Se un attaccante conosce la tua password, in quel preciso momento può accedere al tuo account come se fossi tu. È questa la fragilità di fondo: la password è un segreto che, una volta scoperto, non protegge più nulla. E scoprirlo è molto più facile di quanto sembri.
Il problema: la password da sola non basta
Le password finiscono nelle mani sbagliate in due modi principali. Il primo è il credential stuffing: gli aggressori raccolgono milioni di coppie email-password trapelate da vecchie violazioni e le provano in massa su altri servizi, contando sul fatto che moltissime persone riusano la stessa password ovunque. Il secondo è il phishing: una email o un messaggio ben confezionato ti porta su una pagina di login falsa, tu digiti le credenziali e le consegni direttamente al truffatore.
In entrambi i casi la password, per quanto lunga e complicata, non ti salva. Serve un secondo controllo che l’attaccante non possieda. È esattamente ciò che fa l’autenticazione a più fattori.
Cos’è l’MFA
L’autenticazione a più fattori (in inglese MFA, Multi-Factor Authentication) chiede di dimostrare la tua identità combinando almeno due categorie diverse di prove:
- Qualcosa che sai: la password o un PIN.
- Qualcosa che hai: il telefono, un’app di autenticazione, una chiave fisica.
- Qualcosa che sei: un dato biometrico come l’impronta o il volto.
Il punto è che i fattori devono appartenere a categorie diverse. Chi ruba la tua password ha in mano solo un pezzo del puzzle: senza il secondo fattore, l’accesso resta chiuso. Non a caso CISA, l’agenzia federale statunitense per la cybersicurezza, definisce l’MFA uno degli strumenti più efficaci per prevenire le intrusioni, al punto da dedicargli la campagna divulgativa “More Than a Password”.
Come funziona in pratica
Dopo aver inserito email e password, il servizio ti chiede un secondo passaggio: un codice che compare su un’app, una notifica da approvare sul telefono, il tocco di una chiave fisica. Solo superato anche quello l’accesso va a buon fine. Pochi secondi in più che cambiano completamente il livello di protezione.
I tipi di MFA, dal più debole al più forte
Non tutti i secondi fattori offrono la stessa robustezza. Vale la pena conoscere la scala.
SMS (meglio di niente, ma debole)
Il codice arriva via messaggio. È il metodo più diffuso ed è comunque preferibile alla sola password, ma è il più fragile: il numero può essere dirottato con un SIM swap (l’attaccante convince l’operatore a trasferire la tua SIM) e i messaggi possono essere intercettati. Per questo NIST, nelle sue linee guida SP 800-63B, considera l’invio di codici via rete telefonica un metodo “ristretto”, da usare con cautela e in mancanza di alternative.
App di autenticazione (TOTP)
App come quelle che generano codici a tempo (TOTP, un codice nuovo ogni 30 secondi) sono più solide dell’SMS: il codice si crea sul dispositivo e non transita sulla rete telefonica. Un netto passo avanti.
Notifiche push con number matching
Invece di digitare un codice, approvi una notifica sul telefono. Comodo, ma vulnerabile a un trucco di cui parliamo più sotto. La difesa è il number matching: la schermata di login mostra un numero che devi ricopiare nell’app per confermare. Così non basta premere “Approva” a caso.
Chiavi hardware e passkey FIDO2 (il massimo)
Le chiavi di sicurezza fisiche e le passkey basate sullo standard FIDO2/WebAuthn sono resistenti al phishing. Funzionano con crittografia asimmetrica e sono legate al sito autentico: se finisci su una pagina falsa, la passkey semplicemente non funziona, perché il dominio non corrisponde. CISA le indica come lo standard di riferimento e l’unica forma di MFA oggi diffusa capace di bloccare in radice gli attacchi di phishing.
Dove attivarlo per primo
Non devi mettere in sicurezza tutto in un giorno. Parti dagli account che, se compromessi, farebbero più danni:
- Email principale: è la chiave di tutto, perché da lì si reimpostano le password degli altri servizi.
- Home banking e servizi finanziari.
- Cloud e archivi dove tieni documenti, foto e backup.
- Social network, spesso legati alla tua identità pubblica e professionale.
- Accessi aziendali: posta di lavoro, VPN, gestionali.
I falsi miti
“È scomodo.” Nella pratica sono pochi secondi, e spesso solo al primo accesso da un dispositivo nuovo. Un costo minimo rispetto al recupero di un account violato.
“A me non serve, non sono un bersaglio.” Gli attacchi come il credential stuffing sono automatici e indiscriminati: non scelgono la vittima, provano tutti. Avere un account qualsiasi ti rende un bersaglio.
MFA fatigue: quando le notifiche diventano un’arma
Un attacco insidioso è l’MFA fatigue (o push bombing): l’aggressore, che ha già la tua password, inonda il telefono di richieste di approvazione finché, per stanchezza o distrazione, ne accetti una. La difesa migliore è proprio il number matching: se per approvare devi leggere un numero sullo schermo del login e digitarlo, non puoi confermare una richiesta che non hai avviato tu. Vale una regola semplice: se ricevi una notifica di accesso che non hai richiesto, non approvarla e cambia la password.
Password manager e passkey: la coppia vincente
L’MFA lavora meglio insieme a un password manager, che genera e conserva password lunghe e diverse per ogni sito, eliminando alla radice il riuso che alimenta il credential stuffing. Molti password manager oggi custodiscono anche i codici TOTP e le passkey. Le passkey, in particolare, puntano a sostituire del tutto la password: accedi con l’impronta o il volto, senza segreti da digitare e con la resistenza al phishing integrata.
Come iniziare oggi
- Vai nelle impostazioni di sicurezza dell’account (di solito “Sicurezza” o “Accesso”) e cerca “Verifica in due passaggi” o “Autenticazione a due fattori”.
- Scegli il metodo più forte disponibile: passkey o app di autenticazione prima dell’SMS.
- Salva i codici di recupero in un posto sicuro, servono se perdi il telefono.
- Comincia dall’email principale, poi banca e cloud.
In sintesi
La password è un buon inizio, ma da sola è un punto di rottura. Aggiungere un secondo fattore trasforma un segreto fragile in una difesa concreta, e scegliere il fattore giusto (una passkey o un’app, meglio dell’SMS) fa la differenza tra un ostacolo e un vero muro. Attivare l’MFA sui pochi account che contano è una delle cose più efficaci che puoi fare oggi per la tua sicurezza. Bastano pochi minuti.