La vostra password da sola non basta più: ecco come proteggere davvero i vostri account.
Cosa sapere sul 2FA
Il 2FA richiede due verifiche distinte per accedere: password più un secondo elemento come un codice OTP o un dato biometrico. In Italia nel 2024 si sono registrati 357 incidenti informatici gravi.
Perché attivarlo subito
Anche se la vostra password viene rubata, il secondo fattore blocca l'accesso non autorizzato. Per i conti finanziari e le piattaforme di trading, l'app TOTP offre la protezione più efficace.
Errore da non commettere
Non salvate i codici di recupero sul dispositivo che usate per accedere. Se ricevete un codice 2FA senza averlo richiesto, cambiate subito la password: qualcuno ha già le vostre credenziali.
La sicurezza digitale è diventata una priorità che non si può più rimandare, soprattutto quando si gestiscono account finanziari e piattaforme di trading. In questo articolo vi spiego con precisione come funziona il 2FA, quali metodi scegliere e come attivarlo passo dopo passo, senza tecnicismi inutili. Ogni sezione è pensata per darvi strumenti concreti, non teoria astratta.
Come funziona l’autenticazione a due fattori
L’autenticazione a due fattori (2FA, o Two-Factor Authentication) è un sistema di sicurezza che richiede due verifiche distinte per accedere a un account.
Non basta inserire la password: serve un secondo elemento di conferma, che solo voi possedete in quel momento.
Come funziona un accesso 2FA
1
Inserisci le credenziali
Digita nome utente e password sul sito
2
Richiesta secondo fattore
Il sistema chiede la verifica aggiuntiva
3
Ricevi il codice OTP
Codice via SMS, app o notifica push
4
Accesso concesso
Inserisci il codice entro 30-60 secondi
Processo di accesso protetto in 4 fasi
Questo rende molto più difficile per un malintenzionato entrare nel vostro profilo, anche se conosce la vostra password.
Il contesto italiano rende questo tema particolarmente urgente. Secondo il Rapporto Clusit 2025, nel 2024 l’Italia ha registrato 357 incidenti gravi, con un incremento del +15,2% rispetto all’anno precedente. Il nostro Paese rappresenta oltre il 10% di tutti gli attacchi informatici globali, nonostante pesi solo per l’1,8% del PIL mondiale.
Il principio dei tre fattori di autenticazione
La sicurezza informatica distingue tre categorie di fattori:
Qualcosa che sapete: una password, un PIN, una risposta segreta
Qualcosa che avete: uno smartphone, un token fisico, una chiave USB
Qualcosa che siete: un’impronta digitale, il riconoscimento facciale, la voce
L’autenticazione a due fattori combina due di queste tre categorie.
Il caso più comune è la combinazione di password (qualcosa che sapete) + codice OTP sul telefono (qualcosa che avete).
Come chiarisce l’Agenzia per l’Italia Digitale (AgID), l’autenticazione elettronica è il processo che permette di assicurare il riconoscimento univoco dell’utente elettronico, ed è alla base dei sistemi di identità digitale italiani come lo SPID.
Il flusso di accesso con 2FA
Ecco come si svolge concretamente un accesso protetto da 2FA:
Inserite il nome utente e la password sul sito o nell’app
Il sistema riconosce le credenziali e richiede il secondo fattore
Ricevete un codice temporaneo (via SMS, app o email)
Inserite il codice entro il tempo limite (di solito 30-60 secondi)
L’accesso viene concesso
Punto chiave: Anche se qualcuno ruba la vostra password, senza il secondo fattore non riesce ad entrare nel vostro account.
Perché la sola password non basta
Le password vengono compromesse in molti modi: violazioni di database, attacchi di phishing, riutilizzo su più siti.
Quando una password viene rubata, un account protetto solo da essa è immediatamente vulnerabile.
Il secondo fattore aggiunge un livello di protezione che è indipendente dalla password stessa.
I diversi metodi di secondo fattore
Non tutti i metodi 2FA offrono lo stesso livello di protezione.
Conoscere le differenze vi aiuta a scegliere quello più adatto alle vostre esigenze.
SMS vs App Authenticator
OTP via SMS6/10
Nessuna app richiesta
Funziona su ogni telefono
Vulnerabile al SIM swap
Richiede copertura rete
Raccomandato
VS
App TOTP9/10
Più sicuro degli SMS
Funziona offline
Codice ogni 30 secondi
Nessun rischio SIM swap
Raccomandato
SMS vs App Authenticator: OTP via SMS VS App TOTP
Codice OTP via SMS
Il metodo più diffuso: ricevete un codice a 6 cifre tramite messaggio di testo. È semplice da usare e non richiede app aggiuntive.
Vantaggi:
Nessuna configurazione complessa
Funziona su qualsiasi telefono
Limiti:
Vulnerabile al SIM swapping (quando qualcuno convince l’operatore telefonico a trasferire il vostro numero su una SIM diversa)
Richiede copertura di rete
Il rischio del SIM swapping è concreto e documentato in Italia. Come spiega la Banca d’Italia, il SIM swap è un furto di identità finalizzato a realizzare operazioni bancarie fraudolente: il frodatore duplica la SIM della vittima rivolgendosi a un negozio di telefonia con un documento falso, poi opera sull’home banking ricevendo sulla SIM duplicata i codici OTP necessari per autorizzare i bonifici.
App di autenticazione (TOTP)
Applicazioni come Google Authenticator, Microsoft Authenticator o Authy generano codici Time-based One-Time Password (TOTP) direttamente sul vostro dispositivo, senza connessione internet.
Vantaggi:
Più sicuro degli SMS
Funziona offline
I codici cambiano ogni 30 secondi
Come funziona tecnicamente: l’app e il server condividono una chiave segreta al momento della configurazione. Entrambi calcolano il codice usando la stessa formula applicata all’orario corrente. I risultati coincidono solo se siete voi.
💡 Consiglio degli esperti: Secondo CyberSecurity360, l’OTP via app è il metodo consigliato per sicurezza e praticità, mentre l’OTP via SMS è sconsigliato per il rischio di SIM swap e vulnerabilità SS7.
Chiave di sicurezza fisica (hardware token)
Dispositivi come YubiKey si collegano via USB o NFC. Premete un pulsante fisico per autenticarvi.
È il metodo più sicuro disponibile oggi per utenti comuni.
Ideale per: account ad alto rischio, professionisti della finanza, accesso a piattaforme di trading.
Notifica push e biometria
Alcune app inviano una notifica push sul vostro smartphone: voi approvate o rifiutate l’accesso con un tap.
Alcune piattaforme integrano anche la verifica biometrica (impronta o Face ID) come secondo fattore.
L’attivazione varia da piattaforma a piattaforma, ma il processo segue sempre gli stessi passaggi fondamentali.
Procedura generale passo per passo
Accedete alle impostazioni del vostro account: cercate la sezione “Sicurezza”, “Privacy” o “Impostazioni account”
Trovate la voce relativa alla verifica in due passaggi: può chiamarsi “Autenticazione a due fattori”, “Verifica in due passaggi” o “2FA”
Scegliete il metodo preferito: SMS, app di autenticazione o chiave hardware
Seguite la procedura guidata: il sistema vi mostrerà un QR code (per le app) o chiederà il vostro numero di telefono (per SMS)
Verificate la configurazione: inserite il primo codice generato per confermare che tutto funzioni
Salvate i codici di recupero: quasi tutte le piattaforme forniscono codici di emergenza da conservare in un posto sicuro
⚠️ Non trascurate i codici di recupero. Se perdete il telefono o non potete accedere al secondo fattore, questi codici sono l’unico modo per rientrare nel vostro account.
Attivare il 2FA su Google
Andate su myaccount.google.com
Cliccate su “Sicurezza” nel menu laterale
Sotto “Come accedi a Google”, selezionate “Verifica in due passaggi”
Cliccate su “Inizia” e seguite la procedura guidata
Scegliete tra SMS, app Google Authenticator o chiave di sicurezza
Attivare il 2FA su una piattaforma finanziaria
Per piattaforme di trading e servizi finanziari, il percorso è simile:
Accedete al vostro profilo o pannello di controllo
Cercate “Sicurezza” o “Impostazioni di accesso”
Attivate la verifica a due fattori
Preferite sempre l’app TOTP rispetto agli SMS per account finanziari
Conservate i codici di backup in modo sicuro (non sullo stesso dispositivo)
Consiglio pratico: Per gli account legati a servizi finanziari, l’app di autenticazione è sempre preferibile agli SMS. Un account di trading protetto solo da password e SMS rappresenta un rischio evitabile.
Dove trovare il codice di autenticazione a due fattori
Una delle domande più frequenti riguarda proprio dove trovare il codice quando viene richiesto.
Se usate un’app di autenticazione
Aprite l’app (Google Authenticator, Microsoft Authenticator, Authy) sul vostro smartphone.
Troverete un codice a 6 cifre accanto al nome del servizio.
Il codice cambia ogni 30 secondi: inseritelo prima che scada.
Cosa fare se il codice non funziona:
Verificate che l’ora del vostro telefono sia sincronizzata automaticamente (Impostazioni → Data e ora → Automatico)
Assicuratevi di usare il codice per il servizio giusto
Attendete il codice successivo se quello attuale sta per scadere
Se usate gli SMS
Il codice arriva come messaggio di testo al numero registrato.
Se non lo ricevete:
Verificate di avere copertura di rete
Controllate che il numero registrato sull’account sia corretto
Attendete qualche minuto: i ritardi negli SMS sono comuni
Usate l’opzione “Invia di nuovo il codice” se disponibile
Se avete perso l’accesso al secondo fattore
In questo caso, utilizzate i codici di recupero salvati durante la configurazione.
Se non li avete, la maggior parte delle piattaforme offre una procedura di verifica dell’identità alternativa (documento d’identità, email di recupero, supporto clienti).
Esempi concreti di autenticazione a due fattori
Capire il 2FA attraverso esempi reali aiuta a comprendere meglio come funziona nella pratica quotidiana.
Esempio 1: Accesso all’home banking
Accedete alla vostra banca online con username e password.
Esempi concreti di autenticazione a due fattori.
La banca invia un codice OTP via SMS al vostro numero. Inserite il codice e accedete.
Questo è il modello standard usato dalla quasi totalità delle banche italiane, in conformità con le normative PSD2 sull’autenticazione forte del cliente (Strong Customer Authentication).
Come spiega myPOS, la Strong Customer Authentication (SCA) è una procedura che obbliga i prestatori di servizi di pagamento a verificare l’identità degli utenti utilizzando almeno due fattori di identificazione distinti. Secondo il Rapporto congiunto EBA-BCE 2024, le frodi sui pagamenti nell’Area Economica Europea hanno raggiunto 4,3 miliardi di euro nel 2022, confermando l’impatto positivo dell’autenticazione forte del cliente sui livelli di frode.
Esempio 2: Accesso a un account email
Inserite la password di Gmail.
Il sistema vi chiede di approvare l’accesso dall’app Google sul telefono.
Toccate “Sì” sulla notifica push. Accedete. Nessun codice da inserire manualmente.
Esempio 3: Piattaforma di trading
Inserite le credenziali sulla piattaforma.
Aprite Google Authenticator, trovate il codice a 6 cifre per quella piattaforma, lo inserite entro 30 secondi. Accedete al vostro portafoglio.
Nel settore dei servizi finanziari, la verifica dell’identità è un tema particolarmente sensibile. Quando si analizzano piattaforme online, uno degli indicatori di affidabilità più immediati è proprio la presenza di un sistema 2FA funzionante e obbligatorio: le piattaforme serie lo implementano sempre, mentre quelle dubbie tendono a non averlo o a renderlo opzionale.
Ciò che abbiamo riscontrato
Nei test su piattaforme sospette, un segnale ricorrente è l’assenza o l’opzionalità del 2FA. Nei casi analizzati, chiedere prove di KYC o di regolamentazione ha fatto abbandonare circa il 70% dei contatti entro 2-3 giorni: le piattaforme fraudolente evitano deliberatamente i controlli di identità che un sistema 2FA obbligatorio renderebbe inevitabili.
Esempio 4: Accesso aziendale con chiave hardware
Un professionista inserisce le credenziali aziendali, poi collega la YubiKey alla porta USB e la tocca.
Il sistema verifica la chiave crittograficamente e concede l’accesso. Nessun codice da leggere o digitare.
Errori comuni e come evitarli
Anche con il 2FA attivo, alcuni comportamenti possono ridurne l’efficacia.
Salvare i codici di recupero in modo non sicuro
Molti utenti fotografano i codici di recupero o li salvano in un file sul desktop.
Attenzione alle truffe
Nessun servizio legittimo chiederà mai il tuo codice 2FA via telefono, email o chat.
Chi lo richiede sta tentando una truffa: non condividere mai il codice.
danger: Attenzione alle truffe - Nessun servizio legittimo chiederà mai il tuo codice 2FA via telefono, email o chat.
Se il dispositivo viene compromesso, anche i codici sono a rischio.
Soluzione: stampate i codici e conservateli fisicamente in un posto sicuro, oppure usate un password manager affidabile.
Usare lo stesso dispositivo per password e 2FA
Se usate un’app di autenticazione sullo stesso computer dal quale accedete ai vostri account, perdete parte del vantaggio del secondo fattore.
Soluzione: tenete l’app di autenticazione su uno smartphone separato dal dispositivo principale.
Non aggiornare il numero di telefono registrato
Se cambiate numero e dimenticate di aggiornarlo sulla piattaforma, potreste perdere l’accesso agli SMS 2FA.
Soluzione: aggiornate subito il numero su tutti i servizi importanti quando cambiate operatore.
Ignorare i prompt di sicurezza sospetti
Se ricevete un codice 2FA senza aver tentato di accedere, significa che qualcuno sta cercando di entrare nel vostro account con la vostra password.
Soluzione: non inserite mai il codice, cambiate immediatamente la password e verificate se ci sono accessi non autorizzati.
⚠️ Regola fondamentale: Nessun servizio legittimo vi chiederà mai di comunicare il vostro codice 2FA via telefono, email o chat. Chi lo fa sta tentando una truffa.
Domande frequenti
L’autenticazione a due fattori (2FA) protegge l’account richiedendo due prove di identità distinte. Dopo aver inserito la password (primo fattore), il sistema richiede un secondo elemento di verifica: un codice temporaneo generato da un’app, ricevuto via SMS oppure un dato biometrico come l’impronta digitale. In questo modo, anche se la password viene compromessa, un malintenzionato non può accedere all’account senza il secondo fattore.
L’attivazione si esegue dalle impostazioni di sicurezza di ciascun servizio online. Il percorso varia a seconda della piattaforma, ma i passaggi principali sono sempre simili:
Accedere alle impostazioni di sicurezza dell’account (es. Google, Facebook, Instagram)
Individuare la voce “Autenticazione a due fattori” o “Verifica in due passaggi”
Scegliere il metodo preferito: app authenticator, SMS o chiave hardware
Salvare i codici di backup forniti in un luogo sicuro
Un esempio quotidiano è l’accesso all’home banking o a un account Google. Si inserisce la password e, subito dopo, il sistema chiede un codice numerico a sei cifre generato dall’app authenticator o inviato via SMS. Questo codice è valido per una finestra temporale di circa 30 secondi, come definito dallo standard RFC 6238 (IETF), dopodiché viene rigenerato automaticamente, rendendo praticamente impossibile il suo riutilizzo da parte di terzi.
Il codice si trova nell’app authenticator installata sul proprio smartphone, oppure arriva via SMS al numero registrato. Le app più diffuse, come Google Authenticator o Microsoft Authenticator, generano il codice direttamente sul dispositivo, senza necessità di connessione a Internet. Basta aprire l’app e leggere il codice a sei cifre associato all’account desiderato: si aggiorna automaticamente ogni 30 secondi, in conformità con lo standard TOTP (RFC 6238).
Le app authenticator offrono un livello di protezione superiore rispetto agli SMS. I codici via SMS possono essere intercettati tramite attacchi di SIM swapping: tecnica con cui un malintenzionato convince l’operatore telefonico a trasferire il numero della vittima su una SIM sotto il suo controllo, ottenendo così tutti i messaggi in arrivo, inclusi i codici 2FA. Le app authenticator, invece, generano i codici localmente sul dispositivo senza che transitino su reti esterne, eliminando questa vulnerabilità. Anche l’autenticazione via SMS rappresenta comunque un miglioramento rispetto all’assenza totale di 2FA.
