Introduzione: l'angolo cieco della nostra sicurezza mobile
Nel 2026, viviamo nell'illusione di una connettività totale e sicura. Abbiamo automatizzato i nostri scambi, siamo migrati verso interfacce ricche e abbiamo adottato smartphone capaci di elaborare miliardi di operazioni al secondo. Eppure, una falla enorme persiste nella nostra quotidianità digitale: la permanenza dei messaggi non crittografati.
Mentre il grande pubblico si concentra sulle funzionalità dell'IA integrate nelle tastiere o sulla qualità delle videochiamate, agenzie di sicurezza come la CISA (Cybersecurity and Infrastructure Security Agency) lanciano l'allarme. Il problema non è più solo l'assenza di crittografia sul vecchio protocollo SMS, ma il modo in cui passiamo, spesso a nostra insaputa, da canali sicuri a canali aperti. Questa instabilità protocollare crea una «zona grigia» dove i nostri dati personali, i codici di doppia autenticazione (2FA) e i segreti professionali sono esposti.
L'anatomia di un'intercettazione: come vengono letti i tuoi messaggi
Per capire perché un messaggio non crittografato sia pericoloso, bisogna superare la visione semplicistica dell'«hacker che viola un telefono». L'intercettazione avviene spesso prima ancora che il messaggio raggiunga il dispositivo del destinatario.
La vulnerabilità strutturale del protocollo SS7
L'SMS classico si basa sul protocollo SS7 (Signaling System No. 7), uno standard progettato negli anni '70 per consentire agli operatori di comunicare tra loro. All'epoca, la fiducia era la parola d'ordine: si presumeva che solo attori legittimi (gli operatori telecom) avessero accesso a tale rete.
Nel 2026, questa fiducia è obsoleta. Le falle SS7 permettono ancora oggi ad attori malevoli, o a determinati servizi di intelligence, di deviare il traffico SMS. Usurpando l'identità di un commutatore di rete, un attaccante può richiedere il trasferimento dei messaggi di un numero specifico verso il proprio terminale. Il risultato? Il messaggio viene intercettato, letto e rispedito al destinatario originale senza che nessuno se ne accorga.
La trappola del «downgrade attack» (attacco per declassamento)
È qui che il rischio diventa insidioso con l'arrivo del RCS. Immaginiamo che tu e il tuo contatto utilizziate entrambi il RCS con crittografia end-to-end. Tuttavia, se uno di voi perde la connessione dati o se la rete dell'operatore forza il passaggio alla modalità «solo testo», lo smartphone può convertire automaticamente il messaggio in un SMS classico per garantirne la consegna.
Questo passaggio trasparente è una comodità per l'utente, ma un regalo per l'intercettatore. L'attaccante può simulare un guasto della rete RCS per forzare il telefono a inviare il messaggio tramite il canale SMS non sicuro. Questo è ciò che viene chiamato attacco per declassamento.
Perché l'SMS è ancora utilizzato nonostante i rischi?
Ci si potrebbe chiedere: perché continuare a utilizzare un protocollo così vulnerabile nel 2026? La risposta risiede nell'universalità e nell'infrastruttura.
| Caratteristica | SMS (Classico) | RCS / Messaggistica Crittografata |
|---|---|---|
| Compatibilità | Universale (tutti i cellulari) | Dipende dall'OS e dai Dati |
| Dipendenza | Rete GSM (Voce) | Rete IP (Internet) |
| Sicurezza | Nulla (Leggibile dall'operatore) | Elevata (se E2EE attivo) |
| Affidabilità | Molto alta (priorità di rete) | Variabile in base alla connettività |
L'SMS rimane la «rete di sicurezza» mondiale. È per questo che le banche e i servizi governativi continuano a utilizzarlo per l'invio di codici di convalida, nonostante i ripetuti avvertimenti dell'ANSSI o della CISA. L'intercettazione di un semplice SMS di convalida può essere sufficiente a compromettere un conto bancario tramite una tecnica di SIM swapping (sostituzione della SIM).
Le conseguenze concrete dell'assenza di crittografia
L'intercettazione dei messaggi non è solo una minaccia teorica per spie o politici. Colpisce il cittadino comune in tre modi principali:
- Spionaggio commerciale e industriale: informazioni sensibili inviate rapidamente via SMS tra colleghi possono essere catturate da concorrenti che utilizzano strumenti di intercettazione di rete.
- Furto di identità digitale: come menzionato, l'SMS è l'anello debole della doppia autenticazione. Intercettare il codice ricevuto via SMS permette di aggirare la sicurezza di numerosi servizi online.
- Sorveglianza statale e amministrativa: senza crittografia end-to-end, i tuoi messaggi sono memorizzati in chiaro o crittografati con chiavi detenute dall'operatore. Ciò significa che qualsiasi richiesta legale (o sorveglianza abusiva) permette di accedere all'integrità dei tuoi scambi senza che tu ne sia informato.
Come proteggersi nel 2026: guida di sopravvivenza
Di fronte a queste minacce, la soluzione non è smettere di comunicare, ma diventare consapevoli del canale utilizzato. Ecco i passaggi essenziali per mettere in sicurezza i tuoi scambi.
1. Fare un audit delle proprie app di messaggistica
Non fidarti dell'aspetto dell'applicazione. Verifica nelle impostazioni se la «Crittografia end-to-end» è attivata per impostazione predefinita. Su Google Messages o iMessage, assicurati che la conversazione mostri l'indicatore di crittografia (spesso un lucchetto o una menzione specifica nei dettagli del contatto).
2. Abbandonare l'SMS per la doppia autenticazione (2FA)
Questo è il consiglio più critico. Sostituisci i codici ricevuti via SMS con:
- App di autenticazione (Google Authenticator, Authy, Bitwarden).
- Chiavi di sicurezza fisiche (YubiKey).
- Il protocollo Passkey, che elimina totalmente la necessità di un codice che transiti attraverso la rete mobile.
3. Utilizzare messaggistica «Zero-Knowledge»
Per le conversazioni realmente sensibili, prediligi strumenti il cui modello economico non si basi sulla gestione dei dati e che utilizzino protocolli aperti e verificabili (come il protocollo Signal). Il vantaggio di queste applicazioni è che non propongono un «fallback» (ripiego) verso l'SMS senza avvisarti esplicitamente.
Conclusione: verso un'igiene digitale proattiva
La convergenza tra iPhone e Android tramite il RCS è una vittoria per l'ergonomia, ma maschera una realtà tecnica complessa. Il pericolo non deriva più solo dall'assenza di tecnologia, ma dalla coesistenza di tecnologie sicure e obsolete all'interno di una stessa interfaccia.
Nel 2026, la sicurezza non può più essere un'opzione attivata per impostazione predefinita dal produttore; deve diventare una competenza dell'utente. Sapere quando un messaggio è «semplicemente inviato» e quando è «veramente crittografato» è l'unica barriera efficace contro l'intercettazione. L'SMS, nonostante la sua nostalgia e semplicità, deve ora essere considerato come una cartolina: chiunque può leggerla durante il trasporto. Per tutto il resto, esigi la crittografia.
