Cellulare smarrito, account bloccato: cosa può davvero aiutare in questo momento

Il Suo telefono è sparito. Rubato o caduto in un lago, non fa differenza. Conosce ancora la password del Suo account Google, ma Google ora richiede l’autenticazione a due fattori, e quella era memorizzata sul telefono che non possiede più.

Questo è il momento che determina se perderà un pomeriggio o un account. La decisione in sé è stata presa molto prima, il giorno in cui avete attivato l’accesso a due fattori.

Abbiamo esaminato le procedure di recupero di Google, Apple e Microsoft, e poi quelle di 1Password, Bitwarden e Dashlane. Tutte e sei si riducono alla stessa cosa: non è possibile configurare nulla a posteriori. Ogni via di ritorno deve essere predisposta prima che ne abbiate bisogno.

Nel nostro articolo sulle chiavi di sicurezza, otto inserimenti errati di seguito cancellano tutte le registrazioni presenti sul dispositivo. Questa volta non è un componente hardware a andare perso. È la vostra casella di posta.

Cosa richiedono effettivamente i fornitori

La soluzione più semplice è la stessa per tutti e tre i principali fornitori: un secondo dispositivo su cui sia ancora effettuato l’accesso. Senza di esso, le opzioni si riducono rapidamente.

Google accetta un altro telefono con accesso attivo, un secondo numero registrato, un codice di backup, una chiave di sicurezza o una passkey proveniente da un altro dispositivo. I codici di backup sono l’elemento che le persone tendono a sottovalutare. Ne vengono generati dieci, ciascuno composto da otto cifre, ognuno valido per un solo utilizzo. Generando una nuova serie, quella precedente decade immediatamente.

Apple considera il codice di sblocco del vostro iPhone come un fattore di recupero a tutti gli effetti. Esso viene «utilizzato anche per reimpostare la password del vostro account Apple e per recuperare i vostri dati crittografati end-to-end qualora perdeste l’accesso al vostro account». Il numero che digitate per sbloccare il telefono fa molto di più che proteggere la schermata di blocco.

Microsoft non fornisce alcuna serie di codici. Si riceve esattamente un unico codice di recupero di 25 cifre, e non è possibile recuperarlo in un secondo momento: «Non è possibile recuperare o scaricare un codice di recupero esistente dell’account Microsoft».

L’attesa è il vero problema

Se viene a mancare il secondo fattore, si finisce nella procedura di recupero dell’account. Ciò richiede tempo, ed è intenzionale.

Google fornisce una stima precisa: «Google potrebbe impiegare da 3 a 5 giorni lavorativi per verificare che si tratti effettivamente di voi». Aggiungere un nuovo numero di telefono all’ultimo minuto non serve a nulla, poiché «potrebbero essere necessari fino a 7 giorni prima che tali modifiche abbiano effetto».

Anche la più recente misura di sicurezza di Google presenta lo stesso inconveniente. I contatti di recupero consentono a un massimo di dieci persone di fiducia di confermare la vostra identità. Il contatto ha sette giorni di tempo per accettare, e trascorre un’altra settimana prima che il contatto possa essere effettivamente utilizzato. Quando ne avrete bisogno, sarà ormai troppo tardi: «Non è possibile aggiungere un contatto di recupero mentre si è bloccati fuori dal proprio account o durante il processo di recupero dell’account».

Apple non fornisce alcuna cifra, ma solo «diversi giorni o più», e risponde essa stessa all’ovvia domanda successiva. «È possibile abbreviare il periodo di attesa? No.»

Microsoft rappresenta l’eccezione. Il modulo di recupero viene inviato entro 24 ore, a condizione che l’accesso a due fattori sia disattivato. Se si sostituiscono tutte le informazioni di sicurezza associate all’account, Microsoft lo blocca per 30 giorni.

Tre insidie di cui quasi nessuno è a conoscenza

I 30 giorni concessi da Microsoft possono essere abbreviati solo con ciò che ha appena smarrito. La pagina di assistenza recita: «Non possiamo accelerare il processo di 30 giorni a meno che non annulli la richiesta». E per annullare: «Avrete bisogno di accedere a queste prove di sicurezza per completare la richiesta di annullamento». Se l’accesso a due fattori è attivo e nessuna delle alternative memorizzate vi è ancora accessibile, Microsoft vi fornirà una frase che raramente si vede in un documento di supporto: «Non possiamo aiutarvi, ci dispiace».

Apple interrompe immediatamente un processo di recupero in corso nel momento in cui si utilizza l’account. Nessun avviso, nessun messaggio: «Se il Suo account Apple è in uso durante la richiesta, il recupero dell’account verrà annullato automaticamente». È sufficiente un iPad lasciato in salotto, con l’accesso ancora attivo. L’unico dispositivo che può continuare a utilizzare è quello su cui ha avviato la richiesta.

Il backup di Authenticator fallisce proprio sull’unico account che ci si aspetterebbe fosse coperto. Per gli account Microsoft senza password, il backup conserva solo il nome dell’account e nient’altro: «Viene quindi eseguito il backup solo del nome dell’account. Al momento del ripristino, sarà necessario effettuare nuovamente l’accesso». A ciò si aggiunge un limite legato alla piattaforma: «Gli account di cui è stato eseguito il backup tramite un dispositivo iOS non possono essere ripristinati su un dispositivo Android». Se si passa da iPhone ad Android, il backup non ha alcun valore.

Con i gestori di password è davvero finita

Google e Apple vi consentiranno di accedere nuovamente, a condizione che possiate fornire prove sufficienti. Con i gestori di password non esiste un’autorità di questo tipo. Fanno eccezione i piani famiglia e di gruppo, in cui un organizzatore o un amministratore può reimpostare la vostra password. Se pagate il vostro account, non c’è nessuno al di sopra di voi.

Bitwarden lo afferma senza mezzi termini: «I dipendenti e i sistemi di Bitwarden non sono a conoscenza della vostra password principale, né dispongono di alcun modo per recuperarla o reimpostarla». In caso di perdita del secondo fattore di autenticazione: «Bitwarden non ha alcun modo per recuperare l’account o i relativi dati. Dovrete cancellare il vostro account e crearne uno nuovo». Il codice di recupero che vi salverebbe si trova nelle impostazioni, dietro la richiesta della password principale. È utile solo a chi lo ha annotato in precedenza.

1Password chiarisce un malinteso molto diffuso. La chiave segreta di 34 caratteri sembra un codice di emergenza, ma non lo è: «La vostra chiave segreta non è: un codice di backup. Non vi consente di accedere se dimenticate la password del vostro account 1Password». Dal 2024 è disponibile un vero e proprio codice di recupero. Funziona più di una volta, ma solo se è ancora possibile accedere all’account e-mail registrato.

Dashlane è l’unico dei tre che invia tramite SMS codici nuovi quando il secondo fattore di autenticazione viene a mancare. Non reimposta nemmeno la password principale. Ciò che offre invece è una chiave di recupero, oltre al recupero biometrico su Android e iPhone.

Cosa predisporre oggi

Stampate i vostri codici di backup. Non li fotografi e non li archivi nel gestore di password che sta cercando di proteggere. Apple lo specifica chiaramente per la sua chiave di recupero: non nell’app Password, né in iCloud Drive, perché «se dovesse perdere l’accesso al Suo account Apple, non sarà in grado di aprire queste app per ritrovarla».

Configurate un secondo fattore di autenticazione su un secondo dispositivo. Un tablet, una vecchia chiave di riserva, un autenticatore sul vostro computer di lavoro. Affidarsi a un unico telefono come unico fattore di autenticazione è l’errore da cui derivano tutti gli altri, ed è la prima cosa che diciamo a chi ci chiede come proteggere correttamente un account.

Aggiungete subito i vostri contatti di fiducia. Google consente di inserire dieci contatti di recupero, Apple cinque. Entrambe le procedure richiedono un periodo di tempo, e nel caso di Google ciò significa due volte sette giorni.

Riflettete attentamente sulla chiave di recupero. Se la attivate su Apple, la procedura standard viene disattivata. Se in seguito perdete la chiave e i vostri dispositivi, «non potrete più accedere al vostro account in modo permanente».