Il 3 agosto 2026 potrebbe restare negli annali come il giorno in cui gli Stati Uniti hanno iniziato davvero a dire addio ai codici di verifica via SMS. AT&T, T-Mobile e Verizon — i tre grandi operatori mobili americani, che insieme servono la quasi totalità del mercato — hanno acceso lo stesso giorno un sistema di autenticazione crittografica ancorata alla SIM, sviluppato dalla piattaforma Glide.id. In pratica: la scheda che da trent’anni serve ad agganciare il telefono alla rete diventa una chiave crittografica per dimostrare chi siamo online, senza password, senza app aggiuntive e soprattutto senza quei codici a sei cifre che arrivano via messaggio e che i truffatori hanno imparato a rubare fin troppo bene.
L’annuncio, diffuso con un comunicato ufficiale, parla di beta pubblica e disponibilità commerciale della piattaforma MagicalAuth su tutti e tre gli operatori, sia su iPhone sia su Android. Insieme arriva anche SuperPasskey, la declinazione pensata per sostituire le passkey “software” con una versione radicata nell’hardware della (e)SIM. Il funzionamento, semplificando, è questo: dentro la SIM vive una chiave crittografica emessa dall’operatore; quando un sito o un’app devono verificare l’identità dell’utente, la rete mobile lancia alla scheda una sfida matematica che solo quella chiave può risolvere. Tutto avviene a livello di rete, in modo silenzioso: niente codici da ricopiare, niente messaggi che possono essere intercettati, niente pagine di phishing in grado di carpire il famigerato “inserisci l’OTP che ti abbiamo inviato”.
La domanda sorge spontanea: perché proprio adesso? La risposta sta nei numeri della frode. Secondo i dati citati nel comunicato di lancio, nel solo 2025 i consumatori americani hanno perso 15,9 miliardi di dollari in truffe, una cifra gonfiata dall’esplosione dell’intelligenza artificiale generativa: voci clonate, video contraffatti, messaggi di phishing scritti in un inglese (o un italiano) perfetto. In questo scenario l’SMS, nato negli anni Novanta senza alcuna pretesa di sicurezza, è diventato l’anello debole della catena. Non a caso Microsoft ha già annunciato che manderà in pensione la verifica via SMS e chiamata vocale dei propri account entro l’inizio del 2027. Quando anche i giganti del software abbandonano la nave, significa che la nave sta affondando.
Per chi segue TLCworld, questa notizia ha un sapore familiare. Appena un mese fa, a inizio luglio, gli stessi tre operatori avevano lanciato con la joint venture Aduna le API di verifica del numero sul mercato americano: ne avevamo parlato nel nostro articolo “Addio codici via SMS?”, chiedendoci — con tanto di punto interrogativo — se fosse l’inizio della fine per gli OTP. Un mese dopo, il punto interrogativo si può togliere: due iniziative distinte nel giro di trenta giorni, con gli stessi protagonisti, non sono una coincidenza ma una strategia. I carrier americani hanno deciso che l’identità digitale passa dalla rete mobile, e stanno costruendo — mattone dopo mattone, o meglio API dopo API — il ruolo di garanti dell’identità che le banche e le piattaforme web finora hanno affidato a SMS e app di terze parti. È la stessa filosofia del programma GSMA Open Gateway, che da anni spinge gli operatori di mezzo mondo a esporre le capacità della rete come servizi: la novità è che ora il meccanismo viene acceso in produzione, insieme, dai tre operatori più grandi del mercato più ricco del pianeta.
C’è poi una coincidenza di calendario che vale la pena notare, perché racconta un passaggio d’epoca meglio di mille analisi. Il 3 agosto, lo stesso giorno di questo annuncio, T-Mobile ha spento definitivamente la sua rete 2G GSM, l’ultima rimasta negli Stati Uniti: lo avevamo raccontato in anticipo qui. Nella stessa giornata è morta la rete che rese l’SMS il re della comunicazione mobile ed è nata l’infrastruttura che punta a mandarne in soffitta l’ultimo utilizzo rimasto, quello dei codici di verifica. Difficile immaginare un simbolo più nitido.
E l’Europa? Qui la notizia si fa interessante anche per noi. Glide.id dichiara integrazioni già attive con operatori in Germania, Regno Unito e Spagna, con l’espansione in Canada e in altri mercati prevista entro la fine del 2026. L’Italia per ora non compare nell’elenco, ma la traiettoria è tracciata: quando banche, poste e pubbliche amministrazioni cominceranno a chiedere metodi di autenticazione più robusti degli SMS — e con la direttiva PSD3 e il regolamento eIDAS 2 alle porte, lo faranno — gli operatori che avranno già le API pronte partiranno avvantaggiati. Per TIM, Vodafone, WindTre e Iliad c’è un’occasione concreta di monetizzare la rete oltre i giga: l’identità è un servizio che si vende bene, perché il costo di una frode lo pagano tutti volentieri pur di non pagarlo.
Il commento della redazione è di prudente entusiasmo. L’idea è elegante e il momento è giusto: la SIM è l’unico elemento di sicurezza hardware che ogni utente mobile possiede già, distribuito in miliardi di esemplari, e usarla come àncora crittografica è la mossa più naturale del mondo — al punto che viene da chiedersi perché ci siano voluti trent’anni. Due cautele, però, restano d’obbligo. La prima: se la SIM diventa la chiave di tutto, le procedure con cui gli operatori sostituiscono le SIM diventano la serratura di tutto. Il SIM swap — la truffa in cui un malvivente si fa consegnare una scheda intestata alla vittima — oggi serve a rubare i codici SMS; domani, se i processi di verifica nei negozi e nei call center non saranno all’altezza, potrebbe consegnare direttamente le chiavi del regno. La seconda: concentrare l’identità digitale di un Paese nelle mani di tre aziende private è una scelta che merita un dibattito pubblico, non solo un comunicato stampa. Detto questo, tra un codice a sei cifre che chiunque può intercettare e una chiave crittografica custodita nel telefono, la direzione giusta è evidente. Gli SMS di verifica hanno avuto una lunga e onorata carriera: è il momento di accompagnarli alla porta, ringraziandoli per il servizio.
