Indice dell'articolo
Installazione dell'app
Le app di digital banking sono disponibili sia per iOS (App Store) che per Android (Google Play Store). Prima di procedere al download, verificare che l'app sia quella ufficiale dell'istituto controllando il nome dello sviluppatore indicato nella scheda del negozio digitale.
Requisiti tecnici minimi tipici:
- iOS: versione 15 o successive
- Android: versione 10 o successive
- Connessione internet (Wi-Fi o dati mobili)
- Spazio libero: generalmente 50–200 MB a seconda dell'app
Primo accesso e registrazione del dispositivo
Il primo avvio dell'app richiede di autenticarsi con le credenziali create durante la registrazione online (email e password). Questo passaggio associa il dispositivo al conto e attiva le funzionalità di autenticazione avanzata.
Il flusso tipico del primo accesso è:
- Apertura dell'app e inserimento di email e password
- Ricezione di un OTP a 6 cifre via SMS sul numero di cellulare registrato
- Inserimento dell'OTP nell'app per confermare la registrazione del dispositivo
- Ricezione di una notifica email di conferma della registrazione
Dopo questo passaggio, il dispositivo è considerato "fidato" (trusted device). Le operazioni successive richiedono solo il PIN o la biometria, senza dover ripetere la verifica via SMS per ogni accesso.
Configurazione del PIN
Il PIN è il codice numerico principale per accedere all'app. Viene impostato durante il primo accesso e deve rispettare i criteri di sicurezza dell'istituto.
Criteri tipici per il PIN bancario
- Lunghezza da 5 a 8 cifre (6 è il valore più comune)
- Non possono essere utilizzate sequenze ovvie come "123456" o cifre tutte uguali come "111111"
- Non deve coincidere con la data di nascita o altri dati personali facilmente reperibili
Il PIN non viene memorizzato in chiaro dall'app o sui server dell'istituto, ma tramite meccanismi di hashing sicuro. In caso di dimenticanza, è possibile reimpostarlo dalla sezione impostazioni dell'app tramite verifica aggiuntiva (email + SMS).
Quante volte si può sbagliare
Dopo un numero prefissato di tentativi errati (generalmente 3–5), l'app viene bloccata temporaneamente. Il blocco si risolve tramite la procedura di reset del PIN o, in alcuni casi, contattando il servizio clienti.
Autenticazione biometrica
L'autenticazione biometrica permette di accedere all'app con l'impronta digitale o il riconoscimento del volto, senza dover digitare il PIN a ogni accesso.
Impronta digitale (Touch ID / Fingerprint)
Per attivare l'accesso tramite impronta digitale:
- Andare nelle impostazioni dell'app, sezione "Sicurezza" o "Accesso"
- Selezionare "Abilita impronta digitale"
- Confermare con il PIN corrente
- Il sistema usa le impronte già registrate nel sistema operativo del dispositivo
L'app non memorizza i dati biometrici sul proprio server; utilizza esclusivamente le API sicure fornite dal sistema operativo (Android Biometrics API / iOS LocalAuthentication framework).
Riconoscimento facciale (Face ID)
Il funzionamento è analogo all'impronta digitale. Su iOS viene utilizzato Face ID, mentre su Android vengono usate le funzionalità di riconoscimento facciale disponibili nel sistema operativo del produttore. La funzionalità è disponibile solo su dispositivi dotati di sensori 3D o infrarossi adeguati.
Autenticazione a due fattori (2FA)
La direttiva europea PSD2 (Payment Services Directive 2) obbliga le banche a implementare la Strong Customer Authentication (SCA) per le operazioni di pagamento. Questo significa che per autorizzare operazioni sensibili sono necessari almeno due dei seguenti fattori:
- Qualcosa che si sa: PIN o password
- Qualcosa che si possiede: il dispositivo registrato, una smart card
- Qualcosa che si è: impronta digitale, riconoscimento facciale
OTP via SMS
Il metodo più diffuso per il secondo fattore è l'OTP (One Time Password) via SMS. Per ogni operazione sensibile (bonifico, modifica dei dati, accesso da nuovo dispositivo) viene inviato un codice temporaneo al numero di cellulare registrato. Il codice ha una validità di 5–10 minuti.
App authenticator
Alcune banche digitali permettono di usare app authenticator compatibili con lo standard TOTP (RFC 6238) come metodo di secondo fattore alternativo all'SMS. La configurazione richiede di scansionare un QR code fornito dall'app bancaria con l'app authenticator prescelta.
Notifica push in-app
Il metodo più moderno è la conferma tramite notifica push nell'app stessa. Quando si effettua un'operazione da un dispositivo, appare una notifica push sul dispositivo fidato registrato che richiede di approvare o rifiutare l'operazione. Questo metodo è più sicuro degli SMS in quanto non vulnerabile agli attacchi di SIM swapping.
Notifiche di sicurezza
Le notifiche di sicurezza avvisano in tempo reale di eventi rilevanti sul conto. È consigliabile attivarle tutte:
- Accesso all'app da nuovo dispositivo
- Modifica dei dati di contatto (email, telefono)
- Modifica del PIN o delle credenziali
- Tentativo di accesso con PIN errato
- Aggiunta di un nuovo beneficiario nei pagamenti
Le notifiche possono essere configurate sia come push (richiedono che le notifiche dell'app siano abilitate nel sistema operativo) che come email.
Gestione di dispositivi multipli
La maggior parte delle app bancarie digitali permette di registrare più dispositivi sullo stesso conto (es. smartphone e tablet). Ogni dispositivo registrato può visualizzare la lista completa nella sezione "I miei dispositivi" o "Gestione dispositivi" delle impostazioni.
In caso di smarrimento o furto di un dispositivo registrato, è possibile rimuoverlo dall'elenco accedendo all'app da un altro dispositivo fidato o tramite il portale web dell'istituto. La rimozione invalida immediatamente la sessione attiva su quel dispositivo.