Microsoft elimina il login con SMS e consiglia le passkey

Da molti anni sono disponibili diverse modalità per effettuare l’accesso all’account Microsoft. L’azienda di Redmond ha confermato che non sarà più possibile il login tramite codici ricevuti via SMS. Questa opzione non verrà più offerta per l’autenticazione a due fattori e il recupero dell’account. Gli utenti dovrebbero scegliere le passkey.

Troppo facile intercettare i codici SMS

In una pagina di supporto sono indicati i metodi di login supportati. Oltre alla password è possibile utilizzare il codice a sei cifre ricevuto via email, un’app di autenticazione o una passkey. In precedenza era possibile l’accesso all’account anche con il codice a sei cifre ricevuto via SMS. Nella pagina è ora scritto:

Microsoft si impegna a migliorare gli standard di sicurezza e, pertanto, inizieremo ad eliminare gradualmente gli SMS come metodo di autenticazione e recupero degli account personali Microsoft.

La stesse parole si possono leggere in un’altra pagina, insieme al motivo per cui i codici via SMS sono stati abbandonati:

Microsoft crede che il futuro dell’autenticazione sia senza password, sicuro e intuitivo. L’autenticazione tramite SMS è ormai una delle principali fonti di frode e, passando ad account senza password, chiavi di accesso e email verificate, vi aiutiamo a rimanere al passo con le minacce in continua evoluzione, semplificando e rendendo più fluido l’accesso agli account.

Il furto dei codici ricevuti via SMS è ormai piuttosto semplice. Esistono diversi malware in grado di intercettare i codici (che vengono inviati in chiaro) o tecniche più avanzate come il SIM swapping.

Stranamente è ancora disponibile il login con un codice ricevuto via email, nonostante sia altrettanto facile da rubare con uno dei tanti infostealer in circolazione. Le soluzioni migliori sono app di autenticazione e passkey. Quest’ultima consente l’accesso tramite PIN, impronta digitale o riconoscimento facciale. La passkey è immune al phishing perché la chiave privata rimane sul dispositivo (nel chip TPM su desktop).

Microsoft inizierà a suggerire l’uso delle passkey a tutti gli utenti con account personale, insieme all’indirizzo email di backup. Al momento, il login con password esiste ancora, ma in futuro potrebbe essere eliminato.