L'autenticazione a due fattori (spesso abbreviata in 2FA) aggiunge una seconda prova di identità oltre alla password. L'idea è semplice: anche se qualcuno scopre la tua password, senza il secondo elemento non riesce a entrare. È una delle misure con il miglior rapporto tra fatica e protezione che esistano.
I fattori si dividono tradizionalmente in tre famiglie: qualcosa che sai (password, PIN), qualcosa che possiedi (telefono, chiave fisica) e qualcosa che sei (impronta, volto). Un buon sistema ne combina almeno due di famiglie diverse.
I metodi a confronto
| Metodo | Comodità | Resistenza al phishing | Note |
|---|---|---|---|
| Codice via SMS | Alta | Bassa | Vulnerabile a SIM swap e pagine false |
| App di autenticazione (codici a 6 cifre) | Alta | Media | Funziona anche offline |
| Notifica push da approvare | Molto alta | Media | Rischio di approvazioni distratte |
| Chiave di sicurezza fisica | Media | Molto alta | Va acquistata, serve un ricambio |
| Passkey | Molto alta | Molto alta | Non ancora supportata ovunque |
Codice via SMS
È il metodo più diffuso perché non richiede nulla di nuovo. Il limite è che il codice viaggia sulla rete telefonica e dipende dal tuo numero: se un truffatore riesce a farsi intestare un duplicato della tua SIM, riceve i tuoi codici. Inoltre un sito falso può chiederti il codice e usarlo in tempo reale. Resta comunque molto meglio di nessun secondo fattore.
App di autenticazione
App come quelle di Google, Microsoft o soluzioni open source generano un codice che cambia ogni 30 secondi, calcolato sul telefono a partire da un segreto condiviso al momento dell'attivazione (lo standard si chiama TOTP). Non dipende dal numero di telefono e funziona anche senza rete. Il limite: se inserisci il codice su una pagina falsa abbastanza in fretta, l'attaccante può comunque usarlo.
Notifiche push
Il servizio invia una notifica al telefono e basta toccare "Approva". È comodissimo, ma ha un rischio specifico: chi possiede la tua password può inviare decine di richieste sperando che tu ne approvi una per sbaglio o per sfinimento. Per questo molti servizi ora mostrano un numero da digitare o la posizione della richiesta. Regola d'oro: non approvare mai una richiesta che non hai avviato tu. Se ne arriva una inattesa, significa che qualcuno conosce la tua password: cambiala.
Chiavi di sicurezza fisiche
Sono piccoli dispositivi USB o NFC basati sugli standard FIDO. La chiave verifica crittograficamente il dominio del sito: su una pagina falsa semplicemente non funziona. È il metodo più robusto contro il phishing. Conviene acquistarne due e registrarle entrambe, tenendo la seconda in un luogo sicuro come riserva.
Passkey
Sono l'evoluzione più recente: sostituiscono la password con una coppia di chiavi crittografiche custodite sul dispositivo e sbloccate con impronta o PIN. Offrono la stessa resistenza al phishing delle chiavi fisiche, con più comodità.
Quale scegliere in pratica
- Per la posta principale, l'account Apple o Google e il password manager: chiave fisica o passkey, con un'app di autenticazione come alternativa.
- Per banca e servizi di pagamento: usa il sistema previsto dalla banca, di solito un'app dedicata, e proteggi il telefono con blocco schermo robusto.
- Per social e servizi secondari: un'app di autenticazione è un ottimo compromesso.
- L'SMS solo dove non c'è altra scelta.
I codici di recupero: non saltarli
Quando attivi la 2FA, quasi tutti i servizi mostrano una serie di codici di recupero monouso. Servono se perdi il telefono o la chiave. Stampali o annotali e conservali lontano dal computer, oppure salvali nel password manager. Molte persone li ignorano e scoprono il problema il giorno in cui cambiano telefono.
Cambio di telefono senza sorprese
Prima di resettare o dare via il vecchio smartphone:
- verifica che l'app di autenticazione abbia un backup cifrato o un'esportazione verso il nuovo dispositivo;
- in alternativa, accedi a ogni servizio e sposta la 2FA sul nuovo telefono;
- controlla di avere i codici di recupero a portata di mano.
Errori comuni
- Attivare la 2FA solo sui social e non sull'email, che è la chiave per recuperare tutto il resto.
- Comunicare un codice a qualcuno che telefona dicendo di essere della banca: nessun operatore legittimo te lo chiederà.
- Lasciare un solo metodo di accesso senza alcuna riserva.
In sintesi
- La 2FA rende inutile una password rubata nella maggior parte dei casi.
- Chiavi fisiche e passkey sono i metodi più resistenti al phishing; l'SMS è il più debole.
- Non approvare mai notifiche di accesso che non hai richiesto tu.
- Conserva i codici di recupero e registra sempre un metodo di riserva.
- Parti dall'email principale: è l'account che protegge tutti gli altri.