Android 17 riduce il limite massimo di tentativi PIN errati da 1.800 in cinque anni a soli 20 totali. Il cambiamento, anticipato da Google durante The Android Show: I/O Edition a maggio 2026, è stato dettagliato il 1° luglio 2026 da Android Authority con i dati tecnici forniti dal ricercatore Mishaal Rahman. La mossa segna una svolta nella filosofia di sicurezza di Google: usabilità secondaria, protezione del dato primaria.
- Android 17 introduce un hard cap assoluto di 20 tentativi PIN errati, contro i 1.800 di Android 16.
- Il rate limiting è più aggressivo: 6 tentativi nel primo minuto, 12 in 24 ore, 19 in cinque anni.
- Il duplicate-guess detection ignora i PIN errati ripetuti, mitigando il rischio di autoblocco accidentale.
- Il sistema mostra intervalli di attesa più leggibili e un collegamento rapido al recupero account da altro dispositivo.
Il calcolo del rischio: perché Google ha accettato di bloccare gli utenti legittimi
La scelta di Google è un trade-off esplicito e senza mezzi termini. Android 16 permetteva 1.800 tentativi di PIN in cinque anni, distribuiti su una scala temporale che rendeva tecnicamente fattibili attacchi brute-force prolungati su PIN deboli — date, pattern numerici, sequenze ripetute. Android 17 restringe il campo a 6 tentativi nel primo minuto, 7 in sei minuti, 8 in 25 minuti, 12 in 24 ore, 19 in cinque anni. Al ventesimo errore, nessun ulteriore tentativo è permesso.
Questo modello "severo con hard cap" elimina la fattibilità pratica di attacchi automatizzati su dispositivi fisicamente accessibili. Il costo è l'utente che dimentica il PIN dopo mesi di utilizzo del lettore d'impronte: senza backup biometrico funzionante, il blocco è definitivo. Google ha calcolato che la riduzione del rischio di data breach da dispositivi persi o rubati giustifica l'aumento del tasso di locked-out accidental.
Come funziona il duplicate-guess detection
L'elemento che rende tollerabile il nuovo hard cap è il duplicate-guess detection. Secondo la fonte, se l'utente inserisce ripetutamente lo stesso PIN errato, il sistema riconosce la ripetizione, la ignora e mostra un messaggio dedicato che spiega perché il tentativo non è contato nel limite. Questo meccanismo protegge da due scenari comuni: l'utente che confonde il PIN con quello di un altro dispositivo, e l'input fantasma causato da difetti del touchscreen o della custodia.
Il sistema migliora anche la comunicazione durante i lockout. Android 17 mostra intervalli in formato leggibile — "30 minuti" invece di "1.800 secondi" — e include un collegamento rapido alle opzioni di recupero account da un altro dispositivo. La fonte non specifica se il recupero richieda autenticazione a due fattori, codice di backup o intervento amministrativo.
"Android's hard limit for failed PIN attempts has dropped from 1,800 over five years to just 20." — Android Authority
Dal modello permissivo al modello severo: la scala temporale
La granularità dei numeri documenta la discontinuità tra le due versioni. Android 16 offriva 10 tentativi nel primo minuto, 20 in sei minuti, 50 in 25 minuti, 110 in 24 ore, 1.800 in cinque anni. Android 17 taglia quasi ogni valore a metà o meno: il primo minuto passa da 10 a 6, le 24 ore da 110 a 12, il quinquennio da 1.800 a 19 prima del hard cap.
La scala non è lineare ma esponenziale decrescente, progettata per frustrare attacchi che sfruttano intervalli brevi. Un aggressore con 24 ore di accesso fisico al dispositivo disponeva di 110 tentativi su Android 16; su Android 17 ne ha 12. La riduzione è del 89% nell'arco di un giorno, e del 98,9% nel quinquennio. La fonte non documenta se esistano eccezioni per profili aziendali, gestione MDM o container di lavoro separati.
Perche è importante
Il dossier non specifica la data di rilascio effettiva di Android 17 né l'elenco dei dispositivi supportati. L'articolo di Android Authority è datato 1° luglio 2026, il che suggerisce un riferimento a versione beta, developer preview o pre-annuncio tecnico. La fonte non documenta inoltre il comportamento del sistema dopo il ventesimo tentativo errato: se richieda factory reset, blocco permanente dell'account, o procedura di sblocco tramite Google.
Il brief non indica misure correttive specifiche per utenti o amministratori. Non emergono sovrapposizioni infrastrutturali con vulnerabilità CVE documentate, né riferimenti a incidenti di sicurezza che abbiano motivato il cambiamento. La fonte non confronta il sistema di Android 17 con meccanismi analoghi su iOS o altre piattaforme mobili.
Per le aziende, il dossier non specifica se il nuovo rate limiting si applichi ai profili work o se i gestori MDM possano configurare eccezioni. Per gli utenti consumer, la fonte non quantifica il rischio stimato di autoblocco accidentale né la frequenza storica di locked-out su versioni precedenti.
La nuova normalità per la sicurezza mobile
Google sta ridefinendo lo standard di sicurezza del settore mobile con una logica finora riservata ai sistemi enterprise e alle infrastrutture critiche: l'utente legittimo è il primo attore a cui si nega l'accesso, per ridurre la superficie d'attacco contro quelli illegittimi. Il duplicate-guess detection ammorbidisce il bordo, ma il principio resta — il dato sul dispositivo vale più della convenienza immediata.
Se Android 17 stabilisce il precedente, i competitor dovranno calibrare le proprie politiche su questa nuova aspettativa. Il mercato della sicurezza mobile si sposta da una competizione su chi offre più funzionalità a una su chi offre meno vulnerabilità. Il PIN di quattro cifre, già tecnicamente obsoleto da anni, diventa praticamente indefendibile senza questi controlli di rate limiting. La domanda è se gli utenti accetteranno il trade-off, o se Google sarà costretta a reintrodurre aperture nel ciclo di vita della versione.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.lawfaremedia.org/article/supreme-court-undermines-section-702
- https://www.androidauthority.com/android-17-pin-password-protection-3683166/
- https://therecord.media/supreme-court-decision-threatens-eu-us-data-sharing
- https://www.lawfaremedia.org/article/usa-liberty-act-house-judiciarys-proposed-reauthorization-section-702
- https://www.lawfaremedia.org/article/after-schrems-ii-proposal-meet-individual-redress-challenge
- https://www.dataprivacyframework.gov/list
- https://www.law.cornell.edu/uscode/text/15/41