Consegna degli SMS OTP e frodi

Che cosa dimostra un OTP

Un OTP risponde a una sola domanda: la persona che si ha davanti può ricevere ora un messaggio su questo numero? È utile per il recupero dell’account e per l’accesso, perché lega la sessione a qualcosa che l’utente controlla. Non è un documento di identità. Il numero può essere riciclato, spostato su una nuova SIM, inoltrato o letto da un’altra persona del nucleo familiare.

La distinzione conta in fase di progettazione. Se l’azione ha un valore basso, un OTP è proporzionato. Se l’azione sposta denaro, cambia una password o aggiunge un beneficiario, abbinare il codice a una seconda verifica: un ritardo, una conferma in una sessione già esistente, una richiamata su un canale noto o una revisione manuale. Il codice è un fattore, non l’intera decisione.

Dove sfugge un OTP

Un SIM swap sposta il numero su una nuova scheda. L’attaccante convince un punto vendita o un servizio di assistenza di essere il titolare, e il codice successivo arriva alla nuova SIM. Il riciclo dei numeri ha lo stesso effetto senza alcun attaccante: un operatore riassegna un numero inattivo e il nuovo titolare riceve un codice destinato al vecchio account. In entrambi i casi conviene verificare se un numero è stato portato o riassegnato di recente.

L’inoltro e la trascrizione della segreteria in testo inviano il messaggio a un’altra casella. Il phishing copia il modulo e raccoglie direttamente il codice, quindi la rete non vede mai un attacco. L’intercettazione sul percorso di rete è più rara ed è fuori dal controllo dell’applicazione; la risposta pratica è un secondo fattore, non un codice più lungo. Per le definizioni, consultare la voce del glossario OTP.

I controlli utili

Limitare la frequenza con cui un numero, un indirizzo IP e un dispositivo possono richiedere un codice. Usare una validità breve, un solo utilizzo per codice e legare il codice alla sessione che lo ha richiesto. Registrare il mittente e mantenere il contenuto semplice: un codice che sembra un messaggio di marketing può essere filtrato, e un codice filtrato genera un ticket di assistenza, non un accesso.

Verificare il numero prima di fidarsene. Un numero che non può ricevere SMS, che è stato portato di recente o che ha uno storico di reimpostazioni merita un passaggio aggiuntivo. Per le azioni di valore elevato, richiedere una sessione già esistente o un secondo canale. Registrare la richiesta, l’invio, la ricevuta e l’inserimento del codice come eventi distinti, in modo da distinguere un problema di consegna da un problema dell’utente.

Progettare il codice stesso con la stessa cura. Generarlo da una fonte crittografica, memorizzarne un hash, farlo scadere in pochi minuti, consentire un solo utilizzo riuscito e limitare i tentativi per codice e per sessione. Non rivelare se il numero esiste. Creare il record dell’account prima dell’invio, in modo che un nuovo tentativo non possa aprire un account che non viene mai completato.

Misurare il flusso, non l’invio

Un invio che restituisce un ID messaggio non è un codice consegnato. Un codice consegnato non è un accesso completato. Costruire il funnel a partire dagli eventi che si controllano: invio, ricevuta, inserimento del codice, esito positivo. Poi confrontarlo con la visione del fornitore. Uno scarto tra il proprio tasso di consegna e quello del fornitore può essere una ricevuta che non ha mai raggiunto il proprio endpoint di ricezione, non un messaggio che non ha mai raggiunto il terminale.

Rivedere il flusso quando una metrica si muove. Un calo del completamento con un tasso di consegna stabile indica il modulo, la scadenza del codice o il mittente. Un calo della consegna con un tasso di invio stabile indica la rotta, il numero o il filtro dei contenuti. Un aumento dei reinvii indica il tempo di consegna. Correggere il passaggio indicato dai dati, non quello più facile da modificare.

Fissare una data di revisione per l’intero flusso. I numeri cambiano titolare, le rotte cambiano e i modelli invecchiano. Un flusso che funzionava al lancio può smettere di funzionare senza segnali sei mesi dopo, con lo stesso codice e lo stesso fornitore.