'istituto, fondato a metà degli anni Sessanta in una piccola provincia tra Treviso e Vicenza, contava all'inizio del 2025 circa quattrocentoventimila clienti retail e centocinquantamila correntisti corporate. Aveva esternalizzato la messaggistica transazionale dieci anni prima, durante un consolidamento sistemistico, e da allora il contratto si era rinnovato per inerzia. Il fornitore garantiva una consegna entro quindici secondi sul 95 % degli SMS. Sulla carta era abbastanza. Sul lock screen di un cliente che cerca di pagare la cena al ristorante un sabato sera, ottenere il codice di sblocco dopo venti secondi è un'altra cosa.
La sfida che il bilancio non mostrava
Il direttore IT non aveva un dashboard ufficiale di questo tipo di metriche perché il fornitore non le esponeva con quel livello di granularità. Le aveva costruite lui, con un piccolo script Python che pingava ogni quindici minuti l'API SMS attraverso una sim aziendale e misurava la differenza tra invio e arrivo. I numeri della propria rete erano peggiori di quelli pubblicati nei report mensili — non perché qualcuno mentisse, ma perché il fornitore misurava "submitted to carrier" e non "delivered to handset".
C'era poi un secondo problema, più sottile e più costoso. Tre clienti correntisti, in tre fine settimana diversi del 2024, avevano ricevuto SMS apparentemente legittimi della banca che chiedevano di chiamare un numero o cliccare un link. SMS spoofing. Il sender ID era stato falsificato sfruttando il fatto che la convenzione AGCom sull'autenticazione del mittente alfanumerico in Italia era ancora ineguale tra operatori. Le perdite tre volte assommavano a oltre centotrentamila euro, recuperate in parte ma solo dopo settimane di indagini.
L'indagine — quattro venditori, tre settimane
L'RFP venne emesso a gennaio. Cinque vendor furono invitati a presentare offerta tecnica entro venti giorni: il fornitore uscente, due aggregatori italiani noti, un operatore globale con presenza italiana, e una piattaforma orizzontale che la banca aveva incontrato a un evento ABI Lab pochi mesi prima.
I criteri erano quattro, in quest'ordine di peso: mediana di consegna OTP sotto i cinque secondi misurata su rete reale (40 %), trasparenza del routing carrier con accesso ai DLR raw (25 %), supporto al registro mittenti AGCom (20 %), prezzo per messaggio inclusi tutti i sovraprezzi (15 %). Solo due vendor passarono il filtro tecnico iniziale.
Il fornitore prima diceva 95% in 15 secondi. Vero. Solo che il 5% era proprio sui clienti che ti chiamano sabato pomeriggio e ti aprono un ticket Lunedì.
La decisione
La proposta vincente prevedeva un routing primario sulla rete TIM con fallback automatico su Vodafone Italia se il DLR non rientrava entro due secondi. Il sender alfanumerico — undici caratteri, registrato presso AGCom secondo la deliberazione n. 230/24/CONS — sarebbe stato unico e bloccato in scrittura per impedire spoofing involontario. Le metriche di consegna sarebbero state esposte in tempo reale via Prometheus, con esportazione automatica dei DLR carrier nel data warehouse della banca.
Il contratto, firmato a fine febbraio, includeva una clausola insolita per il settore: penali progressive se la mediana di consegna superava i cinque secondi per tre giorni consecutivi. Il direttore IT raccontava mesi dopo che era stata proprio quella clausola — più della tecnologia — a convincere il consiglio di amministrazione che il fornitore credeva nei propri numeri.
L'implementazione
Il go-live tecnico richiese ventitré giorni. La migrazione dei template avvenne in tre tranche: prima i flussi a basso volume (alert di accesso da nuovo dispositivo, conferma cambio email), poi gli OTP di operazioni dispositive sopra i mille euro, infine — a maggio — gli OTP di autenticazione forte sotto la PSD2 articolo 97. Ogni tranche era preceduta da una settimana di shadow mode: il nuovo fornitore riceveva il payload ma non spediva, mentre quello uscente continuava a operare. I dati di consegna venivano confrontati riga per riga.
Tre incidenti minori in sei mesi: una volta un certificato TLS scaduto su un gateway intermedio che non era stato registrato nel monitoring, una volta una regola anti-spam del fornitore che bloccava temporaneamente la frase "PIN dimenticato" perché contenuta in una blacklist di phishing, una volta una congestione carrier Vodafone Italia in un singolo distretto durante una partita di calcio. Ogni volta, escalation entro venti minuti.
Lo spoofing del sender SMS in Italia non era una possibilità teorica. Era una cosa che ci era successa tre volte in dodici mesi. Il registro AGCom non risolve tutto ma chiude la porta più larga.
L'esito, sei mesi dopo
La mediana di consegna OTP è scesa da quarantadue secondi a otto decimi di secondo. Il novantanovesimo percentile è a tre secondi e venti. Le frodi SMS dichiarate dai clienti sono diminuite del trentotto per cento — in parte grazie all'autenticazione del mittente registrato, in parte perché il sistema di anomalia dei flussi rileva e blocca automaticamente i pattern di smishing prima che raggiungano il cliente.
Il costo per messaggio è aumentato del nove per cento rispetto al fornitore uscente. Il direttore IT, presentando i numeri al CDA di novembre, ha calcolato che il recupero dei clienti che prima abbandonavano l'app per timeout di sessione vale circa trentasette volte questa differenza di costo. Il consiglio gli ha rinnovato il budget IT per il 2026.