Android 17 protegge i codici OTP via SMS: cosa cambia

Un codice ricevuto via SMS è spesso l’ultimo passaggio per accedere a un account o confermare un’operazione. Il problema è che, se un’app malevola riesce a leggere i messaggi, può tentare di intercettare proprio quel codice. Con Android 17 Google estende le protezioni degli OTP via SMS: per molte app l’accesso programmatico al messaggio viene ritardato di tre ore. Non è una funzione di Gmail e non nasconde il codice all’utente che apre la propria app Messaggi: interviene sui permessi con cui le applicazioni possono leggere gli SMS.

Che cosa cambia con Android 17

La protezione riguarda gli SMS che contengono password monouso, o OTP (one-time password). Android applica un ritardo di tre ore prima che la maggior parte delle app possa ottenere quei messaggi attraverso le interfacce di sistema. Durante l’intervallo, il sistema filtra le interrogazioni all’archivio SMS e non inoltra alle app interessate la normale notifica di ricezione. L’obiettivo è ridurre la possibilità che un’app non autorizzata legga il codice appena arrivato e lo usi per tentare di entrare nell’account della vittima.

Il comportamento dipende però dal tipo di messaggio e dall’applicazione. Per gli SMS in formato WebOTP, l’accesso viene ritardato per le app che non sono il destinatario previsto, determinato tramite verifica del dominio; questa protezione si applica indipendentemente dalla versione Android a cui l’app è destinata. Per i messaggi standard che contengono un OTP, la regola delle tre ore si applica alla maggior parte delle app che dichiarano come obiettivo Android 17 (API 37) o una versione successiva. Non significa quindi che ogni SMS con numeri venga bloccato allo stesso modo su ogni telefono.

Le eccezioni e il ruolo dell’app Messaggi

Google prevede eccezioni per alcune categorie, tra cui l’app SMS predefinita, l’assistente di sistema e le app associate a dispositivi collegati. La protezione non è un timer che l’utente deve avviare e non c’è un nuovo interruttore da cercare nelle impostazioni: è una regola di accesso applicata dal sistema alle app che tentano di leggere i messaggi. La documentazione per sviluppatori spiega che l’app autorizzata a gestire gli SMS rimane fra le eccezioni; il normale uso della casella di messaggi non equivale quindi all’accesso di un’app di terze parti.

La distinzione è utile anche per capire cosa la novità non fa. Non genera codici, non sostituisce la verifica in due passaggi e non impedisce a un truffatore di convincere una persona a comunicargli volontariamente un OTP. Un codice può essere protetto dall’accesso automatico di un’app e restare comunque esposto se viene inoltrato, fotografato o digitato su un sito contraffatto. Per questo conviene inserire il codice solo nell’app o nella pagina del servizio che si sta effettivamente usando, senza condividerlo con chi telefona o scrive, anche se dichiara di essere dell’assistenza.

Perché alcune app potrebbero comportarsi diversamente

La modifica riguarda soprattutto le applicazioni che leggono gli SMS per compilare automaticamente un codice. Android indica ai loro sviluppatori di passare alle API SMS Retriever o SMS User Consent: sono strumenti progettati per ricevere il codice richiesto senza concedere all’app un accesso generale alla casella SMS. Se un’app di fiducia smette di riempire automaticamente un OTP dopo l’aggiornamento, può essere un segnale che il suo meccanismo deve essere adeguato; non implica necessariamente che il messaggio sia stato perso. In quel caso si può aprire l’app Messaggi e inserire manualmente il codice, se il servizio lo consente.

Le eccezioni e il momento in cui il cambiamento si applica dipendono dal formato del messaggio, dalle API usate dal servizio e dalla versione Android installata. Gli sviluppatori devono verificare i requisiti ufficiali prima di cambiare il flusso di accesso; gli utenti, invece, non devono concedere a un’app permessi SMS non necessari soltanto per velocizzare l’inserimento di un codice. Quando possibile, un passkey o un metodo di autenticazione più robusto può ridurre la dipendenza dagli SMS, ma la disponibilità varia da servizio a servizio.

Che cosa controllare sul proprio telefono

La protezione è legata ad Android 17 e al modo in cui le singole app sono state realizzate: non è una novità specifica di Gmail né un aggiornamento distribuito tramite Gmail. Per sapere se un dispositivo ha ricevuto la versione, si può controllare la sezione Informazioni sul telefono e poi Aggiornamento software; il percorso e le date di disponibilità dipendono dal produttore e dal modello. Google ha indicato una disponibilità iniziale sui Pixel, mentre l’arrivo su altri telefoni dipende dai rispettivi produttori. Non è quindi corretto promettere una data unica per tutti gli smartphone Android in Italia.

In pratica, chi riceve un codice SMS può continuare a usarlo nel flusso di accesso previsto dal servizio. La differenza avviene dietro le quinte: Android limita per un periodo l’accesso delle app che non dovrebbero leggere quel messaggio. È una misura mirata contro l’intercettazione automatica, che rafforza la protezione degli OTP senza trasformare il codice in una garanzia assoluta. Aggiornare il telefono, mantenere le app aggiornate e non comunicare mai i codici a terzi restano precauzioni complementari.