La transizione di Microsoft dall'autenticazione e recupero via SMS

Dopo aver annunciato il passaggio all'accesso senza password per i nuovi account entro il 2025, Microsoft ha ora rivelato piani per eliminare gradualmente l'autenticazione e il recupero basati su SMS per gli account personali. I titolari di account personali dovranno fare affidamento su metodi alternativi sia per l'accesso che per il recupero dell'account.

Tempistica incerta per l'eliminazione degli SMS

Microsoft non ha fornito una data finale per la rimozione della funzionalità SMS. Gli utenti potrebbero essere tenuti a verificare un'email di backup prima che gli SMS vengano completamente rimossi dal processo di recupero. Senza una scadenza pubblicata, il focus immediato per gli utenti è assicurarsi che i metodi sostitutivi, come le passkey o il recupero via email, siano funzionanti prima della disattivazione degli SMS.

Cambiamento di politica guidato dalla sicurezza

Microsoft sottolinea che questa transizione rappresenta un miglioramento della sicurezza, affermando che “l'autenticazione basata su SMS è ora una delle principali fonti di frode.” Questo cambiamento rappresenta più di un semplice aggiornamento delle procedure di accesso—significa una modifica più ampia della politica volta a ridurre le vulnerabilità associate all'autenticazione basata su SMS.

Passkey come principale sostituto

In questo nuovo approccio, le passkey sono posizionate come l'alternativa principale agli SMS. Le passkey sfruttano biometria o un PIN del dispositivo, eliminando la necessità di codici a sei cifre inviati tramite reti mobili. Questo metodo memorizza una chiave sul dispositivo dell'utente e una chiave corrispondente con il servizio, rendendolo significativamente più resistente ai tentativi di phishing rispetto ai codici SMS.

Linee guida per la transizione senza password

Le linee guida di Microsoft per l'accesso senza password includono metodi come Windows Hello, chiavi di sicurezza fisiche e verifica via email. Sebbene gli SMS vengano eliminati, l'email verificata rimarrà un elemento essenziale del processo di recupero dell'account. Si prevede che l'accesso abituale si sposti verso le passkey su dispositivi attendibili, ma scenari come blocchi del dispositivo, cambiamenti di hardware o credenziali perse richiederanno comunque controlli di recupero separati. Questo approccio a doppio livello sposta la transizione oltre un semplice aggiornamento dell'accesso, poiché altera fondamentalmente i meccanismi di backup su cui gli utenti fanno affidamento.

Sfide nel recupero senza SMS

La rimozione degli SMS come opzione di recupero potrebbe rendere il recupero dell'account più impegnativo rispetto alle attività di accesso quotidiane. Gli utenti che ritardano l'adozione delle passkey o l'aggiornamento della loro email di recupero potrebbero affrontare verifiche di proprietà più rigorose durante i blocchi. La mancanza di una tempistica fissa per la rimozione degli SMS da parte di Microsoft offre agli utenti l'opportunità di prepararsi aggiungendo una passkey, testando il recupero via email e assicurandosi che dispositivi e software più vecchi siano compatibili con i metodi di accesso aggiornati.

Problemi di compatibilità con i sistemi più vecchi

Microsoft riconosce che i sistemi e le applicazioni più vecchi potrebbero ancora richiedere password tradizionali. Esempi includono Xbox 360, Office 2010 o versioni precedenti, email POP e IMAP, e determinati scenari di Desktop remoto o a riga di comando. La transizione degli account consumer dall'autenticazione via SMS è più semplice in teoria che in pratica, poiché dispositivi e software più vecchi creano sfide di compatibilità.

Questi sistemi legacy spesso fungono da dipendenze nascoste, e i problemi di recupero potrebbero emergere solo quando gli utenti incontrano dei fallimenti. Ad esempio, le connessioni email POP e IMAP sono notoriamente persistenti nelle configurazioni domestiche per anni. Allo stesso modo, installazioni obsolete di Office o console di gioco potrebbero ancora fare affidamento su metodi di autenticazione più vecchi.

Considerazioni speciali per utenti avanzati

Alcuni casi d'uso avanzati, come gli accessi a macchine virtuali, potrebbero rimanere scomodi in un quadro basato esclusivamente su passkey. Gli utenti esperti dovrebbero affrontare questi casi limite con cautela, sebbene non siano il focus principale del cambiamento di politica di Microsoft.

Dall'incoraggiamento all'obbligo

Microsoft inizialmente ha incoraggiato gli accessi senza password come impostazione predefinita per i nuovi account entro il 2025. Ora, l'azienda si sta muovendo verso l'imposizione di questo approccio eliminando completamente l'autenticazione via SMS. Questa transizione sottolinea un passaggio dalla promozione delle opzioni senza password alla loro imposizione come parte della strategia di sicurezza degli account.

Implicazioni future

Sebbene Microsoft abbia introdotto accessi resistenti al phishing per Windows nel marzo 2026, questi miglioramenti non hanno affrontato tutti i casi limite legati a flussi di lavoro più vecchi, configurazioni di dispositivi misti o software legacy che si aspettano metodi di autenticazione tradizionali. Per gli utenti ancora dipendenti dai flussi di lavoro degli account Microsoft più vecchi, la data definitiva di eliminazione per il recupero e l'accesso basati su SMS rimane un traguardo critico da monitorare.