Microsoft spinge sulle passkey: perché password e codici SMS potrebbero avere i giorni contati

Le password ci accompagnano praticamente da quando esiste Internet. Lunghe, corte, dimenticate, riutilizzate su più servizi o annotate su qualche foglietto vicino al computer.

Ma il loro futuro potrebbe essere molto diverso. Microsoft ha infatti compiuto un altro passo verso un mondo nel quale per accedere a servizi e account non sarà più necessario ricordare una password o attendere il classico codice ricevuto tramite SMS.

Dal 1° settembre 2026, Microsoft ha iniziato a rendere le passkey il metodo di autenticazione predefinito per gli utenti interessati di Microsoft Entra ID, il sistema utilizzato soprattutto da aziende e organizzazioni per gestire identità e accessi digitali.

Ma cosa sono esattamente le passkey? E perché potrebbero cambiare il nostro modo di entrare negli account online?

Cosa sono le passkey

Una passkey è un sistema che permette di accedere a un account senza digitare la tradizionale password.

L’utente può autenticarsi utilizzando, per esempio:

• l’impronta digitale;
• il riconoscimento del volto;
• il PIN del dispositivo;
• un dispositivo fisico compatibile.

L’esperienza è quindi molto simile a quella che utilizziamo quotidianamente per sbloccare uno smartphone.

Dietro questa semplicità c’è però un sistema crittografico molto più complesso.

Quando viene creata una passkey vengono utilizzate delle chiavi crittografiche: una rimane associata al dispositivo dell’utente mentre l’altra viene utilizzata dal servizio online.

La password, semplicemente, non deve più essere digitata.

Perché le password sono diventate un problema

Il problema principale delle password non è soltanto ricordarle.

È il comportamento degli utenti.

Molte persone utilizzano ancora la stessa password su più servizi. Se una piattaforma subisce una violazione dei dati, quelle credenziali possono successivamente essere provate su altri siti.

Esistono poi attacchi come il phishing, nei quali una pagina apparentemente autentica convince la vittima a digitare username e password.

Con una passkey il meccanismo cambia perché non esiste una password che l’utente possa accidentalmente consegnare a un sito falso.

Ed è proprio la maggiore resistenza al phishing uno dei motivi per cui Microsoft sta incentivando questo sistema.

Microsoft: dal 1° settembre passkey sempre più centrali

Microsoft ha annunciato che, a partire dal 1° settembre 2026, gli utenti di Microsoft Entra ID abilitati all’autenticazione tramite SMS o chiamata vocale possono essere automaticamente coinvolti nella migrazione verso le passkey.

Durante un successivo accesso con autenticazione a più fattori può quindi essere proposto loro di registrare una passkey.

Microsoft considera infatti SMS e chiamate metodi meno resistenti agli attacchi rispetto alle tecnologie passwordless basate su passkey, Windows Hello e chiavi di sicurezza FIDO2.

E i codici ricevuti tramite SMS?

Anche qui è previsto un cambiamento importante.

Secondo la roadmap pubblicata da Microsoft, dal 1° febbraio 2027 verrà ritirata, per gran parte degli utenti di Microsoft Entra ID interessati, la fornitura diretta da parte di Microsoft dell’autenticazione tramite SMS e chiamate vocali.

Per alcune categorie, come determinati amministratori ed utenti esterni, la tempistica indicata arriva invece al 1° luglio 2027.

Le organizzazioni che avranno ancora la necessità di utilizzare SMS o chiamate potranno ricorrere a fornitori di telecomunicazioni gestiti separatamente.

Non significa quindi che gli SMS spariranno improvvisamente da tutti gli account Microsoft il prossimo febbraio.

Il cambiamento riguarda innanzitutto Microsoft Entra ID, quindi soprattutto ambienti aziendali e organizzativi.

Perché un codice SMS è considerato meno sicuro

Ricevere un codice sul telefono sembra sicuro, ma non è un sistema infallibile.

I criminali informatici possono cercare di intercettare il codice attraverso tecniche di phishing oppure convincere direttamente la vittima a comunicarlo.

Esistono inoltre attacchi più sofisticati contro il numero telefonico stesso.

Il principio delle passkey è differente: l’autenticazione è collegata crittograficamente al servizio per il quale è stata creata.

Questo rende molto più difficile utilizzare una passkey su un sito contraffatto.

Un esempio semplice

Immaginiamo di voler accedere a un servizio online.

Con il sistema tradizionale

Inseriamo:

email → password → codice SMS

Se qualcuno riesce a convincerci a inserire questi dati su un falso sito, potrebbe impossessarsene.

Con una passkey

Il sito chiede di confermare l’identità.

Lo smartphone mostra una richiesta.

Utilizziamo:

impronta digitale → accesso autorizzato

Non abbiamo digitato alcuna password e non abbiamo ricevuto alcun codice da comunicare.

Significa davvero la fine delle password?

Non immediatamente.

Internet contiene miliardi di account, servizi, siti e dispositivi differenti e la transizione richiederà tempo.

Ma la direzione intrapresa dai principali protagonisti del settore tecnologico è ormai evidente: ridurre progressivamente la dipendenza dalle password tradizionali.

Le passkey sono già supportate da numerosi sistemi operativi, browser e grandi piattaforme digitali.

Il cambiamento introdotto da Microsoft nel 2026 è quindi un ulteriore segnale di questa trasformazione.

Passkey e smartphone: cosa succede se perdiamo il telefono?

È probabilmente una delle prime domande che vengono in mente.

Una passkey non significa necessariamente che l’account rimanga definitivamente legato a un singolo smartphone.

A seconda del sistema utilizzato, le credenziali possono essere sincronizzate attraverso servizi protetti oppure possono essere previste procedure alternative di recupero dell’account.

Per questo è comunque importante configurare correttamente i sistemi di recupero previsti dal proprio provider.

Più comodità, ma soprattutto maggiore sicurezza

Il vantaggio delle passkey potrebbe sembrare soprattutto pratico: niente password da ricordare.

In realtà la caratteristica più importante è probabilmente un’altra.

Eliminando la necessità di digitare una password, si elimina anche una delle informazioni che i criminali informatici cercano maggiormente di sottrarre.

Microsoft sta progressivamente portando questo modello all’interno dei propri sistemi di autenticazione professionali.

La password non scomparirà domani mattina.

Ma dopo decenni trascorsi a inventare combinazioni di lettere maiuscole, numeri e simboli, potremmo essere entrati davvero nella fase in cui inizieremo a utilizzarla sempre meno.

Fonte: documentazione ufficiale Microsoft Entra ID e Microsoft Security.