Perché una password, da sola, non basta più
Le password vengono rubate con il phishing, riusate da violazioni avvenute su altri siti, indovinate da attacchi automatici che ne provano migliaia al minuto. Non è un problema di quanto sia complessa la password: è che una singola informazione, per quanto segreta, può sempre finire nelle mani sbagliate senza che nessuno se ne accorga subito.
L'autenticazione a più fattori (MFA, multi-factor authentication) aggiunge una seconda verifica indipendente dalla password: anche se questa viene rubata, chi la usa non riesce ad accedere senza anche il secondo fattore. È probabilmente la misura di sicurezza con il miglior rapporto tra protezione ottenuta e costo di introduzione.
I tre fattori, e come si combinano
Un fattore di autenticazione appartiene a una di tre categorie: qualcosa che sai (una password, un PIN), qualcosa che hai (uno smartphone, una chiave fisica), qualcosa che sei (un'impronta digitale, il volto). L'MFA combina almeno due categorie diverse: password più smartphone, per esempio, non password più PIN, che sono la stessa categoria e cadono insieme.
I tipi di MFA, dal più debole al più solido
| Metodo | Come funziona | Limite principale |
|---|---|---|
| SMS con codice | Un codice via messaggio al telefono | Vulnerabile a SIM swap e intercettazione: da evitare dove possibile |
| App authenticator (TOTP) | Un codice temporaneo generato da un'app | Buon compromesso, ma richiede di digitare il codice ogni volta |
| Notifica push | Un'approvazione con un tocco sull'app | Comoda, ma soggetta a "fatica da notifica" se l'utente approva senza pensare |
| Chiave di sicurezza fisica (FIDO2/passkey) | Un dispositivo fisico o una passkey legata al dispositivo | Il più solido, resistente al phishing; richiede un dispositivo dedicato o supporto del sistema |
Non serve scegliere il metodo perfetto ovunque: serve scegliere un metodo meglio della sola password ovunque, e il più solido possibile sugli accessi più critici.
Da dove iniziare il rollout
- Account amministrativi e privilegiati per primi: sono quelli che, se compromessi, fanno più danno.
- Posta elettronica e Microsoft 365: spesso è il punto da cui un attaccante recupera l'accesso a tutto il resto tramite il reset delle altre password.
- Accessi remoti, VPN e desktop remoto: la porta d'ingresso più usata negli attacchi che iniziano da fuori l'azienda.
- Console di backup e di gestione dell'infrastruttura: se un attaccante le raggiunge, può colpire anche le copie di sicurezza.
- Tutti gli altri account, con un metodo più semplice se serve per non bloccare l'adozione, ma comunque attivo.
Le resistenze più comuni, e come ridurle
La reazione più frequente è "rallenta il lavoro". Si riduce con scelte pratiche: notifiche push invece di codici da digitare, un solo accesso (single sign-on) che estende l'MFA a più servizi con un'unica verifica, MFA "adattiva" che chiede la seconda verifica solo quando qualcosa è insolito, per esempio un accesso da un paese mai visto prima, non a ogni singolo accesso.
Va prevista anche l'eccezione: cosa succede se qualcuno perde il telefono. Serve una procedura di recupero verificata da una persona, non un'opzione lasciata a sé stessa che diventa la prima cosa che un attaccante prova a sfruttare.
Perché ormai la chiedono anche le assicurazioni
Sempre più polizze assicurative contro i rischi informatici richiedono l'MFA come condizione minima per essere assicurabili, in particolare sugli accessi remoti e sugli account amministrativi: le compagnie hanno visto, nei sinistri, quante violazioni partono da una password rubata senza una seconda verifica. È lo stesso motivo per cui è uno dei pilastri pratici di un percorso verso lo Zero Trust.
Checklist rapida
- l'MFA è attiva su tutti gli account amministrativi e privilegiati;
- l'MFA è attiva su posta elettronica, Microsoft 365 e accessi remoti (VPN, desktop remoto);
- dove possibile, evito l'SMS come unico secondo fattore;
- esiste una procedura verificata per il recupero dell'accesso in caso di smartphone perso o rubato;
- so se il mio fornitore di polizza cyber richiede l'MFA come condizione della copertura.
In sintesi
L'MFA aggiunge una seconda verifica indipendente dalla password, e blocca la maggior parte degli attacchi che sfruttano credenziali rubate o riusate. Si introduce a fasi, partendo dagli account più critici, con un metodo più solido possibile e una procedura di recupero già pronta per le eccezioni.