L'autenticazione a due fattori (2FA) protegge un account chiedendo due elementi diversi quando accedi: qualcosa che sai, come la password, e qualcosa che hai, come un codice di sei cifre generato da un'app di autenticazione sul telefono. Anche se qualcuno ti ruba la password, senza il secondo fattore non può entrare.
È una delle misure di sicurezza più efficaci che una persona comune possa adottare e di solito si attiva in pochi minuti. In questa guida vediamo come funziona la 2FA, quali metodi scegliere e come evitare di restare chiusi fuori dal proprio account.
Perché la sola password non basta
Le password possono finire nelle mani sbagliate in molti modi. Le persone riutilizzano la stessa password su più siti, i siti web subiscono violazioni di dati e le pagine di phishing inducono a digitare le proprie credenziali in un modulo falso. Una volta nota la password, chiunque può provarla sulla tua email, sui social o sul tuo account di shopping online.
La 2FA aggiunge una seconda serratura. Una password rubata da sola non basta più, perché l'attaccante ha bisogno anche del codice presente sul tuo dispositivo. Questo rende molto più difficili tanti furti di account comuni, soprattutto quelli basati su password riutilizzate o trapelate.
I principali tipi di secondo fattore
Non tutti i secondi fattori sono ugualmente robusti. Le opzioni più comuni sono:
- App di autenticazione. App come Google Authenticator, Microsoft Authenticator e altre compatibili generano un nuovo codice di sei cifre ogni 30 secondi. I codici vengono creati sul telefono, quindi non viaggiano sulla rete telefonica.
- Codici via SMS. Il codice arriva con un messaggio di testo. Molto meglio di nessuna 2FA, ma gli SMS possono essere intercettati o deviati, ad esempio con la frode dello scambio di SIM (SIM swap), in cui un criminale convince l'operatore a trasferire il tuo numero sulla sua SIM.
- Notifiche push. Alcuni servizi inviano una richiesta a un'app sul telefono del tipo "Sei tu?". Comodo, ma non approvare mai una richiesta che non ti aspettavi.
- Chiavi di sicurezza e passkey. Le chiavi fisiche o le passkey salvate sul dispositivo sono tra le opzioni più robuste, perché sono progettate per resistere al phishing. Il supporto varia da servizio a servizio.
Per la maggior parte delle persone, un'app di autenticazione è una scelta solida e pratica. Se un servizio offre solo gli SMS, attivali comunque: è sempre un grande passo avanti rispetto alla sola password.
Come funzionano le app di autenticazione
Quando attivi la 2FA con un'app di autenticazione, il sito ti mostra un QR code. Quel QR code contiene una chiave segreta. Lo scansioni una sola volta con l'app e da quel momento l'app e il sito usano quel segreto condiviso e l'ora corrente per calcolare lo stesso codice di sei cifre.
Poiché il codice cambia ogni 30 secondi, un codice sbirciato da qualcuno alle tue spalle diventa inutile poco dopo. E dato che i codici vengono calcolati sul telefono, l'app funziona anche senza connessione a internet.
Un punto importante: il QR code di configurazione è un dato sensibile. Chiunque lo scansioni può generare i tuoi codici. Non farne screenshot, non condividerlo e non lasciarlo sullo schermo dove altri possono vederlo.
Come attivare la 2FA passo per passo
I menu cambiano da un servizio all'altro, ma la procedura è di solito la stessa:
- Installa un'app di autenticazione sul telefono.
- Accedi all'account che vuoi proteggere e apri le impostazioni di sicurezza.
- Cerca "Autenticazione a due fattori", "Verifica in due passaggi" o "Accesso in due passaggi" e scegli l'opzione con app di autenticazione.
- Scansiona con l'app il QR code mostrato sullo schermo.
- Digita il codice di sei cifre dell'app per confermare che funziona.
- Salva i codici di backup che il servizio ti fornisce (vedi la sezione successiva).
- Esci e accedi di nuovo per verificare che tutto funzioni.
Comincia dagli account più importanti: la tua email principale (perché può reimpostare le altre password), la banca, i social, il cloud e qualsiasi account che contenga dati di pagamento. Su QR-TH puoi attivare l'accesso in due passaggi con un'app di autenticazione dalle impostazioni dell'account, così nessun altro può modificare i tuoi QR code e i tuoi link brevi.
Codici di backup: la tua via d'accesso di riserva
Il problema più frequente con la 2FA non è l'hacking: è perdere il telefono. Se il telefono viene perso, rubato, si rompe o lo sostituisci, ti serve un altro modo per accedere.
A questo servono i codici di backup. La maggior parte dei servizi, quando attivi la 2FA, ti dà un elenco di codici monouso. Ogni codice può essere usato una sola volta al posto del codice dell'app.
Conservali in modo sicuro:
- Stampali e tieni il foglio in un posto sicuro a casa, oppure
- Salvali in un password manager affidabile, e
- Non tenerli solo sullo stesso telefono dell'app di autenticazione.
Ogni codice di backup funziona una volta sola. Quando ne usi uno, cancellalo dall'elenco. Se te ne restano pochi, la maggior parte dei servizi ti permette di generarne un nuovo set, che annulla quello vecchio.
Cambiare telefono senza restare chiusi fuori
Prima di ripristinare, vendere o dare in permuta il vecchio telefono, trasferisci i codici di autenticazione su quello nuovo. Alcune app di autenticazione offrono una funzione di trasferimento o di backup nel cloud; con altre devi riconfigurare la 2FA per ogni account.
Un approccio sicuro:
- Tieni funzionante il vecchio telefono finché ogni account non è confermato sul nuovo.
- Per gli account che non si possono trasferire, accedi, disattiva e riattiva la 2FA e scansiona il nuovo QR code con il nuovo telefono.
- Prova ogni account prima di cancellare i dati dal vecchio dispositivo.
Errori comuni da evitare con la 2FA
- Condividere i codici. Nessuna banca, negozio o servizio clienti autentico ti chiederà di comunicargli un codice 2FA. Chi lo chiede è molto probabilmente un truffatore.
- Approvare richieste inattese. Se ricevi una richiesta di accesso che non hai avviato tu, rifiutala e cambia la password.
- Inserire codici in pagine aperte da un link ricevuto in un messaggio. Anche i siti di phishing possono chiederti il codice. Vai direttamente sul sito.
- Saltare i codici di backup. Salvarli richiede un minuto e può risparmiarti giorni di procedure di recupero.
Per una protezione quotidiana più completa, leggi i nostri consigli per la sicurezza dello smartphone e impara a riconoscere le truffe con QR code che cercano di rubare le credenziali.
FAQ
L'autenticazione a due fattori è davvero necessaria?
Per gli account importanti come email, banca e social, sì. Blocca molti attacchi basati su password rubate o riutilizzate.
Un'app di autenticazione è più sicura degli SMS?
In generale sì. I codici dell'app vengono generati sul telefono, mentre gli SMS possono essere intercettati o deviati con la frode del SIM swap. Gli SMS restano comunque meglio di nessuna 2FA.
Cosa succede se perdo il telefono?
Usa uno dei codici di backup salvati per accedere, poi riconfigura la 2FA sul nuovo telefono. Senza codici di backup dovrai seguire la procedura di recupero dell'account del servizio.
Qualcuno può violare il mio account se ha il mio codice 2FA?
Un codice vale solo per poco tempo, ma un truffatore che ti convince a condividerlo in tempo reale potrebbe usarlo. Non condividere mai i tuoi codici con nessuno.
L'autenticazione a due fattori si attiva in pochi minuti e rende i tuoi account molto più difficili da violare. Attivala oggi per email e banca, poi proteggi il tuo account QR-TH con l'accesso in due passaggi. Trovi altre informazioni nelle nostre domande frequenti.