Autenticazione a due fattori: perché serve a ogni account

Una password da sola è un unico punto di guasto. Se viene indovinata, riutilizzata su un sito che poi subisce una violazione o digitata in una falsa pagina di accesso convincente, chiunque la possieda può entrare come te. L'autenticazione a due fattori, di solito abbreviata in 2FA, aggiunge un secondo controllo che non ha nulla a che vedere con ciò che sai: qualcosa che hai, come il telefono o una chiave fisica, o qualcosa che sei, come un'impronta digitale.

Il risultato è che una password rubata non basta più. Un malintenzionato che ha la tua password ha ancora bisogno del codice della tua app di autenticazione, del tocco sulla tua chiave di sicurezza o dell'approvazione sul tuo dispositivo fidato. Molti attacchi agli account comuni sono automatizzati e opportunistici, quindi questo passaggio in più ti toglie dal gruppo dei bersagli facili e rende molto più difficile un furto dell'account.

La 2FA non sostituisce una buona password. Funziona meglio sopra una password lunga e unica conservata in un gestore di password. Insieme coprono le reciproche debolezze: la password unica limita i danni delle violazioni altrove e il secondo fattore ti protegge quando la password trapela comunque.

Le app di autenticazione generano un nuovo codice breve, di solito di sei cifre e di solito ogni 30 secondi, a partire da un segreto che il servizio condivide con l'app quando scansioni un codice QR. Funzionano offline, di solito sono gratuite e sono supportate dalle principali piattaforme, il che le rende una scelta predefinita sensata per la maggior parte delle persone.

Le chiavi di sicurezza hardware sono piccoli dispositivi USB, NFC o Bluetooth che tocchi o inserisci al momento dell'accesso. Le passkey funzionano con un principio simile, ma risiedono sul telefono o sul computer e si sbloccano con impronta digitale, volto o PIN del dispositivo. Entrambe sono legate all'indirizzo reale del sito, quindi non rispondono a una pagina di phishing che lo imita. Per questo sono le opzioni più robuste a disposizione degli utenti comuni.

Le notifiche push ti chiedono di approvare un accesso su un dispositivo già connesso. I codici via SMS e le chiamate vocali inviano un codice monouso al tuo numero di telefono. I codici di backup sono un elenco di codici monouso pensati per le emergenze, quando il metodo abituale non è disponibile. La maggior parte dei servizi permette di attivare più di un metodo, ed è quello che dovresti fare: un metodo principale più almeno uno di riserva.

I codici via SMS sono molto meglio di nessun secondo fattore, ma dipendono dal tuo numero di telefono, e il tuo numero non è del tutto sotto il tuo controllo. In un SIM swap, un criminale convince o corrompe qualcuno presso un operatore mobile per spostare il tuo numero su una SIM che possiede. Da quel momento ogni codice destinato a te arriva sul suo telefono.

I codici SMS possono essere sottratti con il phishing proprio come le password: una falsa pagina di accesso chiede il codice e l'attaccante lo inoltra al sito vero in pochi secondi. Puoi perdere l'accesso anche in modi più banali, per esempio quando viaggi senza roaming, cambi operatore o lasci scadere un numero prepagato che poi viene riassegnato a qualcun altro.

Se un servizio offre un'app di autenticazione, una chiave di sicurezza o una passkey, passa a una di queste e tieni l'SMS solo come riserva, oppure eliminalo del tutto se il servizio lo consente. Quando l'SMS è l'unica opzione, proteggi il numero stesso: molti operatori permettono di impostare un PIN sull'account o un blocco dei trasferimenti che rende più difficili gli spostamenti non autorizzati del numero.

Parti dagli account che sbloccano tutti gli altri. Prima di tutto il tuo indirizzo e-mail principale, perché riceve i link di ripristino della password, poi il tuo account Apple, Google o Microsoft, il gestore di password e ogni account che custodisce denaro o dati di valore. Una volta protetti questi, passa ai social network, ai servizi di messaggistica come Telegram e Discord e al resto.

L'opzione di solito si trova nelle impostazioni di sicurezza dell'account con un nome come verifica in due passaggi, autenticazione a due fattori o verifica dell'accesso. Scegli l'opzione con app di autenticazione o chiave di sicurezza, scansiona il codice QR con la tua app e digita il codice che mostra per confermare che tutto funziona. Se il servizio supporta le passkey, aggiungerne una sul telefono e sul computer ti dà un metodo di accesso comodo e resistente al phishing.

Prima di chiudere la pagina delle impostazioni, salva i codici di backup, aggiungi un secondo metodo se possibile e controlla che l'e-mail e il numero di telefono di recupero siano aggiornati e siano tuoi. Poi esci e rientra una volta, così sai come si presenta la richiesta prima di dipenderne davvero.

I codici di backup sono la tua via di ritorno quando il telefono viene perso, si rompe o viene ripristinato. Ogni codice funziona una sola volta e su molti servizi generare un nuovo set annulla il vecchio. Trattali come la chiave di scorta di casa: essenziali quando servono, inutili se non li trovi e pericolosi se li trova uno sconosciuto.

Buoni posti dove tenerli sono una copia stampata custodita con i documenti importanti o una nota cifrata in un gestore di password che puoi aprire anche senza il telefono con la tua app di autenticazione. Posti sbagliati sono la casella di posta, un'app di note non bloccata, uno screenshot nella galleria foto o un file sullo stesso dispositivo che genera i tuoi codici, perché perdere quell'unico dispositivo ti lascerebbe completamente fuori.

Barra ogni codice quando lo usi e genera un nuovo set quando ne restano pochi. Se sospetti che qualcuno abbia visto i tuoi codici, rigenerali subito, così la vecchia lista smette di funzionare.

Se hai ottenuto un account da qualcun altro, che sia un collega che ti passa l'account di un progetto o un acquisto su un marketplace di beni digitali, dai per scontato che il precedente titolare possa ancora avere accesso. L'obiettivo è diventare l'unica persona in grado di accedere. Usa sempre l'account in linea con i termini di utilizzo del marchio.

Procedi in quest'ordine: cambia la password con una nuova e unica, aggiorna l'e-mail e il telefono di recupero con quelli che controlli, rimuovi ogni app di autenticazione, chiave di sicurezza o dispositivo fidato che non hai aggiunto tu, poi attiva la 2FA con la tua app e genera nuovi codici di backup. Infine controlla le sessioni attive ed esci da ogni dispositivo tranne il tuo.

Su rStock il contenuto consegnato compare nella pagina dell'ordine come registro di consegna collegato all'ordine, quindi puoi copiarne i dati direttamente nel tuo gestore di password. Il tuo denaro viene trattenuto invece di essere rilasciato subito al negozio e, se l'account consegnato non funziona come descritto, puoi aprire una controversia entro un periodo limitato dopo la consegna. Risponde prima il negozio e, se non trovate un accordo, può essere chiamato un moderatore. Mettere in sicurezza e controllare l'account senza ritardi ti aiuta ad accorgerti di eventuali problemi finché quel periodo è ancora aperto. rStock non è affiliata a nessun marchio citato in questo articolo.

Approvare una richiesta push che non hai avviato tu è un modo ben noto per far fallire la 2FA. Se compare una richiesta mentre non stai accedendo, rifiutala e cambia la password, perché qualcuno ce l'ha già. Lo stesso vale per chi ti chiama o ti scrive chiedendoti di leggere un codice: i servizi legittimi non hanno bisogno che tu condivida un codice monouso con nessuno.

Un altro errore è proteggere un account con la 2FA lasciando aperta una vecchia via di recupero debole, come un indirizzo e-mail abbandonato o un numero di telefono che non usi più. Gli attaccanti aggirano la porta più robusta se ce n'è una più debole aperta, quindi rivedi le opzioni di recupero ogni volta che cambi telefono o provider di posta.

Infine, non aspettare che arrivi un telefono nuovo per pianificare il passaggio. Prima di sostituire o ripristinare un dispositivo, sposta i codici della tua app di autenticazione, verifica che funzionino sul nuovo dispositivo e solo allora cancella il vecchio. Pochi minuti di preparazione possono far risparmiare ore di recupero dell'account.