Un codice di verifica via SMS è un numero o una stringa di breve durata, di solito utilizzabile una sola volta, inviato a un telefono tramite SMS per confermare un accesso o un’altra operazione sull’account. Funge da fattore di autenticazione aggiuntivo, ma la sua sicurezza dipende dal fatto che il codice raggiunga l’abbonato a cui è destinato e rimanga riservato.
Gli aggressori potrebbero cercare di ottenere un codice tramite phishing, scambio di SIM o abuso della segnalazione della rete mobile che reindirizza o intercetta la consegna degli SMS. Acquisire un codice può aiutare a eludere le protezioni dell’account, anche se l’aggressore non ha compromesso il dispositivo preso di mira. Le organizzazioni dovrebbero considerare gli SMS un fattore meno sicuro delle passkey o dei metodi basati su app di autenticazione, limitare la validità e il riutilizzo dei codici e monitorare gli accessi sospetti. Gli operatori mobili possono ridurre i rischi a livello di rete con controlli e monitoraggio della segnalazione.