Autenticazione a due fattori: cos’è, come funziona e perché la consiglio

In un contesto in cui sempre più attività si svolgono online, la sicurezza degli account non è più solo una questione tecnica, ma anche organizzativa, ed in molti casi, giuridica. Email, documenti in cloud, aree riservate, conti online, gestionali aziendali, contengono sempre di più dati personali, informazioni sensibili e contenuti di valore economico. Per questo motivo, tra le misure di sicurezza informatica che consiglio più spesso ai miei clienti, sia privati che aziende, vi è l’autenticazione a due fattori.

L’autenticazione a due fattori rappresenta una misura concreta, semplice da implementare e molto utile per ridurre il rischio di accessi abusivi, furto di credenziali, data breach e blocchi operativi. Non sostituisce le altre misure di sicurezza, ma rappresenta uno dei primi strumenti da adottare per lavorare e comunicare on line in modo sicuro, anche conformemente all’obbligo di adottare le misure tecniche e organizzative adeguate, previsto dall’art. 32 GDPR.

1. Cosa si intende per autenticazione a due fattori 

Ma in concreto, cosa si intende per autenticazione a due fattori e dove sta la sua utilità? In termini semplici, si tratta di un sistema di accesso che, oltre alla password, richiede una seconda prova di identità necessaria per consentire l’ingresso all’account.

Per comprendere cosa si intende per autenticazione a due fattori, occorre innanzitutto prendere atto che oggi, la sola password, non è più sufficiente per proteggere account e dati personali. Bisogna pensare ad un sistema che richiede due elementi distinti, scelti tra diverse categorie di fattori di autenticazione. Tradizionalmente si distinguono tre categorie, ovvero qualcosa che l’utente:

1) conosce: ad esempio una password, un codice o un PIN;

2) possiede: come uno smartphone, un token fisico, una chiave di sicurezza;

3) è: cioè una caratteristica personale, come l’impronta digitale o il riconoscimento facciale.

L’autenticazione a due fattori combina almeno due di queste categorie. Nella pratica più comune, il primo elemento è qualcosa che l’utente conosce (tipicamente la password), mentre il secondo fattore di autenticazione è collegato a ciò che possiede o a ciò che è.

Chiarire fin da subito cosa si intende per autenticazione a due fattori aiuta a capire perché molte violazioni avvengono tramite credenziali sottratte o riutilizzate: una password può essere indovinata, carpita con phishing o compromessa in una violazione esterna, mentre un secondo fattore di autenticazione introduce una barriera aggiuntiva.

2. Il secondo fattore di autenticazione: quali strumenti esistono  

Il punto centrale del sistema è proprio il secondo fattore di autenticazione. È questo elemento aggiuntivo che rende più difficile l’accesso da parte di soggetti non autorizzati, anche quando le credenziali sono state sottratte (ad esempio, in fughe di dati). Scegliere con attenzione il secondo fattore di autenticazione è importante, perché non tutti i metodi offrono lo stesso livello di sicurezza e la stessa affidabilità nel tempo. 

Il più comune è il codice temporaneo inviato via SMS o generato da un’app autenticatrice sul proprio smartphone. Molto diffusi sono anche i sistemi di notifica push, i token fisici e le chiavi di sicurezza. In alcuni casi, il secondo fattore di autenticazione può coincidere con dati biometrici, come l’impronta digitale o il riconoscimento facciale, soprattutto quando integrati in dispositivi affidabili e correttamente configurati. 

Dal punto di vista della sicurezza, è utile ricordare che: 

– i codici via SMS sono meglio di nessuna protezione, ma risentono di limiti strutturali (dipendenza dalla rete telefonica, possibili attacchi di SIM swap); 

– le app “autenticatrici” e le chiavi fisiche di sicurezza offrono in genere maggiori garanzie, soprattutto per account particolarmente sensibili; 

– l’uso di dati biometrici come secondo fattore di autenticazione va valutato avendo ben chiaro il contesto e le implicazioni in termini di protezione dei dati personali. 

Per privati e aziende, il secondo fattore di autenticazione dovrebbe essere scelto tenendo conto di tre profili: sicurezza, semplicità d’uso e possibilità di recupero dell’account. In generale, app autenticatrici, chiavi fisiche e sistemi evoluti di verifica offrono maggiori garanzie rispetto ai metodi più deboli o troppo dipendenti dalla sola rete telefonica.

3. Perché l’autenticazione a due fattori è così utile 

L’autenticazione a due fattori è utile perché riduce in modo concreto il rischio che una password rubata o indovinata si trasformi in un accesso riuscito. Questo vale per il privato cittadino che vuole proteggere email, social, home banking e account personali, ma anche per aziende e professionisti che gestiscono documenti, dati dei clienti, strumenti di collaborazione e attività da remoto.

Dal punto di vista operativo, l’autenticazione a due fattori aiuta a prevenire: 

– accessi abusivi con credenziali sottratte;

– compromissione di caselle email e archivi cloud; 

– furto di identità digitale; 

– uso non autorizzato di strumenti e gestionali aziendali; 

– blocchi dell’attività dovuti a incidenti di sicurezza e conseguenti danni economici e reputazionali.

Dal punto di vista organizzativo e legale, l’autenticazione a due fattori rappresenta una scelta prudente e ragionevole. Chi tratta dati, utilizza servizi digitali o opera stabilmente online, deve oggi prestare molta attenzione alla sicurezza degli accessi, anche alla luce della normativa in materia di protezione dei dati personali (GDPR) e, per i servizi di pagamento, alle regole sulla “autenticazione forte del cliente” previste dalla PSD2 (la normativa europea per modernizzare i pagamenti digitali).

In molti contesti, l’autenticazione a due fattori può essere qualificata come misura tecnica ed organizzativa adeguata e, in alcuni casi, come misura minima di protezione, soprattutto quando si lavora da remoto o senza supporto cartaceo.

4. Come fare l’autenticazione a due fattori in modo corretto 

Ma quindi, come fare l’autenticazione a due fattori senza complicarsi inutilmente la vita? In realtà, è spesso più semplice di quanto sembri, a condizione di seguire una procedura ordinata e di non trascurare gli aspetti pratici collegati al recupero dell’account. 

Per chi si chiede come fare l’autenticazione a due fattori, il primo passo è entrare nelle impostazioni di sicurezza del servizio utilizzato (email, cloud, social, gestionale, ecc.) e attivare la verifica aggiuntiva. Subito dopo, occorre scegliere il metodo preferito per il secondo controllo: app autenticatrice, codice via SMS, notifica push o chiave di sicurezza fisica. Seguire con attenzione le istruzioni del fornitore del servizio è fondamentale per evitare errori di configurazione. 

Chi vuole capire davvero come fare autenticazione a due fattori dovrebbe però curare anche gli aspetti pratici che spesso vengono trascurati: 

– generare e conservare con cura i codici di recupero; 

– pianificare la gestione del cambio telefono o dispositivo principale; 

– controllare periodicamente i dispositivi e i browser autorizzati; 

– predisporre un metodo alternativo di verifica in caso di emergenza. 

Una configurazione di autenticazione a due fattori fatta bene non serve soltanto a proteggere l’account, ma anche ad evitare di restarne esclusi proprio quando se ne ha più bisogno. In ambito aziendale, questi passaggi possono e dovrebbero essere inseriti in procedure interne chiare, note ai dipendenti e periodicamente verificate.

5. Autenticazione a due fattori di Google: un caso particolarmente importante

Per molti utenti, l’autenticazione a due fattori di Google è il primo intervento da attivare. Ed è una scelta condivisibile. Oggi un account Google non si usa solo per la posta elettronica di Gmail, ma anche per documenti, contatti, calendario, archiviazione cloud, IA, collaborazione interna ed accesso ad altri servizi collegati.
L’autenticazione a due fattori di Google assume quindi un rilievo particolare sia per i privati che per le aziende. Se viene compromesso un account centrale, il rischio non riguarda soltanto la casella email, ma un intero ecosistema digitale. Per questo ritengo che l’autenticazione a due fattori di Google sia una misura prioritaria per chi lavora online, gestisce documenti da remoto o utilizza strumenti cloud in modo continuativo.

6. Limiti e problemi da conoscere

Pur essendo molto utile, l’autenticazione a due fattori non è una soluzione risolutiva di ogni rischio, in quanto presenta anche dei limiti. Può infatti creare disagi se l’utente perde il telefono, cambia numero senza aggiornare i sistemi di recupero o non conserva i codici di emergenza. In questi casi il secondo fattore di autenticazione può diventare, paradossalmente, un ostacolo all’accesso legittimo.

Inoltre, l’autenticazione a due fattori non elimina del tutto i rischi di phishing, truffe persuasive o errori umani. Se una persona consegna volontariamente password e codici a un soggetto fraudolento o approva richieste sospette sul proprio smartphone, la protezione può essere aggirata. Per questo motivo, l’autenticazione a due fattori funziona al meglio solo se accompagnata da buone pratiche: password robuste, dispositivi aggiornati, attenzione ai messaggi sospetti e corretta organizzazione delle procedure di recupero.

Anche il secondo fattore di autenticazione va gestito con attenzione. Se è troppo debole, troppo scomodo o mal configurato, il sistema perde parte della sua efficacia e gli utenti saranno tentati di disattivarlo o di aggirarlo con soluzioni improvvisate. Un corretto bilanciamento tra sicurezza e usabilità è quindi essenziale, soprattutto in contesti aziendali. 

7. La mia opinione professionale 

Da avvocato che lavora online, ritengo che l’autenticazione a due fattori sia una misura fortemente consigliabile per chiunque utilizzi strumenti digitali in modo abituale. Per i privati significa una maggiore protezione della vita digitale e dei propri dati; per le aziende significa ridurre i rischi operativi, economici e reputazionali legati ad incidenti di sicurezza, accessi non autorizzati e possibili violazioni di dati personali. 

In sintesi, sapere cosa si intende per autenticazione a due fattori, scegliere con criterio il secondo fattore di autenticazione, comprendere come fare l’autenticazione a due fattori di google, permette già di compiere un passo concreto verso una sicurezza informatica più seria ed efficace.

Se utilizzi servizi online, il mio consiglio è chiaro: attiva l’autenticazione a due fattori sui tuoi account principali e configurala con attenzione, predisponendo adeguate procedure di recupero.

È una misura semplice, proporzionata e oggi, a mio avviso, quasi indispensabile per lavorare e comunicare in sicurezza in un ambiente digitale sempre più esigente sul piano tecnico, organizzativo e giuridico.