Autenticazione a due fattori: come attivarla davvero

Una password rubata non dovrebbe bastare per entrare nei tuoi account. L'autenticazione a due fattori (2FA, in alcuni servizi chiamata "verifica in due passaggi") serve a questo: aggiunge un secondo controllo oltre alla password. In questa guida vediamo cos'è, quale metodo scegliere, da dove iniziare e come attivarla senza il rischio di restare chiusi fuori dai tuoi stessi account.

Informazioni generali sulla sicurezza informatica personale.

Come funziona l'autenticazione a due fattori

Un account è protetto da "qualcosa che sai" (la password). La 2FA aggiunge "qualcosa che hai" (il telefono, una chiave) o "qualcosa che sei" (impronta o volto sul dispositivo). Se qualcuno scopre la password ma non ha il secondo fattore, non entra.

È una delle contromisure più efficaci contro il furto di password dopo una violazione di dati o un attacco di phishing. Non è però una protezione assoluta, e vedremo quando non basta.

I metodi, dal meno al più robusto

Le passkey, basate sugli standard FIDO, sono descritte dalla FIDO Alliance come credenziali progettate per resistere al phishing e senza segreti condivisi: la chiave privata resta sul tuo dispositivo e un sito falso non può usarla. Le linee guida del NIST, d'altra parte, non considerano resistente al phishing l'inserimento manuale di un codice (SMS o app) in una pagina web.

In pratica: se puoi, scegli passkey o chiave di sicurezza; in alternativa un'app di autenticazione; l'SMS è meglio di niente, ma non il massimo.

Da quali account iniziare

Non serve attivarla ovunque in una sera. Segui questa priorità:

1. Email principale. Chi la controlla può reimpostare le password di quasi tutto.
2. Banca e pagamenti. Spesso è già obbligatoria, ma verifica.
3. Gestore di password, se lo usi: vedi password manager gratis.
4. Account Google, Apple, Microsoft.
5. Social, cloud, shopping con carta salvata.
6. WhatsApp: nelle impostazioni dell'account cerca la "Verifica in due passaggi", che richiede un PIN di sei cifre che scegli tu. Non dimenticarlo e non comunicarlo mai a nessuno.

Come attivarla con un'app di autenticazione

I passaggi sono quasi identici per ogni servizio:

1. Entra nelle impostazioni di sicurezza del servizio e cerca "autenticazione a due fattori" o "verifica in due passaggi".
2. Scegli "App di autenticazione".
3. Il servizio mostra un codice QR. Apri l'app sul telefono e scansionalo.
4. L'app mostra un codice a 6 cifre: inseriscilo nel servizio per confermare.
5. Salva subito i codici di recupero che il servizio ti fornisce: stampali o scrivili e conservali in un posto sicuro, lontano dal telefono.
6. Verifica di avere una seconda via di accesso (un secondo dispositivo o una chiave di riserva).

Molti gestori di password includono un autenticatore integrato (a volte a pagamento). Una scelta semplice è usare un'app dedicata sul telefono e salvare i codici di recupero.

Come non restare chiusi fuori

Il rischio più comune non è un attacco sofisticato, ma la sfortuna: telefono perso, rotto, rubato.

• Conserva i codici di recupero in un luogo sicuro fuori dal telefono.
• Se cambi telefono, trasferisci prima l'app di autenticazione (molte lo permettono con esportazione cifrata) o riattiva il secondo fattore sul nuovo dispositivo prima di resettare il vecchio.
• Aggiungi un secondo metodo quando il servizio lo consente (per esempio app più chiave).
• Tieni aggiornato il numero di recupero e l'email di recupero, e proteggili con 2FA.

I limiti della 2FA

Non esiste una difesa perfetta. Tre situazioni in cui la 2FA da sola può non bastare:

1. Phishing con inoltro immediato. Una pagina falsa può raccogliere password e codice e usarli subito sul sito vero. Le passkey e le chiavi fisiche sono pensate proprio per questo caso.
2. Furto dei cookie di sessione. Se il tuo dispositivo è infetto da un infostealer, il malware può copiare il cookie che dimostra che sei già autenticato; in alcuni casi l'attaccante entra senza ripassare dal secondo fattore. Vedi cos'è un infostealer.
3. Approvazioni per stanchezza. Se ricevi molte richieste push che non hai chiesto, non approvarle: cambia la password.

Per l'SMS, il rischio specifico è il SIM swap, in cui un truffatore ottiene il controllo del tuo numero.

Un'ultima precauzione: anche con il secondo fattore, non digitare mai codici in una pagina raggiunta da un link ricevuto per SMS o email. Apri tu il sito o l'app e verifica da lì.

Dopo l'attivazione: un controllo periodico

Attivare la 2FA riduce molto il rischio, ma non lo azzera: le violazioni continuano e nuovi dispositivi possono essere compromessi. Due verifiche gratuite aiutano a capire dove stai: il controllo password ti dice, senza inviarla a nessuno, se una password è già tra quelle esposte; la scansione gratuita ti dice se la tua email compare in violazioni note o in casi di infezione da infostealer, e l'elenco delle violazioni catalogate mostra quali dati sono stati esposti in ciascuna.

Se lavori per conto tuo, estendi lo stesso schema a posta aziendale, gestionale e banca dell'attività: la pagina per PMI e partite IVA spiega come ripetere il controllo ogni mese.

Domande frequenti

La 2FA via SMS è meglio di niente?

Sì, è molto meglio di non averla. È però più vulnerabile di un'app o di una passkey, perché l'SMS può essere intercettato o dirottato con tecniche come il SIM swap. Dove puoi, passa a un'app di autenticazione.

Cosa faccio se perdo il telefono con l'app di autenticazione?

Usa i codici di recupero che hai salvato al momento dell'attivazione, oppure un secondo metodo configurato. Senza queste vie, il recupero può richiedere procedure lunghe con il servizio.

Le passkey sostituiscono le password?

Possono farlo nei servizi che le supportano. Sono credenziali legate al sito e sbloccate sul dispositivo, non devi ricordarle. Non tutti i servizi le offrono, quindi password e 2FA restano necessarie in molti casi.

Devo attivare la 2FA anche sui siti poco importanti?

Non per forza su tutti. Dai priorità a email, banca, cloud, gestore di password e account con carta salvata. Per i siti poco importanti basta una password unica generata dal gestore.

La 2FA mi protegge da ogni phishing?

No. Protegge molto da chi ha rubato solo la password, ma un phishing con inoltro immediato può aggirare i codici. Passkey e chiavi di sicurezza sono più resistenti. E, come sempre, non inserire mai credenziali dopo aver cliccato un link ricevuto per messaggio.