L’autenticazione a due fattori non è più un optional: è uno degli strumenti più efficaci per blindare gli account online e mitigare gli effetti di una violazione di dati.
Secondo Microsoft, l’uso della 2FA blocca fino al 99,9% dei tentativi di accesso non autorizzati.
In altre parole: se vuoi ridurre drasticamente il rischio che qualcuno entri nei tuoi account, questo è il primo passo concreto da fare.
Cos’è l’autenticazione a più fattori (MFA/2FA)
La MFA (Multi-Factor Authentication) richiede un secondo passaggio oltre alla password, tipicamente qualcosa che possiedi (telefono, token hardware), qualcosa che sei (impronta, Face ID) o qualcosa che sai (PIN aggiuntivo).
Esempi comuni:
- Codice via SMS
- Codice generato da un’app (TOTP)
- Notifica push
- Chiave hardware (es. FIDO2/U2F)
Il principio è semplice: anche se la password viene rubata, l’attaccante non può accedere senza il secondo fattore.
Perché gli SMS 2FA non sono più consigliati
Molti servizi usano ancora gli SMS per l’autenticazione, ma è il metodo più debole tra quelli disponibili.
Gli attacchi più comuni:
- SIM swapping: il tuo numero viene trasferito a una SIM controllata dall’attaccante.
- Intercept delle reti mobili: vulnerabilità SS7 ancora diffuse.
- Clonazione e port-out fraud da operatori compiacenti o manipolati.
Gli SMS vanno usati solo se non esiste un’alternativa.
Meglio preferire app software o chiavi hardware.
I metodi 2FA dal più sicuro al meno sicuro
- Chiavi hardware (FIDO2 / U2F)
- App software (TOTP: Authy, Aegis, Ente, Bitwarden, 1Password ecc.)
- Notifiche push (Google Prompt / Microsoft Authenticator)
- SMS o email → da evitare se possibile
Quale metodo scegliere davvero
La regola d’oro è semplice: usa la soluzione più forte che puoi usare in modo costante.
Esempi:
- Se accedi da più dispositivi (casa, lavoro, biblioteca) → una chiave hardware potrebbe essere scomoda.
- Se perdi spesso il telefono → scegli un’app con backup cifrato oppure usa due chiavi hardware.
- Se non vuoi complicazioni → le app software sono ideali.
Dove attivare la 2FA
Di solito all’interno della sezione:
- Sicurezza
- Account
- Accesso e verifica
- Login & Security
Alcuni servizi hanno pagine dedicate:
Strategia consigliata per abilitare la 2FA
1. Metti subito in sicurezza gli account critici
- Email primaria
- Conti bancari
- Account di lavoro
- Account cloud (Google, Apple, Microsoft)
2. Poi passa agli account secondari
Ogni volta che accedi a un servizio, attiva la 2FA (“as you go”).
In poco tempo avrai protetto la quasi totalità dei tuoi account.
Chiavi hardware: la protezione di livello massimo
Se cerchi il massimo della sicurezza, le chiavi hardware sono la scelta migliore.
Non dipendono dal telefono, non soffrono di SIM swap e non possono essere attaccate da remoto.
Opzioni consigliate
Vantaggi
- Immuni ai malware
- Immuni ai phishing (grazie a FIDO2)
- Non richiedono batterie
- Durano anni
Svantaggi
- Vanno portate con sé
- Se le perdi e non hai la copia → rimani bloccato
- Non ideali se accedi spesso da PC diversi
Regola fondamentale
Acquista sempre due chiavi:
- una principale
- una di backup in un luogo sicuro
App software: TOTP, pratiche e sicure
Le app software (codici temporanei) sono la soluzione migliore per la maggior parte degli utenti.
App più affidabili:
- Aegis(open source, Android)
- Ente Authenticator (open source, Android/iOS
- Bitwarden (open source, cloud opzionale)
- 1Password (con backup integrato)
- Authy (attenzione: supporto SMS obbligatorio e cloud non zero-knowledge
Google Authenticator funziona, ma non è più la migliore scelta (backup limitati, sincronizzazione non trasparente).
Backup: il punto più ignorato da tutti
Attivare la 2FA senza backup significa rischiare di perdere l’accesso all’account.
Devi avere:
- Codici di backup (da salvare cifrati)
- Una seconda chiave hardware se usi hardware
- Backup cifrati del database TOTP se l’app lo supporta
- Password del backup robusta (non riutilizzata)
Dove salvare i codici:
- Gestore password → sezione note
- Chiavetta USB cifrata
- Cartaceo sigillato in luogo sicuro
Funzione “Ricorda questo dispositivo”
Comoda, ma va usata con criterio.
Sì su:
- PC personale protetto da password/Touch ID
Mai su:
- PC condivisi
- PC aziendali
- Computer che restano spesso incustoditi
Password manager + 2FA nello stesso posto: pro e contro
Molti password manager integrano la 2FA per semplificarti la vita.
È pratico, ma crea un single point of failure.
Usalo solo se:
- sai cosa stai facendo
- hai un backup solido
- la master password è molto forte
Quando VA BENE usare l’SMS
- Quando NON esiste alternativa (banche datate, vecchi servizi)
- Quando devi accedere da telefoni non tuoi
- Come misura temporanea mentre imposti un metodo più robusto
Sempre meglio SMS che nessuna 2FA.
La 2FA è un obbligo, non un’opzione
Non elimina il rischio al 100%, ma è la barriera più efficace contro furti di account, credential stuffing e attacchi automatizzati.
Con l’approccio giusto, backup seri e le tecnologie corrette, puoi ridurre enormemente la superficie d’attacco senza complicarti la vita.