Definizione
L’autenticazione a due fattori (2FA) richiede due diversi tipi di prova per accedere o approvare un’azione: tipicamente qualcosa che si conosce (una password) più qualcosa che si possiede (un telefono che riceve un codice monouso, un’app di autenticazione o una chiave di sicurezza).
I tre tipi di fattore sono conoscenza (password, PIN), possesso (telefono, chiave hardware, app) e inerenza (impronta digitale, volto). Due controlli dello stesso tipo, come una password più una domanda di sicurezza, non sono vera 2FA. L’autenticazione multifattore (MFA) è il termine generale per due o più fattori.
Gli OTP via messaggio sono il fattore di possesso più diffuso perché non richiedono l’installazione di un’app. Sono più deboli dei metodi basati su app o resistenti al phishing: esistono attacchi di SIM swap, pagine di phishing che inoltrano i codici in tempo reale e intercettazioni. NIST SP 800-63B considera gli OTP inviati sulla rete telefonica pubblica (SMS o voce) un autenticatore “con restrizioni” e chiede ai verificatori di considerare segnali come cambio di SIM o portabilità del numero prima di usarli.
Per i servizi consumer nel GCC e nell’area MENA, l’OTP via SMS e WhatsApp resta lo standard pratico per registrazione, accesso e approvazione dei pagamenti; banche e fornitori di pagamento applicano spesso regole più severe stabilite dalla banca centrale o dall’autorità. Offrite un’opzione più forte (app di autenticazione o passkey) per le azioni ad alto rischio.
Consigli di design: inviate il secondo fattore solo dopo che la password è corretta, legate i codici a una singola sessione e azione e spiegate nel messaggio a cosa serve il codice (“per approvare un bonifico di 500 AED”).