Basta una password rubata per trasformare un account in una porta aperta. L’autenticazione a due fattori aggiunge una seconda verifica all’accesso e rende molto più difficile entrare anche quando la credenziale principale è finita nelle mani sbagliate. Qui chiarisco come funziona, quali metodi convengono davvero, come attivarla e quali errori possono ancora lasciare scoperto un account.
La protezione dell’account dipende anche dal secondo fattore
- Due prove diverse verificano che sia davvero la persona autorizzata a effettuare l’accesso.
- Le passkey e i token hardware offrono in genere una protezione superiore contro il phishing.
- Le app per codici temporanei sono un buon compromesso tra sicurezza, costo e semplicità.
- SMS ed email sono meglio della sola password, ma rappresentano una soluzione meno robusta.
- I codici di recupero devono essere conservati con cura per evitare di perdere l’account.
Che cosa cambia davvero con la verifica in due passaggi
Il principio è semplice: per accedere non basta più conoscere una password, ma servono due fattori indipendenti. Il primo dimostra qualcosa che sai, come una password o un PIN; il secondo dimostra qualcosa che possiedi, come lo smartphone, oppure qualcosa che sei, come un’impronta digitale.
La distinzione è importante. Inserire due password non significa usare una vera protezione multifattore, perché entrambe appartengono alla stessa categoria e possono essere sottratte nello stesso attacco. Una combinazione di password e codice generato da un’app, invece, crea una barriera più efficace.
I tre fattori principali
- Conoscenza: password, PIN o risposta segreta.
- Possesso: smartphone, token fisico, chiave di sicurezza o passkey.
- Inerenza: impronta digitale, riconoscimento facciale o altra caratteristica biometrica.
Non tutti i servizi separano perfettamente i passaggi. Se lo smartphone sblocca un’app con il volto e l’app genera un codice, il sistema può combinare possesso e biometria. Dal punto di vista pratico, ciò che conta è che il furto della password da solo non sia sufficiente per entrare.
Quali metodi sono più sicuri e quando usarli
Non esiste un unico secondo fattore valido per ogni situazione. Per un account personale può bastare un’app OTP, mentre per l’amministratore di un’azienda sceglierei una passkey o una chiave hardware, soprattutto se l’account gestisce dati sensibili o denaro.
| Metodo | Punti di forza | Limiti | Uso consigliato |
|---|---|---|---|
| App OTP | Funziona anche senza rete e ha costi ridotti | Il codice può essere inserito in una pagina di phishing | Account personali e piccole aziende |
| Notifica push | È rapida e facile da usare | Rischio di approvare richieste per errore o sotto pressione | Accessi frequenti, con number matching attivo |
| SMS | È semplice e quasi sempre disponibile | SIM swap, intercettazioni e dipendenza dalla rete mobile | Soluzione provvisoria o alternativa di recupero |
| Passkey | Resiste meglio al phishing e non richiede codici da copiare | La gestione dipende dall’ecosistema del dispositivo | Email, cloud, amministrazione e account ad alto rischio |
| Token o chiave hardware | Offre un fattore separato e molto robusto | Ha un costo e va custodito fisicamente | Ruoli privilegiati e infrastrutture aziendali |
App, SMS e notifiche push
Le app che generano codici temporanei di solito rappresentano il miglior punto di partenza. Il codice cambia a intervalli regolari, spesso ogni 30 secondi, e non arriva tramite rete telefonica. Per molti utenti è una scelta concreta, economica e abbastanza resistente agli attacchi comuni.
L’SMS protegge comunque più della password isolata, ma non lo considererei la soluzione definitiva per un account importante. Anche le notifiche push richiedono attenzione: se arrivano richieste ripetute, l’utente può approvarne una per stanchezza. Il number matching, cioè la richiesta di digitare nell’app il numero mostrato sullo schermo, riduce questo rischio.
Passkey e chiavi fisiche
Le passkey usano la crittografia a chiave pubblica e collegano l’accesso al dispositivo o al gestore delle credenziali. Non si copia un codice in una pagina web, quindi il phishing ha meno possibilità di funzionare. Per questo le considero la direzione più interessante per il 2026.
Una chiave hardware USB o NFC offre un livello analogo con un oggetto separato. Il compromesso è pratico: conviene avere una chiave principale e una di riserva, conservata in un luogo sicuro, perché perdere l’unico dispositivo può rendere il recupero complicato.
Come attivarla senza perdere l’accesso
Attivare la protezione richiede pochi minuti, ma la fase di recupero merita la stessa attenzione del login. Nella mia esperienza, il problema più frequente non è l’attivazione: è scoprire, mesi dopo, che il vecchio telefono non funziona più e non esiste un percorso alternativo.
- Proteggi prima l’email principale, perché spesso permette di reimpostare tutte le altre password.
- Apri le impostazioni di sicurezza del servizio e seleziona la verifica in due passaggi o l’opzione multifattore.
- Configura un’app OTP, una passkey o una chiave hardware, preferendo il metodo più robusto disponibile.
- Genera i codici di recupero e conservali offline, per esempio in un gestore di password affidabile o in un archivio protetto.
- Prova il recupero con calma, prima di disconnettere il vecchio dispositivo o cambiare telefono.
Non fotograferei i codici di emergenza per lasciarli nella galleria dello smartphone e non li invierei via email a me stesso. Sono credenziali a tutti gli effetti. Se il servizio consente più dispositivi affidabili, ne registrerei almeno due, evitando però di collegare dispositivi condivisi o non aggiornati.
Leggi anche: Cyber risk management - come ridurre i rischi aziendali
La configurazione aziendale richiede qualche regola in più
In un’azienda, l’amministratore dovrebbe definire chi può modificare i metodi di accesso, come vengono revocati i dispositivi e cosa succede quando una persona lascia l’organizzazione. L’MFA deve coprire almeno email, VPN, pannelli cloud e account amministrativi, non soltanto le applicazioni più visibili.
Conviene anche separare l’account quotidiano da quello con privilegi elevati. Così un errore durante la navigazione o l’apertura di un allegato non espone automaticamente i sistemi più delicati.
Dove produce il maggiore effetto nella sicurezza informatica
Il secondo fattore conta soprattutto dove un accesso abusivo può propagarsi. Un account email compromesso, per esempio, può diventare il punto di partenza per reimpostare password, leggere fatture, impersonare colleghi e attaccare clienti o fornitori.
Io darei questa priorità:
- Email e identità aziendale, perché controllano molte procedure di recupero.
- Account amministrativi, che possono modificare utenti, dati e configurazioni.
- VPN e accessi remoti, spesso esposti a tentativi automatici.
- Cloud storage e strumenti di collaborazione, dove si concentrano documenti e informazioni interne.
- Servizi bancari, pagamenti e marketplace, dove l’accesso può produrre un danno economico diretto.
La misura funziona meglio se inserita in un insieme coerente di abitudini di igiene informatica. Aggiornamenti, gestione delle autorizzazioni, password uniche e controllo delle sessioni completano ciò che il secondo fattore da solo non può risolvere.
Per le piccole imprese il vantaggio è spesso immediato. Non servono necessariamente piattaforme complesse: si può partire dagli account critici, stabilire una procedura di recupero e aggiungere controlli più avanzati quando il numero di utenti cresce.
Gli errori che riducono la protezione
Il primo errore è approvare ogni notifica senza controllare il contesto. Un aggressore che possiede la password può inviare molte richieste consecutive, sperando che la vittima tocchi “Approva” per liberarsi del disturbo. Se una richiesta non è stata avviata da noi, va rifiutata e la password va cambiata subito.
Un altro problema è considerare il secondo fattore una garanzia assoluta. Un codice OTP può essere rubato tramite phishing in tempo reale, mentre un numero di telefono può essere trasferito fraudolentemente su un’altra SIM. Per gli account più importanti sceglierei quindi passkey o chiavi di sicurezza.
- Non riutilizzare la stessa password come credenziale di emergenza.
- Non condividere i codici temporanei con il supporto tecnico o con colleghi.
- Non lasciare attive sessioni su computer pubblici o dispositivi aziendali dismessi.
- Non conservare i codici di recupero in un documento non protetto.
- Non ignorare gli avvisi di nuovo accesso o cambio delle impostazioni di sicurezza.
Quando il rischio è elevato, un controllo periodico svolto da un hacker etico può evidenziare configurazioni deboli che una semplice checklist non vede. L’obiettivo non è aggiungere strumenti a caso, ma verificare se un attacco realistico riuscirebbe ancora a superare il sistema.
La scelta più equilibrata per il 2026
Per un account personale partirei da un gestore di password, password unica e app OTP. Se il servizio supporta le passkey, le preferirei per email, cloud e account finanziari, mantenendo un metodo di recupero separato e ben custodito.
Per un’organizzazione, la sequenza più sensata è proteggere subito gli amministratori e l’email, estendere la misura agli accessi remoti, ridurre le notifiche approvabili con un numero e puntare gradualmente su metodi resistenti al phishing. La tecnologia conta, ma conta altrettanto la procedura di recupero: una sicurezza impossibile da usare viene aggirata o disattivata.
La regola che seguo è semplice: ogni account che contiene dati, denaro o potere operativo dovrebbe avere almeno due fattori, ma quelli più sensibili meritano un metodo che non possa essere facilmente copiato, intercettato o approvato per errore.
