Autenticazione a due fattori (2FA): spiegata una volta per tutte

Dopo aver messo in ordine le password con un gestore dedicato, il passo successivo — quello che consiglio a tutti, senza eccezioni — è attivare l'autenticazione a due fattori, spesso abbreviata in 2FA. È la singola cosa che, da sola, blocca quasi tutti i tentativi di intrusione negli account. Vediamo cos'è e come si mette in pratica.

Cosa significa "due fattori" #

L'idea è che per entrare servano due prove diverse della tua identità:

• qualcosa che sai (la password);
• più qualcosa che hai (di solito il tuo telefono, che genera o riceve un codice temporaneo).

Anche se qualcuno ti rubasse la password, senza il secondo fattore — il tuo telefono — non entrerebbe comunque. È come avere, oltre alla serratura, anche il chiavistello.

Perché è così efficace #

La maggior parte delle intrusioni avviene con password rubate nei data breach o indovinate. Il secondo fattore rende inutili quelle password rubate: l'aggressore ha metà della chiave, ma gli manca l'altra metà, che resta fisicamente con te. Non è un caso che ogni servizio serio, oggi, spinga per attivarla.

Non tutti i metodi sono uguali #

C'è 2FA e 2FA. In ordine di robustezza:

• SMS: meglio di niente, ma il più debole (i codici via SMS possono essere intercettati o dirottati con il furto del numero).
• App di autenticazione (le cosiddette app TOTP): generano un codice che cambia ogni 30 secondi sul telefono. È il buon compromesso che consiglio quasi sempre.
• Chiave di sicurezza fisica: una chiavetta hardware, il metodo più solido, ideale per gli account più importanti.

Se puoi scegliere, evita l'SMS e usa un'app dedicata.

Come la attivo e dove #

Il percorso è quasi sempre lo stesso: entri nelle impostazioni di sicurezza dell'account, cerchi "verifica in due passaggi" o "2FA", e segui la procedura (di solito si inquadra un codice QR con l'app). Da dove partire? Dagli account che, se persi, farebbero più danni: email (è la chiave di tutto il resto), servizi bancari e social.

E se perdo il telefono? #

È la preoccupazione giusta, e la risposta è: prepàrati prima. Quando attivi la 2FA, quasi tutti i servizi ti danno dei codici di recupero: stampali o salvali in un posto sicuro (nel tuo password manager, ad esempio). Meglio ancora, registra un secondo metodo di riserva. Così un telefono perso è un fastidio, non un lucchetto che ti chiude fuori.

In conclusione #

L'autenticazione a due fattori è forse il miglior rapporto sforzo/beneficio di tutta la sicurezza digitale: due minuti per attivarla, e neutralizzi la minaccia più comune in assoluto. Fallo oggi almeno sulla tua email principale: è la mossa che protegge tutto il resto.