Perché l'MFA con SMS non è più sicuro per Microsoft 365

By Mirko Peters · 2026-10-26

Scopri perché l'autenticazione a più fattori tramite SMS espone i tenant di Microsoft 365 al SIM swapping e al phishing, e cosa dovresti usare al suo posto.

Automatically translated with AI from the original post. Read the English original

L'autenticazione a più fattori tramite SMS è da tempo il secondo passaggio predefinito sia per gli amministratori IT sia per gli utenti finali, ma il suo affidarsi alla rete telefonica tradizionale la rende pericolosamente vulnerabile ad attacchi informatici moderni come il SIM swapping e il phishing mirato.

Punti chiave

• L'autenticazione a più fattori basata su SMS si appoggia alla rete telefonica pubblica, il che la rende vulnerabile all'intercettazione e al SIM swapping.
• Le ricerche di Google e Verizon mostrano che i codici SMS falliscono molto più spesso dei moderni messaggi push o delle passkey di fronte al phishing mirato.
• I rapporti di Verizon sulle violazioni sconsigliano esplicitamente l'uso dei codici SMS per la verifica dell'accesso.
• Abbandonare l'SMS richiede di pianificare più metodi di verifica alternativi, per evitare il sovraccarico dell'helpdesk e blocchi permanenti degli account.

L'illusione della sicurezza con i codici SMS

Quando un'organizzazione implementa per la prima volta l'autenticazione a più fattori, i messaggi di testo spesso sembrano una vittoria. Sono supportati ovunque, non richiedono l'installazione di software e funzionano su praticamente qualsiasi dispositivo mobile. Tuttavia, dal punto di vista dell'architettura di sicurezza, l'SMS viola una regola fondamentale di una solida verifica dell'identità: il meccanismo di consegna è intrinsecamente difettoso.

Un SMS viaggia attraverso la normale rete di telecomunicazioni per raggiungere il tuo telefono. Poiché quell'infrastruttura è stata progettata decenni fa con pochissima attenzione alla sicurezza, può essere intercettata, reindirizzata o manipolata. I criminali sfruttano regolarmente questa vulnerabilità con una tecnica nota come SIM swapping. Manipolando con l'ingegneria sociale il personale di assistenza degli operatori, gli attaccanti possono trasferire il tuo numero su una SIM inserita nel proprio smartphone. Completato il trasferimento, ogni singolo codice di autenticazione destinato al tuo account finisce direttamente nelle mani dell'attaccante.

Cosa dicono le ricerche sull'MFA con messaggi di testo

I dati sulla sicurezza dipingono un quadro impietoso sull'efficacia della verifica via SMS. Sebbene i codici testuali offrano una difesa adeguata contro attacchi automatizzati e poco sofisticati di credential stuffing, la loro efficacia crolla quando sono coinvolti avversari umani reali.

Studi di sicurezza di riferimento condotti da Google hanno rivelato che, mentre i codici SMS bloccavano circa il novantasei per cento dei tentativi di phishing di massa, la loro efficacia calava sensibilmente contro le campagne mirate. Quando un attaccante concentra i propri sforzi su una persona o un'organizzazione specifica, i codici testuali non offrono una protezione affidabile. Di conseguenza, i principali framework di cybersecurity e le indagini annuali sulle violazioni, inclusi i rapporti di Verizon, raccomandano ormai attivamente di abbandonare del tutto i messaggi di testo e le chiamate vocali per la verifica dell'accesso.

Attacchi adversary-in-the-middle

Il limite principale di qualsiasi codice digitato è che può essere reindirizzato. In un attacco adversary-in-the-middle, un malintenzionato predispone un clone sofisticato e identico al pixel della pagina di accesso di Microsoft 365. Quando digiti la password e il codice SMS in questo portale falso, il proxy inoltra immediatamente le tue credenziali al servizio reale. Il sistema concede l'accesso e l'attaccante cattura un token di sessione attivo, aggirando completamente le tue difese nonostante tu abbia inserito un codice valido.

Passare dagli SMS alle alternative moderne

Abbandonare i messaggi di testo richiede di comprendere la gerarchia dei secondi fattori disponibili. Per proteggere davvero il tuo ambiente Microsoft 365, le organizzazioni devono portare gli utenti verso metodi che eliminano i segreti riutilizzabili e la dipendenza dagli operatori di telefonia.

App di autenticazione e corrispondenza dei numeri

Le app di autenticazione rappresentano un enorme passo avanti rispetto agli SMS. Generando localmente password monouso basate sul tempo che cambiano continuamente, aggirano completamente la rete telefonica. Inoltre, usando soluzioni aziendali come l'app Microsoft Authenticator, funzionalità come la corrispondenza dei numeri neutralizzano gli attacchi di prompt bombing. Gli utenti devono guardare la schermata di accesso, leggere un numero casuale e digitarlo nell'app sul telefono, così da approvare consapevolmente un tentativo di accesso che hanno effettivamente avviato.

Passkey resistenti al phishing e chiavi di sicurezza

Lo standard d'oro per l'autenticazione moderna è rappresentato dalle chiavi hardware resistenti al phishing o dalle passkey della piattaforma. Questi meccanismi si basano sulla crittografia a chiave pubblica. Il dispositivo custodisce una chiave crittografica privata che non lascia mai l'hardware. Quando ti autentichi, il sito invia una sfida crittografica che il dispositivo firma. Un sito di phishing non può falsificare questa firma, rendendo completamente inefficaci gli attacchi adversary-in-the-middle. Le stesse metriche di Microsoft mostrano che gli accessi con passkey sono nettamente più rapidi rispetto alle password tradizionali con la classica richiesta MFA, a dimostrazione che una sicurezza più forte non deve andare a scapito dell'esperienza utente.

Gestire la transizione nella tua organizzazione

Imporre un criterio che vieta l'autenticazione via SMS può generare resistenze se non viene gestito con attenzione. Gli amministratori IT devono pianificare le implementazioni in modo strategico. Inizia dagli account ad alto rischio, come gli amministratori globali, il personale finanziario e gli utenti con accesso ai portali di infrastrutture critiche. Fornisci agli utenti almeno due metodi di verifica validi e percorsi di ripristino chiari e testati, per evitare di bloccare fuori dai propri account gli utenti legittimi quando un telefono viene smarrito o sostituito.

Conclusioni e prossimi passi

Qualsiasi forma di autenticazione a più fattori è indubbiamente migliore di una semplice password, ma continuare a usare i codici SMS lascia gli ambienti cloud moderni esposti a rischi evitabili. Passare alle app di autenticazione con corrispondenza dei numeri o alle passkey completamente resistenti al phishing trasforma la tua postura di sicurezza da un fragile dosso in una difesa solida.

Per approfondire i meccanismi della protezione delle identità, le configurazioni di sicurezza cloud e le strategie di autenticazione moderna, non perdere la discussione correlata nel nostro podcast. Ascolta l'episodio completo e unisciti a noi mentre analizziamo tutto ciò che ti serve per proteggere i tuoi ambienti Microsoft 365 e Azure.

Domande frequenti

Perché gli SMS sono considerati un metodo di autenticazione a più fattori debole?

I codici SMS viaggiano sulla rete di telefonia anziché su un canale cifrato di un'app. Questo li rende vulnerabili agli attacchi di SIM swapping, in cui i criminali ingannano gli operatori mobili inducendoli a trasferire il numero di telefono su un dispositivo sotto il loro controllo.

Microsoft 365 consente agli amministratori di disabilitare l'autenticazione via SMS?

Sì, gli amministratori di Microsoft 365 possono usare i controlli del criterio dei metodi di autenticazione in Entra ID per limitare o disabilitare le opzioni SMS e chiamata vocale, spingendo gli utenti verso alternative più sicure come l'app Microsoft Authenticator o le chiavi FIDO2.

In che modo la corrispondenza dei numeri nelle app di autenticazione blocca il phishing?

La corrispondenza dei numeri richiede all'utente di inserire nell'app di autenticazione un numero specifico visualizzato nella schermata di accesso. In questo modo gli utenti non possono approvare alla cieca per stanchezza da notifiche o a causa di attacchi adversary-in-the-middle.

Qual è la migliore alternativa ai codici SMS per gli utenti aziendali?

Le chiavi di sicurezza FIDO2 e le passkey moderne offrono il livello di sicurezza più elevato, perché sono completamente resistenti al phishing e si basano sulla crittografia a chiave pubblica invece che su codici riutilizzabili.