Autenticazione a due fattori (MFA): cos'è e dove attivarla

Una password rubata è spesso tutto ciò che serve a un attaccante per entrare nella posta aziendale, leggere le fatture e spacciarsi per un collega. L'autenticazione a due fattori aggiunge un secondo controllo che la sola password non può superare, ed è una delle misure con il miglior rapporto tra sforzo e protezione che una PMI possa adottare.

Cos'è l'autenticazione a due fattori (MFA)

L'autenticazione a più fattori, spesso abbreviata in MFA o 2FA, chiede all'utente di dimostrare la propria identità con almeno due elementi di natura diversa:

• qualcosa che sai: una password o un PIN;
• qualcosa che hai: lo smartphone con un'app di autenticazione, una chiave di sicurezza fisica, una smart card;
• qualcosa che sei: l'impronta digitale o il riconoscimento del volto.

Il principio è semplice: se un criminale ottiene la password tramite phishing o da una vecchia violazione di un altro sito, non ha comunque il secondo fattore. L'accesso viene bloccato e, se il sistema è configurato bene, l'utente o l'amministratore ricevono un avviso.

Dove attivarla per prima in azienda

Non serve attivare tutto in un giorno. Conviene partire dagli accessi che, se compromessi, fanno più danni:

1. Posta elettronica e suite di collaborazione (Microsoft 365, Google Workspace): è il punto d'ingresso preferito per truffe e furti di dati.
2. Accessi remoti: VPN, desktop remoto, portali di accesso alla rete aziendale.
3. Account amministrativi: console del firewall, pannelli di gestione dei server, del backup e del dominio.
4. Home banking e piattaforme di pagamento: qui la MFA spesso è già richiesta, ma va verificato chi ha accesso e con quale dispositivo.
5. Gestionali e servizi cloud raggiungibili da internet: CRM, portali fornitori, strumenti di contabilità.

Un errore frequente è proteggere gli utenti e dimenticare gli account tecnici o quelli condivisi. Proprio quelli, spesso con privilegi elevati, vanno messi in sicurezza per primi.

Quali metodi di MFA sono più sicuri

Non tutti i secondi fattori offrono lo stesso livello di protezione. In ordine indicativo, dal più debole al più robusto:

• SMS e chiamata vocale: meglio di niente, ma esposti a tecniche come lo scambio fraudolento della SIM e all'intercettazione.
• Codici temporanei da app (i classici sei numeri che cambiano ogni 30 secondi): un buon passo avanti, ma un sito di phishing ben fatto può farsi consegnare anche il codice.
• Notifiche push con conferma: comode, ma vulnerabili alla cosiddetta "MFA fatigue", cioè l'invio ripetuto di richieste finché l'utente non preme "Approva" per sfinimento. Le versioni con corrispondenza del numero (l'utente digita un numero mostrato sullo schermo) riducono molto questo rischio.
• Chiavi di sicurezza FIDO2 e passkey: oggi il metodo più resistente al phishing, perché la chiave verifica crittograficamente il sito a cui si sta accedendo e non funziona su un sito falso.

Per la maggior parte degli utenti un'app di autenticazione con conferma del numero è un ottimo compromesso. Per amministratori e ruoli sensibili (chi autorizza pagamenti, chi gestisce l'IT) vale la pena valutare chiavi fisiche o passkey.

Come introdurla senza bloccare il lavoro

L'MFA fallisce quasi sempre per ragioni organizzative, non tecniche. Qualche accorgimento aiuta:

• comunicare prima: spiegare ai colleghi il perché, con un esempio concreto di account rubato, riduce le resistenze;
• procedere per gruppi: partire da IT e amministrazione, poi estendere al resto dell'azienda;
• prevedere i metodi di recupero: cosa succede se qualcuno cambia o perde il telefono? Serve una procedura chiara, con verifica dell'identità, per evitare che il recupero diventi la nuova porta d'ingresso;
• usare regole di accesso condizionale dove la piattaforma lo consente: ad esempio chiedere il secondo fattore da dispositivi o paesi non abituali e bloccare i protocolli di autenticazione obsoleti che non supportano la MFA;
• monitorare: tenere d'occhio i tentativi falliti e le richieste di approvazione inattese, che spesso segnalano una password già compromessa.

Checklist rapida

• ☐ MFA attiva su posta e suite di collaborazione per tutti gli utenti
• ☐ MFA su VPN, desktop remoto e accessi esterni
• ☐ Account amministrativi protetti con il metodo più robusto disponibile
• ☐ Protocolli di autenticazione legacy disattivati
• ☐ Procedura documentata per smarrimento o cambio dello smartphone
• ☐ Utenti informati su cosa fare in caso di richieste di approvazione non richieste

L'MFA non rende un'azienda invulnerabile, ma alza in modo significativo l'asticella per chi tenta di entrare con credenziali rubate. Funziona ancora meglio insieme a un password manager aziendale e a una formazione periodica dei dipendenti.

Come può aiutarti Area GUI

Area GUI aiuta le aziende a pianificare e attivare l'autenticazione a più fattori su posta, accessi remoti e sistemi critici, con regole di accesso condizionale e procedure di recupero chiare. Scopri i nostri servizi di Access Security e di posta e archiviazione, oppure contattaci per una verifica della configurazione attuale.