Password & Doppia autenticazione

In breve

• Due abitudini fermano la grande maggioranza delle compromissioni di account personali: una password unica e forte per ogni account (cosa che solo un gestore di password rende realistico), e un secondo fattore di autenticazione.
• Una password è qualcosa che sai. Un secondo fattore è qualcosa che hai (un telefono, una chiave) o qualcosa che sei (un'impronta digitale, un volto). L'attaccante che ruba uno di questi ha ancora bisogno degli altri.
• Usa un'app di autenticazione, non i codici via SMS, quando hai la scelta — i messaggi di testo possono essere intercettati da attacchi di SIM-swap.
• Le passkey sono la nuova direzione. Sostituiscono le password con qualcosa di più sicuro che è anche più facile da usare. Adottale sugli account che le offrono.
• L'account più importante della tua vita è la tua email. Proteggila come un passaporto. Tutto il resto può essere reimpostato da essa.

Cos'è

Quando accedi a quasi qualsiasi cosa online, il sistema deve sapere che sei davvero chi dici di essere. Il modo tradizionale è una password — un segreto che solo tu dovresti conoscere. Il problema con le password è ormai noto: le persone le riutilizzano, le annotano male e ne scelgono di deboli. Gli attaccanti ci contano.

L'autenticazione a due fattori (2FA, a volte chiamata multi-fattore o MFA) aggiunge una seconda prova: qualcosa che solo il vero te dovrebbe avere. Più comunemente:

• Un codice a sei cifre da un'app di autenticazione sul tuo telefono (Google Authenticator, Microsoft Authenticator, Authy, Aegis su Android, FreeOTP).
• Un codice inviato via SMS — comodo, ma la più debole delle opzioni comuni perché i numeri di telefono possono essere dirottati.
• Una notifica push su un'app di cui ti fidi già ("Eri tu che cercavi di accedere?").
• Una chiave di sicurezza — un piccolo dispositivo fisico che si collega a una porta USB o si avvicina al telefono (YubiKey, Google Titan, Nitrokey).
• Una passkey — una credenziale crittografica più recente memorizzata sul tuo telefono o computer che sostituisce completamente la password. La sblocchi con la tua impronta digitale o il tuo volto, e il dispositivo prova la tua identità al sito web. Nessuna password da rubare.

Anche un attaccante che ottiene in qualche modo la tua password non riesce ad accedere senza il secondo fattore. Questo singolo passaggio blocca la maggioranza delle compromissioni di account.

Come scegliere una password forte

Le regole sono cambiate, e i vecchi consigli erano per lo più sbagliati.

• Lungo batte complicato. Una passphrase di 16 caratteri composta da quattro parole casuali è più forte di un mix di 8 caratteri con simboli. Gli attaccanti usano enormi macchine per indovinare le password; la lunghezza conta più della punteggiatura.
• Unica per account, sempre. Se il database di un sito viene rubato e la tua password trapela, ogni altro account in cui hai usato la stessa password è ora raggiungibile. È così che avviene la maggior parte delle compromissioni di account non mirate.
• Non includere informazioni personali che un attaccante potrebbe trovare o indovinare: il nome del tuo cane, l'anno di nascita, la tua squadra preferita, il nome di tuo figlio più l'anno di nascita.
• Non seguire schemi prevedibili. "Primavera2025!" era in un dizionario per crack di password prima di essere sul tuo monitor.
• Non riutilizzare, nemmeno con piccole variazioni. MiaPassword1 e MiaPassword2 vengono trattate come la stessa password dagli attaccanti.

L'unico modo realistico per mantenere dozzine di password forti e uniche è un gestore di password. Consulta Gestori di password spiegati per sapere come sceglierne uno.

Come scegliere un secondo fattore

In ordine di forza, per le persone comuni:

1. Passkey. Dove offerta, è la migliore. Nessuna password. Resistente al phishing per design.
2. Chiave di sicurezza hardware. Un piccolo dispositivo fisico. Resistente al phishing. Ottima per account email e bancari. Il costo (25–60 € l'una, idealmente due per avere un backup) è giustificato dalla protezione che offre alla tua email e al tuo denaro.
3. App di autenticazione. Un'app gratuita sul tuo telefono che genera un nuovo codice a sei cifre ogni 30 secondi. Forte, facile, ampiamente supportata.
4. Codice SMS. Meglio di niente. Vulnerabile agli attacchi SIM-swap. Usalo solo quando non viene offerta nessun'altra opzione; passa a qualcosa di meglio non appena la piattaforma lo supporta.
5. Push "Approva questo accesso". Comodo, ma attenzione agli attacchi di affaticamento MFA — prompt push ripetuti che non hai richiesto, sperando che tu tocchi "approva" per abitudine. Non approvare mai un accesso che non hai avviato tu.

Configura questo — in questo ordine

Se non fai nient'altro questa settimana, fai questo. In un'ora tranquilla con un caffè.

1. Il tuo account email principale prima. È la chiave maestra. Imposta una password forte e unica. Attiva il 2FA più forte disponibile. Aggiungi un metodo di recupero che non sia solo il tuo numero di telefono.
2. La tua banca e qualsiasi account di pagamento (PayPal, Wise, Revolut, Stripe).
3. L'account che contiene il tuo gestore di password stesso, con il 2FA più forte che puoi usare.
4. Account governativi e fiscali.
5. I tuoi account sui social media, perché se compromessi vengono spesso usati per fare phishing ai tuoi amici e familiari.
6. Il tuo account presso l'operatore telefonico, con un PIN di portabilità se il tuo operatore ne offre uno — per rendere il SIM-swap più difficile.
7. I principali account di shopping online, specialmente quelli che memorizzano indirizzi di consegna o metodi di pagamento predefiniti.

Una volta fatto, il resto dei tuoi account può essere migrato gradualmente man mano che accedi ad essi.

E i codici di backup?

Quando attivi il 2FA, la piattaforma offre quasi sempre un set di codici di backup — brevi stringhe che puoi usare se perdi il telefono. Stampali. Mettili in un posto sicuro — un cassetto, una cassaforte, una cartella tra i documenti di famiglia. Non tenerli come screenshot sul telefono o come nota nella tua email, entrambe le cose che possono essere compromesse insieme all'account.

Se una piattaforma ti permette di registrare due chiavi di sicurezza, registrane due: una che usi ogni giorno, una conservata a casa. Perdere la tua unica chiave ti blocca fuori dall'account tanto quanto perdere la password.

Configura "Nel caso perda il telefono"

Pianifica di perdere il telefono, perché prima o poi succederà.

• Scrivi (su carta) quali account usano i codici dell'app di autenticazione e dove sono conservati i codici di backup per ciascuno.
• Assicurati di poter recuperare la tua email tramite un'email di recupero oppure un telefono di recupero, e che nessuno dei due sia solo il tuo telefono attuale.
• Di' a una persona di fiducia dove sono conservati i codici di backup — non cosa sono, solo dove.
• Considera di usare un'app di autenticazione che supporta il backup cloud crittografato, così ottenere un nuovo telefono ripristina i tuoi codici senza perdere l'accesso. (Authy, Microsoft Authenticator, Google Authenticator lo supportano ora; molte persone preferiscono alternative self-hosted come Aegis per la stessa ragione.)

Cosa NON fare

• Non riutilizzare le password tra i siti. È di gran lunga la causa più comune di compromissioni a cascata.
• Non conservare le password in testo normale — in un'app per le note, in una bozza di email, su un post-it sul monitor. Un gestore di password è il posto sicuro.
• Non condividere la password con la famiglia per account condivisi — usa la funzione di condivisione familiare della piattaforma, o condividi tramite la condivisione sicura del gestore di password.
• Non mandarti un codice di backup via SMS o conservare i codici di backup in un'app di note cloud sullo stesso account che proteggono.
• Non liquidare il 2FA via SMS come inutile — è molto meglio di niente, e ferma la maggior parte degli attacchi opportunistici. Passa a un metodo più forte quando puoi; non rifiutare il 2FA perché l'unica opzione è l'SMS.
• Non approvare una notifica push che non hai avviato tu. Se i prompt non si fermano, cambia subito la password — qualcuno ce l'ha.
• Non inserire un codice da nessuna parte tranne la pagina su cui hai iniziato ad accedere. Anche i codici vengono rubati tramite phishing. Una persona gentile al telefono che ti chiede di "confermare il codice che hai appena ricevuto" è quasi sempre un attaccante.

Usa l'IA per aiutarti

Alcuni prompt che funzionano bene:

Controlla le tue abitudini:

"Vorrei valutare la mia configurazione attuale di password e 2FA. Descriverò le mie abitudini: [dove conservo le password, se le riutilizzo, che 2FA ho sull'email, la banca, i social]. Dimmi (a) il mio rischio maggiore, in linguaggio semplice, (b) i tre cambiamenti che mi darebbero più protezione con meno sforzo, e (c) l'ordine in cui farli."

Scegliere un metodo:

"Sto configurando l'autenticazione a due fattori su [nome account]. Le opzioni che mi vengono offerte sono [elencale]. Quale è la più forte, quale è la più comoda, e quale offre il miglior equilibrio? Spiega in linguaggio semplice; considera che non sono tecnico."

Un promemoria: l'IA non può vedere i tuoi account. Le risposte che ti dà sono generali — verifica i passaggi sulla pagina di aiuto ufficiale della piattaforma prima di modificare le impostazioni di sicurezza.

Chi chiamare

Questa scheda è preventiva, non reattiva — non c'è nessuno da chiamare quando le cose si impostano bene. Ma se qualcosa va storto durante la configurazione del 2FA:

• Il processo di recupero account della piattaforma è sempre il primo passo. Cerca "[piattaforma] recupero account."
• Il tuo operatore telefonico se sospetti interferenze legate alla SIM durante la configurazione.
• I centri nazionali di sicurezza informatica pubblicano guide gratuite sulla configurazione del 2FA — utili quando vuoi un secondo parere. In Italia l'Agenzia per la cybersicurezza nazionale (ACN); in Svizzera il BACS / NCSC (ncsc.admin.ch).

Quando andare oltre la chat

• Non riesci più ad accedere alla tua email — vai direttamente al processo di recupero della piattaforma; potrebbe richiedere giorni. Se il recupero fallisce, presenta una denuncia (aiuta a sbloccare la revisione manuale da parte della piattaforma) e, nel frattempo, cambia le password su tutti gli altri account che usano quell'email come recupero.
• Hai impostato il 2FA e ora sei bloccato fuori, nessun codice di backup, nessun secondo dispositivo — la maggior parte delle piattaforme ha un processo di recupero più lento tramite "verifica dell'identità" che prevede il caricamento di un documento. Abbi pazienza e seguilo; non acquistare servizi che affermano di "sbloccare" account a pagamento.
• Sospetti che qualcuno stia eseguendo un attacco di affaticamento MFA su di te — prompt indesiderati ripetuti sul tuo telefono — cambia la password immediatamente e disattiva il 2FA via SMS/push in favore di un'app di autenticazione o di una chiave di sicurezza.

Fonti e letture aggiuntive

• NIST SP 800-63B — attuali linee guida USA su password e autenticazione
• UK NCSC — linee guida sulle tre parole casuali
• FIDO Alliance — specifica delle passkey e distribuzione
• Blog di sicurezza Microsoft / Google — statistiche pubblicate sull'efficacia del 2FA