Una password da sola non basta: come proteggere davvero i propri account

Conosce quella sensazione che si prova quando viene pubblicato l’ennesimo rapporto su una violazione dei dati e ci si chiede se la propria password fosse tra quelle compromesse? Tale preoccupazione è giustificata. Miliardi di credenziali di accesso provenienti da violazioni passate sono in circolazione e i moderni siti di phishing rubano le password in tempo reale. Una password forte è importante, ma rappresenta solo uno degli ostacoli. Se viene compromessa, il Suo account rimane completamente esposto. La buona notizia: con l’autenticazione a due fattori, o meglio ancora con una passkey, può rendere i Suoi account molto più sicuri in pochi minuti. Il BSI raccomanda proprio questo.

Perché una password da sola non è più sufficiente

Le password presentano tre vulnerabilità dalle quali nemmeno la password più complessa è in grado di proteggere. In primo luogo, le violazioni dei dati: se un servizio viene hackerato, milioni di credenziali di accesso finiscono in circolazione e chiunque riutilizzi la stessa password perde più account contemporaneamente. In secondo luogo, il phishing: una pagina di accesso apparentemente autentica richiede la Sua password e Lei la inserisce volontariamente. In terzo luogo, lo “swapping della SIM”: i truffatori si appropriano del Suo numero di cellulare e lo utilizzano per intercettare persino i codici inviati via SMS. Secondo l’FBI, le perdite hanno raggiunto circa 26 milioni di dollari nel solo 2024, e lo “swapping della SIM” rimane uno dei tipi di attacco segnalati con maggiore frequenza. L’autenticazione a due fattori aggiunge un secondo ostacolo che un malintenzionato non può superare facilmente.

Una panoramica dei metodi, dagli SMS alle passkey

Non tutti i metodi di autenticazione a due fattori sono uguali. Un codice inviato tramite SMS o e-mail è l’opzione più nota e, pur essendo meglio di niente, è anche la più vulnerabile. Un’app di autenticazione sul vostro telefono genera un codice nuovo ogni 30 secondi, il cosiddetto TOTP, localmente sul dispositivo e senza ricorrere alla rete cellulare. Ciò la rende immune allo swap della SIM. Le passkey fanno un ulteriore passo avanti: invece di un codice, si memorizza una chiave crittografica sul proprio dispositivo, sbloccabile tramite impronta digitale, riconoscimento facciale o PIN. La chiave privata non lascia mai il dispositivo, come descritto dalla FIDO Alliance. Una chiave hardware, come ad esempio una YubiKey, è un piccolo dongle USB o NFC che implementa lo stesso principio a livello hardware. In Germania, inoltre, esistono due ulteriori metodi altamente sicuri, il chipTAN e la carta d’identità nazionale, destinati specificatamente alle operazioni bancarie e agli enti pubblici.

Cosa garantisce una protezione effettiva, secondo il BSI

Perché un metodo di autenticazione a due fattori è più sicuro di un altro? Il BSI ha condotto una valutazione tecnica dei metodi più diffusi e la differenza fondamentale risiede nella protezione in tempo reale contro il phishing. Con gli SMS e le e-mail, un malintenzionato può facilmente inoltrare il codice tramite un server intermediario mentre l’utente, ignaro, lo digita sul suo sito web contraffatto. Secondo il BSI, anche le app di autenticazione non forniscono una protezione affidabile contro tali attacchi in tempo reale o contro le fughe di dati. Le passkey e le chiavi hardware, invece, sono legate all’indirizzo effettivo del sito web. Semplicemente non funzionano su un sito falso, rendendo inefficace il tentativo di phishing. Secondo il BSI, chipTAN e la carta d’identità nazionale sono addirittura resistenti a tutti gli attacchi presi in considerazione. Il BSI parte qui da un presupposto fondamentale: una password forte come base e due dispositivi separati.

Configurare i passkey in pochi minuti

Le passkey rappresentano il modo più semplice per garantire un elevato livello di sicurezza, poiché in genere si sbloccano utilizzando ciò che già si utilizza quotidianamente: l’impronta digitale o il riconoscimento facciale. Funzionano su iPhone con iOS 16 o versioni successive, su dispositivi Android con versione 9 o successive, nonché su Windows 10 e 11, in tutti i browser attualmente in uso. Sono supportate da Google, Apple, Microsoft, Amazon, PayPal e GitHub, tra gli altri, e l’elenco sta crescendo rapidamente. Secondo la FIDO Alliance, entro il 2026 ci saranno circa cinque miliardi di passkey attive in tutto il mondo e il grado di consapevolezza ha ormai raggiunto il 90%.

Ecco come configurarle: su Google, andate su g.co/passkeys; su Apple, andate su appleid.apple.com; su Microsoft, andate su account.microsoft.com; e create una passkey con pochi clic. Dopodiché, confermerete gli accessi tramite impronta digitale o riconoscimento facciale e non dovrete più digitare password. Su un computer condiviso, l’app Authenticator rappresenta una valida alternativa: installi un’app come Google Authenticator, Microsoft Authenticator o l’app open source Aegis; acceda alla sezione “Sicurezza” del servizio e scansioni il codice QR visualizzato. Questo è tutto: un’app al posto di un codice SMS.

Una chiave hardware per il vostro account più sensibile

Se desiderate garantire la massima sicurezza al vostro account più importante, ad esempio la casella di posta elettronica in cui arrivano tutte le richieste di reimpostazione della password, optate per una chiave hardware. Si tratta di token FIDO2 come la YubiKey (disponibile qui su Amazon) o la Titan Key di Google, che basta collegare brevemente o avvicinare al telefono tramite NFC al momento dell’accesso. Sono resistenti al phishing tanto quanto le passkey, ma costituiscono un dispositivo separato che nessuno può copiare da remoto.

Qualche cenno al contesto, poiché la notizia ha fatto scalpore nel 2024: i ricercatori hanno dimostrato, tramite l’attacco EUCLEAK, che alcune YubiKey della serie 5 con versioni del firmware precedenti alla 5.7 possono essere clonate. Può sembrare drammatico, ma è un problema di scarsa rilevanza per gli utenti comuni. L’attacco richiede l’accesso fisico al dispositivo e costose attrezzature di laboratorio specializzate; non si tratta di un attacco remoto. Yubico ha risolto la vulnerabilità con la versione 5.7 del firmware. In pratica, ciò significa semplicemente: assicuratevi di acquistare un modello aggiornato. Un altro consiglio: procuratevi due chiavi, una di riserva.

Non dimenticate il processo di recupero, ed ecco chi dovrebbe occuparsene

La vulnerabilità più comune non è l’autenticazione a due fattori in sé, bensì il processo di ripristino. Se un servizio consente di effettuare nuovamente l’accesso tramite una semplice e-mail dopo aver smarrito il telefono, l’intera sicurezza a due fattori risulta compromessa. Il BSI raccomanda pertanto un processo di recupero in due fasi. Conservate i codici di backup che ogni servizio fornisce durante la configurazione in un luogo sicuro, sia offline che in un gestore di password. Nel caso delle chiavi hardware, la seconda chiave funge proprio da backup.

Qual è quindi la soluzione migliore per ciascuno? Per la maggior parte degli account, una passkey offre il miglior equilibrio tra sicurezza e praticità, spesso eliminando del tutto la necessità di una password. Laddove le passkey non siano ancora disponibili, utilizzi un’app di autenticazione anziché gli SMS. E protegga il Suo account più sensibile con una chiave hardware. Lo sforzo è minimo, ma la differenza è significativa.