Perché le banche italiane richiedono ancora i codici via SMS

2026-09-06

Chi lavora nel digitale da un po' di tempo tende a dare per scontato che l'SMS come canale di sicurezza sia ormai roba superata, sostituita da app di autenticazione, notifiche push e chiavi hardware. In Italia, con le banche, non è così. L'OTP via SMS resta uno standard vivo e ampiamente usato, non un residuo del passato che sta per sparire, ed è utile capire perché — soprattutto per chi gestisce un'azienda e deve fare i conti con questo canale ogni giorno.

Un requisito regolatorio, non un'abitudine

Le banche italiane — MPS è un esempio concreto tra i tanti — continuano a usare l'SMS come canale principale per gli OTP nell'ambito dei requisiti di autenticazione forte del cliente (SCA) previsti dalla normativa europea sui servizi di pagamento. Non è pigrizia tecnologica: è un canale che la regolamentazione riconosce esplicitamente, che non richiede al cliente di installare nulla di aggiuntivo, e che funziona anche su un telefono senza connessione dati. Finché questo quadro regolatorio resta com'è, l'SMS OTP bancario in Italia non sta andando da nessuna parte, indipendentemente da quante alternative tecniche esistano sulla carta.

Il rovescio della medaglia è che un canale così radicato genera anche più attrito quando qualcosa va storto. Sui siti di supporto italiani specializzati in telefonia si trovano regolarmente segnalazioni reali di utenti che scrivono "non ricevo l'OTP via SMS" o descrivono "problemi con gli OTP via SMS dopo la portabilità" — casi in cui un cambio di operatore, una SIM temporaneamente bloccata o un problema di rete lasciano la persona fuori da un accesso o da un pagamento proprio nel momento critico. Sono lamentele individuali, ma raccontano un pattern chiaro: il sistema funziona finché il telefono giusto è acceso, raggiungibile, e in mano a chi deve leggere il codice in quel preciso istante.

Il buco che nessuno ha ancora coperto: l'uso aziendale

Qui la conversazione italiana sull'inoltro SMS si ferma quasi sempre al caso personale. Il concorrente diretto più visibile sul mercato italiano, Inoltro SMS (sms-forwarder.com/it, sviluppato da GawkAr), copre bene esattamente questo terreno: inoltra SMS verso email, Telegram, Slack, Discord, Microsoft Teams, WhatsApp o un altro telefono, ha filtri per orario e un interruttore dedicato specificamente agli OTP bancari. È una soluzione solida, ma pensata per una persona che sincronizza i propri dispositivi — non per un'azienda strutturata con un reparto che deve gestire verifiche su un numero condiviso, né per un flusso di lavoro dove più persone hanno bisogno di vedere lo stesso codice a seconda di chi è operativo quel giorno.

È un'assenza concreta, non solo teorica: un'azienda che tiene un vecchio Android con la SIM della banca in un cassetto della contabilità, e che deve far arrivare l'OTP a chi sta effettivamente confermando il bonifico in quel momento, non trova sul mercato italiano uno strumento pensato esplicitamente per quel contesto di squadra.

Come Pushferry entra in questo spazio

Pushferry non cambia la natura del canale — l'SMS bancario resta un SMS, e va bene così — ma cambia chi lo vede e quando. Installi l'app su un Android qualunque, anche il più datato, purché tenga la SIM attiva su cui la banca manda i codici, e ogni messaggio in arrivo viene inoltrato a un canale Slack dell'amministrazione, a un indirizzo email condiviso, o a un webhook collegato al gestionale interno. È automazione del proprio dispositivo: il telefono continua a ricevere esattamente quello che riceverebbe comunque, cambia solo la velocità e la precisione con cui il codice arriva a chi deve usarlo.

Il piano gratuito copre un telefono con inoltro illimitato e senza carta di credito, il che rende semplice provare il flusso su una sola linea bancaria prima di estenderlo. Da lì, i piani a pagamento (Solo, Team, Business) crescono in base al numero di telefoni collegati — mai in base a quanti OTP arrivano in un mese, che siano cinque o cinquecento. E il testo dei codici non viene mai salvato sui server: passa dal telefono al canale scelto e lì si ferma, il che per un dato sensibile come un codice bancario non è un dettaglio secondario.

Finché le banche italiane manderanno gli OTP via SMS — e i requisiti SCA suggeriscono che sarà ancora per parecchio — il problema di farli arrivare alla persona giusta, in azienda, resta aperto. È una nicchia stretta, ma reale, e per ora sostanzialmente scoperta.