Hai presente quel momento in cui digiti la password giusta e il sito ti chiede comunque un codice arrivato via SMS, o ti manda una notifica sul telefono da confermare? Quello è il momento in cui la 2FA sta facendo il suo lavoro, di solito senza che tu te ne accorga nemmeno.
L’autenticazione a due fattori (2FA) è un meccanismo di sicurezza che richiede due prove distinte per accedere a un account: qualcosa che sai, come una password, più qualcosa che hai, come un’app sul telefono o una chiave fisica. Se un malintenzionato ruba solo la password — ed è lo scenario più comune, visto quanti database di credenziali finiscono in vendita online — senza il secondo elemento resta comunque fuori dalla porta.
I fattori non sono tutti uguali, e la differenza conta
Chi lavora con la sicurezza degli accessi distingue tre categorie di fattori, anche se nell’uso comune “2FA” indica quasi sempre la combinazione dei primi due:
- conoscenza: qualcosa che sai a memoria, come una password o un PIN;
- possesso: qualcosa che hai fisicamente, come lo smartphone, una chiave USB o una smart card;
- inerenza: qualcosa che sei, cioè un dato biometrico — impronta digitale, volto, iride.
Il punto della 2FA non è sommare due ostacoli qualsiasi, ma sommare due categorie diverse. Una password più una domanda di sicurezza (“il nome del tuo primo animale”) non è autenticazione a due fattori: sono due cose che sai, e chi ha già violato la tua email spesso trova anche quella risposta senza troppa fatica. Questo è un dettaglio che molti servizi minori — e molti utenti — sottovalutano ancora oggi.
Come funziona in pratica
Il flusso, al di là dell’interfaccia grafica, è quasi sempre lo stesso:
- Inserisci username e password come faresti normalmente.
- Il sistema verifica che siano corretti e, invece di darti accesso subito, chiede il secondo fattore.
- Ricevi (o generi) un codice temporaneo, oppure approvi una richiesta push sul telefono, oppure inserisci una chiave fisica in una porta USB.
- Il servizio verifica anche questo secondo elemento.
- Solo a quel punto entri nell’account.
Il passaggio 3 è quello dove cambia tutto, ed è anche quello su cui vale la pena spendere qualche riga in più.
SMS, app authenticator o chiave fisica: non sono equivalenti
Qui è dove la teoria e la pratica si allontanano un po’. Sulla carta, qualsiasi secondo fattore è meglio di niente. Sul campo, i metodi hanno livelli di robustezza molto diversi.
Il codice via SMS resta il più diffuso perché non richiede installare nulla, ma è anche il più debole dei tre. Il problema non è la crittografia dell’SMS in sé, è che il numero di telefono può essere dirottato con un attacco di SIM swap: convinci l’operatore telefonico (o un dipendente compiacente, o corrotto) a trasferire la tua numerazione su una SIM nuova, e da lì in poi ricevi tu — l’attaccante — tutti i codici. Non è uno scenario da film: le associazioni di consumatori e le stesse autorità di settore hanno segnalato più volte casi di conti bancari svuotati in questo modo.
Le app authenticator (Google Authenticator, Microsoft Authenticator, Authy, quella integrata in molti password manager) generano codici TOTP direttamente sul dispositivo, senza passare dalla rete telefonica: già questo elimina il rischio SIM swap. Restano comunque vulnerabili al phishing in tempo reale, dove una pagina finta cattura sia la password sia il codice OTP e li inoltra istantaneamente al sito vero — una tecnica che i kit di phishing “adversary-in-the-middle” hanno reso alla portata di chiunque, non solo di chi sa programmare.
Le chiavi fisiche (YubiKey e simili) e i passkey basati su standard FIDO2/WebAuthn sono, allo stato attuale, il livello più solido disponibile per un utente comune: il secondo fattore è legato crittograficamente al sito specifico, quindi anche se cadi su una pagina di phishing perfetta la chiave semplicemente non risponde, perché riconosce che il dominio non è quello vero. Il limite pratico è l’adozione: non tutti i servizi le supportano ancora, e perdere la chiave senza un backup configurato è un problema reale, non teorico.
2FA e MFA: non sono proprio la stessa cosa
Si usano spesso come sinonimi, e nella conversazione di tutti i giorni va bene così. Tecnicamente, però, la 2FA è un caso specifico di MFA (multi-factor authentication): l’autenticazione a più fattori è la categoria generale, la 2FA è quella con esattamente due elementi. Un accesso che richiede password, app authenticator e impronta digitale è MFA a tre fattori, non “super 2FA”. La distinzione conta soprattutto quando si leggono policy aziendali o requisiti normativi, dove il numero minimo di fattori è spesso specificato con precisione.
Perché vale la pena attivarla, anche quando dà fastidio
Il fastidio è reale: un passaggio in più ogni volta che accedi da un dispositivo nuovo, un codice da digitare mentre hai fretta, un’app da aprire. Detto questo, i dati disponibili sono piuttosto netti. Microsoft ha riportato che l’autenticazione a più fattori blocca circa il 99,9% dei tentativi automatizzati di compromissione degli account FONTE: Microsoft Security Blog. È una cifra da prendere per quello che è — riferita agli attacchi automatizzati su larga scala, non a un attacco mirato e ben finanziato contro una persona specifica — ma resta un ordine di grandezza che dice molto.
Nel settore bancario europeo, poi, non è nemmeno più una scelta: la normativa PSD2 impone alle banche la Strong Customer Authentication (SCA) per pagamenti e accessi online, che nella pratica significa quasi sempre una qualche forma di autenticazione a più fattori. Se hai notato che la tua banca ti chiede sempre più spesso di confermare i pagamenti dall’app, è quella la ragione.
Gli errori che si vedono più spesso
Facendo attenzione a come le persone reali configurano (o non configurano) la 2FA, alcuni schemi si ripetono con una regolarità sorprendente. Il più comune è non salvare i codici di backup al momento dell’attivazione — quei dieci codici monouso che quasi tutti i servizi generano e che quasi tutti ignorano, salvo poi disperarsi quando perdono il telefono e restano fuori dall’account per giorni. Un altro classico è affidare tutta la 2FA a un solo dispositivo senza alcun metodo alternativo configurato: se quel telefono si rompe, si perde o viene rubato, il recupero dell’account può richiedere giorni e, per alcuni servizi, una verifica d’identità piuttosto invasiva.
C’è poi un errore più sottile, che riguarda l’aspettativa: molte persone pensano che attivare la 2FA le renda immuni al phishing, e non è così — lo abbiate visto sopra con gli attacchi adversary-in-the-middle. La 2FA alza l’asticella, non la rende infinita. Su questo punto, va detto onestamente, le opinioni tra esperti divergono un po’ quando si parla di quanto ci si possa davvero fidare dei metodi basati su OTP contro attaccanti sofisticati: chi lavora in ambito enterprise tende a spingere verso passkey e chiavi FIDO2 proprio per questo motivo, mentre per l’utente medio anche un semplice authenticator resta un salto di qualità enorme rispetto a niente.
Domande frequenti
La 2FA è obbligatoria per legge? Dipende dal settore. Per le banche europee lo è, di fatto, attraverso la normativa PSD2 sulla Strong Customer Authentication. Per la maggior parte dei servizi online resta facoltativa, anche se sempre più piattaforme la rendono predefinita per i nuovi account.
Cosa faccio se perdo il telefono con l’app authenticator? Se hai salvato i codici di backup al momento dell’attivazione, li usi per accedere e riconfigurare la 2FA su un nuovo dispositivo. Se non li hai, devi passare dalla procedura di recupero account del servizio, che spesso richiede documenti e qualche giorno di attesa.
L’SMS come secondo fattore è sicuro o no? È meglio di niente, ma è il metodo più debole tra quelli comuni per via del rischio di SIM swap e di intercettazione sulla rete telefonica. Dove il servizio lo permette, un’app authenticator o una chiave fisica sono scelte più solide.
Qual è la differenza pratica tra 2FA e MFA? La 2FA usa esattamente due fattori, la MFA ne può usare due o più. Nella conversazione quotidiana i termini si sovrappongono, ma nei documenti tecnici o normativi la distinzione può essere rilevante.
Un password manager sostituisce la 2FA? No, sono due strumenti complementari. Il password manager genera e conserva password uniche e robuste; la 2FA aggiunge un secondo livello di verifica anche se quella password, per qualche motivo, viene comunque compromessa.
Per le implicazioni legali o di conformità normativa nel proprio settore (bancario, sanitario, pubblica amministrazione), conviene sempre verificare i requisiti specifici presso l’ente di riferimento o un consulente.
Un’ultima cosa
Se devi scegliere una sola azione da fare oggi, non è “quale metodo di 2FA è tecnicamente il migliore”: è aprire le impostazioni di sicurezza della tua email principale e attivarla lì, perché quell’account è la chiave che apre quasi tutti gli altri tramite il recupero password.
Sources:
