Una password forte è importante, ma oggi spesso non basta più per proteggere un account. Basta che finisca nelle mani sbagliate attraverso una truffa, un sito compromesso o una fuga di dati e qualcuno potrebbe provare ad accedere alla tua email, ai social network o ad altri servizi online.
È proprio qui che entra in gioco l’autenticazione a due fattori, conosciuta anche come 2FA. È una protezione aggiuntiva semplice da utilizzare che rende molto più difficile entrare in un account anche quando qualcuno conosce la password.
Vediamo quindi cos’è l’autenticazione a due fattori, come funziona, perché conviene attivarla e quali sistemi 2FA scegliere per proteggere meglio i propri account.
In breve
L’autenticazione a due fattori (2FA) aggiunge un secondo controllo alla normale password. Dopo aver inserito username e password, il servizio chiede quindi un’altra conferma, per esempio un codice temporaneo generato dallo smartphone.
Questo significa che conoscere la password non basta più per entrare nell’account.
Attivare la 2FA è particolarmente importante per email, account Google e Microsoft, social network, servizi cloud e tutti gli account che contengono informazioni personali o lavorative.
Cos’è l’autenticazione a due fattori
L’autenticazione a due fattori è un sistema di sicurezza che richiede due elementi differenti per verificare la tua identità.
Il primo lo utilizziamo già tutti i giorni: la password.
Il secondo può essere, per esempio, un codice temporaneo ricevuto sul telefono, una conferma tramite un’applicazione, un dispositivo fisico oppure un sistema biometrico.
Immagina di avere due serrature sulla porta di casa. Un malintenzionato riesce a procurarsi la chiave della prima serratura, ma quando arriva davanti alla porta scopre che ne esiste una seconda. Senza quella chiave non può entrare.
La logica della 2FA è molto simile.
Se qualcuno scopre la password della tua email e prova ad accedere da un altro computer, il sistema gli chiederà anche il secondo fattore. Se quel secondo elemento si trova sul tuo smartphone, l’accesso non potrà essere completato facilmente.
Ed è proprio questo che rende l’autenticazione a due fattori una delle protezioni più semplici ed efficaci che possiamo aggiungere ai nostri account.
2FA, MFA e verifica in due passaggi: sono la stessa cosa?
Questi termini vengono spesso utilizzati come sinonimi, anche se esistono alcune differenze.
2FA significa Two-Factor Authentication, cioè autenticazione a due fattori. MFA significa invece Multi-Factor Authentication e indica più genericamente un’autenticazione che utilizza due o più fattori.
Nell’utilizzo quotidiano, però, ciò che conta è il principio: non affidare tutta la sicurezza dell’account alla sola password.
Perché la password da sola non basta più
Per anni ci siamo sentiti ripetere di utilizzare password lunghe, complesse e difficili da indovinare. Il consiglio resta valido, ma oggi il problema non riguarda soltanto la qualità della password.
Una password può essere ottima e finire comunque nelle mani sbagliate.
Può succedere attraverso una falsa email che imita la banca, Microsoft, Google o un corriere. Può accadere entrando in un sito contraffatto oppure a causa della compromissione di un servizio sul quale abbiamo creato un account anni prima.
C’è poi un’abitudine ancora molto diffusa: utilizzare la stessa password su servizi differenti.
In questo caso basta che uno solo di questi servizi subisca una violazione. I criminali possono prendere email e password ottenute e provarle automaticamente su Gmail, Microsoft, Facebook, Amazon e molti altri servizi.
Con la 2FA la situazione cambia radicalmente perché la password rappresenta soltanto il primo passaggio.
Come funziona la 2FA nella pratica
Supponiamo che tu voglia entrare nel tuo account Google.
Inserisci normalmente indirizzo email e password. Se hai attivato l’autenticazione a due fattori, Google effettua però un secondo controllo prima di permetterti di entrare.
Potrebbe chiederti di confermare l’accesso dal tuo smartphone oppure di inserire un codice generato da un’app di autenticazione.
Se sei davvero tu, bastano pochi secondi.
Se invece qualcuno dall’altra parte del mondo ha scoperto la tua password, si trova davanti a un ostacolo molto più difficile da superare.
Questo secondo controllo diventa particolarmente utile anche come campanello d’allarme. Se ricevi improvvisamente una richiesta di conferma dell’accesso senza aver provato a entrare nel tuo account, significa che qualcuno potrebbe conoscere la tua password.
In quel caso non devi autorizzare l’accesso e conviene cambiare immediatamente la password.
Quali tipi di autenticazione a due fattori esistono
Non tutti i sistemi 2FA funzionano nello stesso modo e, soprattutto, non offrono tutti lo stesso livello di protezione.
Codice tramite SMS
È probabilmente il sistema più conosciuto. Dopo aver inserito la password, ricevi sul telefono un SMS contenente un codice temporaneo.
È molto meglio rispetto a utilizzare soltanto la password e ha il grande vantaggio di essere semplice. Tuttavia non rappresenta la soluzione più sicura disponibile.
Esistono infatti tecniche con cui un criminale può tentare di prendere il controllo del numero telefonico della vittima e intercettare i codici.
App di autenticazione
Applicazioni come Google Authenticator e Microsoft Authenticator generano direttamente sullo smartphone codici temporanei che cambiano continuamente.
Il codice non arriva tramite SMS e questo elimina alcuni dei problemi legati alla rete telefonica.
Per la maggior parte degli utenti rappresenta un ottimo equilibrio tra sicurezza e semplicità.
Conferma tramite smartphone
Molti servizi mostrano direttamente una richiesta sul telefono.
Quando qualcuno prova ad accedere, compare una notifica che chiede se sei realmente tu. Basta approvare o rifiutare la richiesta.
È un sistema molto comodo, ma bisogna prestare attenzione a non approvare automaticamente notifiche che non abbiamo richiesto.
Chiavi di sicurezza e passkey
Esistono poi sistemi ancora più evoluti, come le chiavi di sicurezza fisiche e le passkey.
Sono particolarmente interessanti per aziende, professionisti e account che richiedono un livello di protezione elevato perché riducono ulteriormente il rischio legato al phishing.
Quale sistema 2FA conviene utilizzare
Non esiste una risposta identica per tutti, ma una regola semplice può aiutare.
Qualunque forma di autenticazione a due fattori è generalmente preferibile alla sola password, mentre app di autenticazione, passkey e chiavi di sicurezza offrono normalmente una protezione più robusta rispetto al semplice SMS.
Per un normale account personale, utilizzare un’app di autenticazione rappresenta già un importante salto di qualità.
Per account aziendali, amministratori di sistemi, caselle email particolarmente importanti o servizi che contengono informazioni sensibili conviene invece valutare sistemi ancora più resistenti al phishing.
Su quali account dovresti attivare subito la 2FA
Se utilizzi molti servizi online, attivare tutto contemporaneamente può sembrare complicato. Conviene quindi partire dagli account che rappresentano la porta d’ingresso verso gli altri.
Il primo è sicuramente l’email.
Chi controlla la tua casella di posta può spesso richiedere il reset delle password di numerosi altri servizi. Proteggere Gmail, Outlook o la propria casella aziendale significa quindi proteggere indirettamente molti altri account.
Subito dopo vengono gli account Google, Microsoft e Apple, i servizi cloud come Google Drive e OneDrive, i social network e tutti gli strumenti che utilizzi per lavorare.
Attenzione: anche la 2FA può essere aggirata
Attivare l’autenticazione a due fattori aumenta notevolmente la sicurezza, ma non significa diventare invulnerabili.
Le truffe online si evolvono continuamente e alcuni attacchi cercano proprio di convincere la vittima a comunicare anche il secondo codice.
Potresti, per esempio, ricevere una falsa comunicazione che ti porta su una pagina molto simile a quella di Microsoft. Inserisci password e codice temporaneo pensando di effettuare un normale accesso, mentre in realtà stai consegnando entrambi a un criminale.
Per questo non bisogna mai comunicare i codici 2FA a qualcuno che li richiede tramite telefono, email, WhatsApp o altri sistemi di messaggistica.
La 2FA funziona molto bene, ma deve andare di pari passo con un minimo di attenzione.
Cosa sono i codici di recupero e perché devi conservarli
Quando attivi l’autenticazione a due fattori, molti servizi generano alcuni codici di emergenza.
È facile ignorarli pensando che non serviranno mai. In realtà possono diventare fondamentali.
Immagina di perdere lo smartphone oppure di sostituirlo senza aver trasferito correttamente l’app di autenticazione. Conosci ancora la password, ma non puoi generare il secondo codice.
I codici di recupero servono proprio in queste situazioni.
Conviene quindi conservarli in un luogo sicuro e separato dal dispositivo utilizzato normalmente per la 2FA, evitando di lasciarli in un semplice file sul desktop o in una posizione facilmente accessibile.
Come attivare l’autenticazione a due fattori
La procedura cambia leggermente da un servizio all’altro, ma il percorso è quasi sempre simile.
Entrate nelle impostazioni dell’account e cercate la sezione dedicata a sicurezza, accesso, verifica in due passaggi oppure autenticazione a due fattori.
A quel punto il servizio permette generalmente di scegliere il secondo metodo di verifica, per esempio smartphone, app Authenticator, SMS, passkey o chiave di sicurezza.
Dopo aver completato la configurazione conviene effettuare una prova di accesso e, soprattutto, verificare immediatamente quali sistemi di recupero dell’account sono disponibili.
Come attivare la 2FA su Google
Nel proprio account Google bisogna entrare nella sezione Sicurezza e cercare le opzioni relative alla verifica in due passaggi.
Google permette di utilizzare diversi sistemi e quindi puoi scegliere quello più adatto alle tue esigenze.
Come attivare la 2FA sull’account Microsoft
Anche Microsoft permette di gestire la verifica dell’identità dalle impostazioni di sicurezza dell’account.
L’utilizzo di Microsoft Authenticator rende il processo particolarmente semplice, soprattutto per chi utilizza Windows, Microsoft 365, OneDrive o altri servizi dell’ecosistema Microsoft.
Come attivare la 2FA sui social network
Facebook, Instagram, LinkedIn e molti altri social offrono ormai sistemi di autenticazione a due fattori.
Il principio rimane lo stesso: entra nelle impostazioni relative alla sicurezza dell’account e aggiungi un secondo metodo di autenticazione.
In sintesi
L’autenticazione a due fattori non rende impossibile rubare un account, ma alza enormemente la difficoltà per chi prova a farlo.
Una password rubata, da sola, non basta più. Ed è proprio questo il suo principale vantaggio.
Email, account Google e Microsoft, servizi cloud e profili social contengono ormai una quantità enorme di informazioni personali e professionali. Bastano pochi minuti per attivare una protezione che può fare una differenza enorme quando qualcosa va storto.
Password unica e robusta, autenticazione a due fattori e attenzione ai tentativi di phishing rappresentano quindi una combinazione molto più efficace rispetto alla sola password.
Vuoi proteggere meglio i tuoi account?
Attivare correttamente la 2FA è semplice, ma quando bisogna proteggere più computer, account aziendali, caselle email e servizi cloud conviene verificare che ogni elemento sia configurato nel modo corretto.
Delta Informatica può aiutarti a controllare la sicurezza degli account, configurare l’autenticazione a due fattori e individuare eventuali accessi o impostazioni che meritano maggiore attenzione.
Possiamo inoltre aiutare aziende e studi professionali a definire sistemi di accesso più sicuri per gli account utilizzati quotidianamente dal personale.
Proteggere un account prima che venga compromesso è molto più semplice che provare a recuperarlo dopo un attacco.
Contatta Delta Informatica per una verifica della sicurezza dei tuoi account.
📍 Via Scarpa 13R, Savona
📞 019 4500771