Autenticazione a due fattori: SMS, app o chiave fisica? Quale scegliere
Non tutti i secondi fattori sono uguali. Confronto tra SMS, app di autenticazione, notifiche push, passkey e chiavi hardware, con un consiglio per ogni tipo di account.
- Livello
- principiante
- Tempo
- 5 minuti
- Cosa serve
- Niente, solo curiosità
L’autenticazione a due fattori (2FA) aggiunge un secondo controllo dopo la password: qualcosa che possiedi, oltre a qualcosa che sai. Attivarla è la difesa più efficace contro il furto di account, ma il metodo scelto fa una grande differenza.
SMS: meglio di niente, ma il più debole
Il codice via SMS è comodo e universale, ma ha due punti deboli: può essere intercettato con la tecnica del SIM swap (un truffatore convince l’operatore a trasferire il tuo numero su una nuova SIM) e può essere carpito da un sito di phishing che ti chiede di inserirlo. Usalo solo se il servizio non offre altro.
App di autenticazione: il buon compromesso
App come Google Authenticator, Microsoft Authenticator, Aegis (Android) o 2FAS generano un codice a sei cifre che cambia ogni 30 secondi, senza bisogno di rete. Non sono vulnerabili al SIM swap. Restano esposte al phishing in tempo reale (se inserisci il codice su un sito falso, il truffatore lo usa subito), quindi controlla sempre l’indirizzo del sito. Consiglio: scegli un’app che permetta il backup cifrato dei codici, altrimenti perdere il telefono significa perdere l’accesso.
Notifica push: comoda, con un’avvertenza
Alcuni servizi (Google, Microsoft, molte banche) inviano una notifica “Stai accedendo?” con un tasto Sì o No. È rapida e resistente al phishing, ma attenzione alla MFA fatigue: i truffatori inviano decine di richieste sperando che tu prema Sì per farle smettere. Se ricevi una notifica che non hai richiesto, premi No e cambia la password.
Passkey e chiavi hardware: il livello massimo
Le passkey e le chiavi fisiche come YubiKey o Google Titan usano la crittografia a chiave pubblica: funzionano solo sul sito autentico, quindi il phishing è impossibile per costruzione. La chiave fisica costa tra 25 e 60 euro e si collega via USB o NFC. È la scelta giusta per l’account email principale, per chi gestisce soldi o dati altrui e per chiunque sia un bersaglio interessante.
In pratica
Per l’email principale e la banca, usa passkey o chiave hardware, con un’app di autenticazione come riserva. Per social e shopping, un’app di autenticazione è più che sufficiente. Lascia l’SMS solo dove non c’è alternativa. E in tutti i casi, salva i codici di recupero in un posto sicuro fuori dal telefono: sono la tua via d’uscita se perdi il dispositivo.