina di supporto ufficiale Microsoft non usa mezzi termini: “L’autenticazione basata su SMS è ora una delle principali fonti di frode.” L’eliminazione avverrà in modo graduale, sia per il login che per il recupero dell’account, per tutti gli account Microsoft personali.

I vettori di attacco che hanno reso gli SMS strutturalmente inaffidabili sono due. Il primo è il SIM swapping: un attaccante convince l’operatore telefonico a trasferire il numero della vittima su una SIM sotto il suo controllo — da quel momento, tutti i codici OTP arrivano all’attaccante, non all’utente legittimo. Il secondo è il phishing in tempo reale: pagine false raccolgono il codice nel momento esatto in cui l’utente lo inserisce e lo trasmettono istantaneamente verso una sessione di login parallela.

La posta in gioco è alta: l’account Microsoft è il perimetro dietro cui si trovano password salvate, chiavi di ripristino BitLocker e accessi a tutti i servizi cloud — un perimetro che gli SMS non riescono più a difendere.

Come funzionano le passkey su Windows 11

Una passkey è una credenziale crittografica basata sullo standard FIDO2, sviluppato dalla FIDO Alliance con il contributo fondante di Microsoft, Google e Apple. Il meccanismo si basa sulla crittografia a chiave asimmetrica: al momento della registrazione, il dispositivo genera una coppia di chiavi univoche. La chiave pubblica viene inviata e archiviata sui server Microsoft; la chiave privata rimane nel chip di sicurezza del dispositivo — su Windows 11 nel modulo TPM — e non lascia mai la macchina locale.

Per autenticarsi, il dispositivo firma crittograficamente una sfida inviata dal server usando la chiave privata. La firma viene verificata con la chiave pubblica corrispondente. Poiché la chiave privata non transita mai sulla rete, non può essere intercettata da un infostealer né ceduta a una pagina di phishing: è lo stesso principio architetturale che sta alla base delle protezioni anti-session-hijacking di nuova generazione.

Su Windows 11, la gestione nativa delle passkey è disponibile dalla versione 22H2 con aggiornamento KB5030310, accessibile da Impostazioni → Account → Passkey.

I tre metodi che sostituiscono gli SMS

Microsoft propone tre alternative ufficiali agli SMS per gli account personali:

• Passkey via Windows Hello — autenticazione biometrica (riconoscimento facciale, impronta digitale) o PIN locale. È il metodo più robusto: la credenziale è legata al dispositivo fisico e immune al phishing per design architetturale.
• Microsoft Authenticator — app disponibile per iOS (versione minima 6.8.37) e Android (versione minima 6.2507.4749) che supporta approvazione push e codici TOTP. Requisito: connessione Internet al momento del login.
• Indirizzo email verificato — metodo di recupero secondario. È l’alternativa più accessibile ma anche la meno robusta delle tre: la sua sicurezza dipende interamente dalla protezione dell’account email di destinazione.

I nuovi account Microsoft vengono ora creati senza password di default. Gli utenti esistenti possono rimuovere la password dalle impostazioni di sicurezza e affidarsi esclusivamente a questi tre metodi.

SMS vs passkey: il confronto tecnico

Il punto critico delle passkey rimane il recovery: se si perde l’accesso a tutti i dispositivi registrati senza un’email di backup aggiornata, il ripristino dell’account diventa complesso. Microsoft riconosce implicitamente questa criticità spingendo sull’email verificata come metodo secondario obbligatorio.

Come configurare una passkey su Windows 11

La procedura ufficiale si articola in tre passaggi:

1. Accedi al tuo account Microsoft su account.microsoft.com e naviga in Sicurezza → Opzioni di sicurezza avanzate → Aggiungi un metodo di accesso.
2. Seleziona “Passkey”: Windows avvierà Windows Hello per associare la passkey alla biometria o al PIN del dispositivo. La chiave privata viene generata localmente e archiviata nel TPM — nulla transita verso i server Microsoft.
3. Aggiorna e verifica il metodo di recupero: aggiungi un’email secondaria attiva, poi valuta di rimuovere il numero di telefono dalle opzioni di verifica per ridurre la superficie di attacco esposta a SIM swap.

In ambito enterprise, le passkey FIDO2 sono disponibili in tutte le edizioni di Microsoft Entra ID, inclusa quella gratuita — nessuna licenza aggiuntiva richiesta. Da gennaio 2027, le domande di sicurezza verranno eliminate anche da Entra ID come opzione di reset password, chiudendo un vettore storicamente sfruttabile tramite ingegneria sociale e, sempre più, tramite attacchi automatizzati al guessing di credenziali.

FAQ — Domande frequenti

Cosa succede al mio account Microsoft se non configuro una passkey?

Nel breve termine non cambia nulla di immediato: Microsoft procede con una dismissione graduale, non con un blocco istantaneo. Tuttavia, man mano che l’eliminazione degli SMS avanza, gli utenti privi di metodi alternativi configurati potrebbero ritrovarsi senza opzioni di recupero funzionanti. È consigliabile aggiungere almeno una passkey e un’email di backup verificata prima che la finestra SMS si chiuda definitivamente. L’operazione richiede meno di cinque minuti dalle impostazioni dell’account su account.microsoft.com.

Le passkey funzionano anche se cambio dispositivo o reinstallo Windows?

Le passkey FIDO2 sono legate al dispositivo fisico su cui vengono create. Se si cambia PC o si reinstalla Windows, sarà necessario creare una nuova passkey sul nuovo hardware e revocare quella precedente tramite il portale mysignins.microsoft.com. La soluzione è mantenere almeno due metodi attivi: una passkey sul dispositivo principale e un’email di recupero aggiornata come fallback.

Perché gli SMS sono considerati insicuri per l’autenticazione a due fattori?

Gli SMS trasmettono i codici OTP sulla rete cellulare e la loro sicurezza dipende interamente dall’integrità del numero di telefono associato, dirottabile tramite SIM swapping. Inoltre, il phishing in tempo reale può intercettare un codice SMS nel momento esatto in cui l’utente lo digita su una pagina falsa. Le passkey FIDO2 eliminano entrambi i vettori: la chiave privata non lascia mai il dispositivo e ogni autenticazione è crittograficamente vincolata al dominio del servizio legittimo, rendendo il replay o la cessione del codice strutturalmente impossibili.

Microsoft Authenticator è un’alternativa valida alle passkey?

Microsoft Authenticator è un’alternativa robusta e più accessibile delle passkey per chi non dispone di hardware recente con TPM o sensore biometrico. Supporta approvazione push e codici TOTP, ed è resistente al SIM swapping. Non offre la stessa immunità al phishing delle passkey FIDO2, poiché un codice TOTP può teoricamente essere intercettato in una finestra temporale molto stretta. Le versioni minime richieste per i nuovi profili passkey sono 6.8.37 su iOS e 6.2507.4749 su Android.

Conclusione

La dismissione degli SMS da parte di Microsoft non è una scelta commerciale arbitraria: è una risposta tecnica a vettori di attacco documentati che hanno reso questo metodo strutturalmente inadeguato come secondo fattore. Le passkey FIDO2 non sono prive di complessità — il recovery rimane il punto critico — ma rappresentano un salto qualitativo reale in termini di resistenza al phishing e agli attacchi automatizzati. Se hai un account Microsoft e usi ancora gli SMS per autenticarti, hai una finestra di tempo limitata per migrare. Hai già configurato la tua passkey su Windows 11, o stai aspettando che Microsoft ti forzi la mano?

#tuttelevitediunmaker