Esiste una forma di ansia tipicamente moderna: quella dello sguardo fisso sullo schermo del telefono, in attesa di un codice a sei cifre. La pagina della banca mostra un conto alla rovescia, il pagamento scade tra 90 secondi e l'SMS non arriva. Si aggiorna la pagina, si preme «Invia di nuovo il codice», si spegne e si riaccende il dispositivo. Niente.
Questo guasto minuscolo ha conseguenze sproporzionate. Senza quel messaggio non si conferma un pagamento online, non si recupera l'accesso a una casella di posta, non si sale su un aereo, non si firma un contratto. L'SMS, tecnologia nata nel 1992 e a lungo relegata al ruolo di chiacchiera, è diventato la chiave d'ingresso di metà della nostra vita amministrativa e finanziaria.
Eppure quasi nessuno sa come circoli davvero. Da qui l'impressione di trovarsi davanti a un fenomeno magico e capriccioso. La realtà è più prosaica: un SMS non ricevuto ha sempre una causa identificabile, e questa causa è molto raramente «il tuo telefono è rotto».
Il percorso reale di un SMS, in quattro tappe
A differenza di un'e-mail, un SMS non viaggia direttamente da un punto A a un punto B. Transita obbligatoriamente attraverso un apparato centrale chiamato SMSC (Short Message Service Center), una sorta di ufficio postale gestito da ciascun operatore.
Il tragitto tipico di un codice di verifica inviato dalla tua banca è più o meno questo:
- Il mittente professionale (la banca) non dialoga direttamente con la rete mobile. Si affida a un aggregatore A2P (Application-to-Person), un intermediario tecnico che ha accordi con gli operatori.
- L'aggregatore sceglie una rotta. Esistono rotte «premium» dirette e rotte «grigie», più economiche, che passano da operatori esteri. Il prezzo pagato determina in larga misura l'affidabilità.
- L'SMSC del tuo operatore riceve il messaggio, ne verifica la legittimità e poi cerca di sapere dove si trova il tuo telefono tramite il registro HLR.
- La consegna finale. Se il tuo cellulare è raggiungibile, il messaggio viene inoltrato. In caso contrario viene messo in coda e ritentato periodicamente per un periodo di validità impostato dal mittente.
Quest'ultimo punto spiega il fenomeno più sconcertante: gli SMS che arrivano tutti insieme, a raffica, un'ora dopo. Non erano andati persi: aspettavano nell'SMSC.
Un SMS non ha alcuna garanzia sui tempi di consegna. Il protocollo GSM, così come standardizzato dall'ETSI e poi dal 3GPP, definisce un servizio detto «best effort»: la rete fa del suo meglio, senza impegni sui tempi di consegna.
Le sette cause reali di un SMS che non arriva
1. La coda di attesa e il periodo di validità
Ogni SMS professionale parte con un parametro invisibile: la sua validity period. Molti mittenti di codici di verifica la impostano volutamente molto breve — da 2 a 5 minuti — proprio perché un codice di sicurezza scaduto non ha più alcuna utilità.
Conseguenza: se il tuo telefono era momentaneamente fuori rete (ascensore, parcheggio sotterraneo, galleria, aereo), il messaggio può essere distrutto definitivamente prima che tu torni raggiungibile. Non recupererà mai il ritardo. È la causa numero uno dei codici «mai ricevuti», mentre i normali SMS degli amici, quelli, prima o poi arrivano sempre.
2. Il filtraggio antifrode dell'operatore
Dopo l'esplosione dello smishing, gli operatori italiani hanno irrigidito notevolmente i propri filtri. Questi sistemi analizzano in tempo reale il contenuto, il mittente, il volume e la rotta utilizzata. Un messaggio legittimo può essere bloccato per errore quando:
- contiene un link accorciato (bit.ly, tinyurl…), massicciamente associato alle frodi;
- il mittente alfanumerico non è registrato nel registro dei nomi mittente istituito dal settore;
- utilizza una rotta internazionale sospetta;
- assomiglia statisticamente a una campagna fraudolenta in corso.
Il messaggio non viene allora né ricevuto né segnalato. Sparisce silenziosamente.
3. Il blocco degli SMS indesiderati e le liste dell'utente
Alcuni utenti hanno attivato, a volte senza saperlo, opzioni di blocco: rifiuto degli SMS da mittenti alfanumerici, blocco dei numeri brevi, filtro antispam integrato nello smartphone. Su Android, l'app Messaggi di Google classifica automaticamente alcuni messaggi in una scheda «Spam e bloccati» che nessuno consulta mai. Su iOS, l'opzione Filtra mittenti sconosciuti relega i messaggi in una seconda scheda poco visibile.
Prima di chiamare l'assistenza, controlla sempre queste due cartelle nascoste. Nella maggior parte dei casi, il codice era proprio lì.
4. La memoria della scheda SIM piena
È un caso diventato raro ma ancora reale, soprattutto sui telefoni a tasti e sui modelli più datati. Quando la memoria della SIM è satura, il cellulare rifiuta la ricezione e la rete ritenta senza successo. Su un telefono cellulare per anziani con tasti grandi conservato come secondo apparecchio, questo blocco è frequente dopo qualche centinaio di messaggi. Basta svuotare la memoria perché la coda si riversi tutta insieme.
5. Il roaming e i numeri brevi
All'estero la ricezione degli SMS è normalmente garantita, ma due eccezioni creano problemi:
- i numeri brevi (4-5 cifre) non sono sempre raggiungibili dall'estero;
- i codici inviati da un mittente alfanumerico possono essere filtrati dall'operatore locale visitato.
Da qui i classici racconti di viaggiatori incapaci di confermare un pagamento bancario da un hotel a Bangkok. Il rimedio consiste nel conservare una seconda linea e attivare un piano dati locale, il che presuppone talvolta un adattatore di presa universale per non ritrovarsi con il telefono scarico nel momento peggiore.
6. Il guasto dell'operatore o dell'aggregatore
Gli incidenti sulle piattaforme A2P esistono e talvolta colpiscono milioni di utenti per diverse ore. Raramente finiscono sui media perché interessano solo il traffico professionale: i tuoi SMS personali passano, mancano soltanto i codici di verifica. Le pagine di stato degli operatori e le piattaforme collaborative di segnalazione dei disservizi permettono di confermare in due minuti che si tratta di un guasto collettivo e non di un problema personale.
7. Il numero obsoleto presso il mittente
Causa banale eppure molto frequente: l'ente invia il codice al numero giusto… di otto anni fa. Cambio di linea, portabilità gestita male, errore di battitura in fase di registrazione. Nulla lo segnala all'utente: lo schermo mostra semplicemente «Un codice è stato inviato al 34• •• •• 42», mascherato quel tanto che basta perché non ci si accorga dell'errore.
Diagnosi rapida: cinque minuti per capire
Di fronte a un SMS mancante, questa sequenza individua la causa nella grande maggioranza dei casi.
| Test | Che cosa rivela |
|---|---|
| Ricevi gli SMS di una persona vicina? | Se sì, il problema è del mittente o del filtraggio, non della tua linea |
| La scheda «spam» dell'app Messaggi è vuota? | Filtraggio locale dello smartphone |
| Modalità aereo per 30 s e poi ritorno in rete | Forza un nuovo tentativo di consegna dall'SMSC |
| Il numero mostrato dal servizio è quello giusto? | Numero obsoleto lato mittente |
| Un altro servizio riesce a inviarti un codice? | Distingue guasto globale e blocco mirato |
Il trucco della modalità aereo merita una parola: riagganciandosi alla rete, il telefono segnala la propria disponibilità all'HLR, il che innesca immediatamente lo svuotamento della coda. È più efficace e più rapido di un riavvio completo.
Un'ultima accortezza spesso dimenticata: verificare la qualità reale del segnale, e non il numero di tacche visualizzate. Sia su iOS sia su Android, la modalità ingegnere (tramite un codice digitato sulla tastiera) mostra la potenza in dBm. Oltre i -110 dBm, il livello di segnalazione che trasporta gli SMS diventa instabile. Nelle zone poco coperte, un ripetitore di segnale mobile omologato oppure, più semplicemente, l'attivazione di chiamate e SMS via Wi-Fi (VoWiFi) risolve la questione in modo duraturo.
Il caso particolare dei codici bancari e della PSD2
Da quando è entrata in applicazione la direttiva europea sui servizi di pagamento (PSD2), ogni pagamento online deve essere oggetto di autenticazione forte. Le banche italiane sono passate in massa alle proprie app mobili, ma l'SMS resta utilizzato come riserva: ed è proprio lì che si concentrano i blocchi.
Tre raccomandazioni concrete:
- Attiva la conferma tramite app non appena la tua banca la propone. Passa dai dati mobili o dal Wi-Fi, aggira completamente la rete SMS ed è resistente al SIM swapping.
- Non chiedere tre codici di fila. Ogni nuova richiesta invalida la precedente; i codici arrivano allora in disordine e nessuno funziona. Aspetta almeno 60 secondi.
- Non comunicare mai un codice ricevuto, nemmeno a chi si presenta come il tuo consulente o come il servizio antifrode. Nessun istituto italiano ha bisogno di quel codice: è destinato a essere inserito da te, sullo schermo davanti al quale ti trovi già.
Quest'ultimo punto è diventato il modus operandi dominante della frode bancaria. La Banca d'Italia e gli osservatori sulla sicurezza dei mezzi di pagamento ricordano regolarmente che la truffa «del finto operatore bancario», in cui il criminale spinge la vittima ad autorizzare lei stessa l'operazione, rappresenta una quota crescente dei danni.
Uscire dalla dipendenza dall'SMS
L'SMS è stato adottato come secondo fattore di autenticazione per una ragione semplice: ce l'hanno tutti. Ma non è mai stato pensato per questo. Non è cifrato end-to-end, dipende da un numero che può essere dirottato e la sua consegna non è garantita.
Le alternative esistono e sono, oggi, più affidabili:
- Le app di autenticazione (TOTP) generano un codice ogni 30 secondi, offline, senza alcuna rete. Funzionano in aereo, in un parcheggio, all'estero.
- Le chiavi di sicurezza fisiche con standard FIDO2/WebAuthn rappresentano il livello superiore: una chiave di sicurezza FIDO2 USB-C si collega o si avvicina al telefono e rende il phishing tecnicamente inefficace, poiché verifica l'indirizzo del sito prima di rispondere.
- I codici di riserva forniti al momento dell'attivazione della doppia autenticazione: da stampare e conservare fuori dal telefono. Una cassaforte ignifuga per documenti o semplicemente una busta sigillata in un cassetto valgono più di uno screenshot nella galleria fotografica.
Le agenzie pubbliche per la cybersicurezza, così come le autorità per la protezione dei dati nelle loro schede pratiche sulle password, convergono: l'SMS è un ripiego accettabile, mai un ideale.
Quando il silenzio dell'SMS è un campanello d'allarme
Un'ultima precisazione importante. Se smetti improvvisamente di ricevere tutti i tuoi SMS e le tue chiamate, senza guasti di rete dichiarati, non cercare la spiegazione nel filtraggio: è il sintomo classico di un SIM swapping. Un truffatore ha fatto trasferire il tuo numero sulla propria scheda SIM, la tua linea è disattivata e ora è lui a ricevere i tuoi codici di verifica al posto tuo.
I segnali da non ignorare:
- «Nessun servizio» o «Ricerca in corso…» persistente mentre gli altri telefoni di casa funzionano;
- un SMS o un'e-mail che annuncia una richiesta di portabilità o di duplicato della SIM che non hai fatto;
- tentativi di accesso segnalati sui tuoi account.
La reazione deve essere immediata: chiamare l'operatore da un'altra linea per far sospendere la SIM, avvisare la banca e sporgere denuncia. Esistono servizi pubblici dedicati all'assistenza in caso di attacchi informatici e portali per la segnalazione online alla Polizia Postale.
Al contrario, un semplice codice mancante mentre tutto il resto funziona non ha nulla di allarmante: è quasi sempre un problema di rotta, di filtro o di coda. Prendere l'abitudine di distinguere le due situazioni — silenzio totale contro silenzio selettivo — evita sia i panici inutili sia le reazioni troppo tardive.
L'essenziale da ricordare
- Un SMS non ricevuto ha una causa tecnica identificabile, non è una fatalità.
- I codici di verifica hanno una durata di vita brevissima: se sei fuori rete nel momento sbagliato, vengono distrutti, non ritardati.
- La modalità aereo per 30 secondi è il gesto più efficace per forzare la consegna.
- Controlla sempre la scheda spam della tua app di messaggi prima di qualsiasi altra verifica.
- Sposta i tuoi account sensibili su un'app di autenticazione o su una chiave fisica.
- Un silenzio totale sulla linea, chiamate comprese, deve far pensare al SIM swapping e portare a chiamare subito l'operatore.
