Ecco cos’è la verifica in due passaggi e come attivarla subito su email, social, banca e app in pochi clic. Bastano 2 minuti e salva i tuoi account.
La sicurezza dei tuoi profili personali in rete è a rischio ogni giorno. Secondo i dati emersi, solamente verso i servizi cloud di Microsoft vengono registrati oltre 300 milioni di tentativi di accesso fraudolento. Ecco perché le password da sole non bastano più. Basta una frode col phishing per ottenere il possesso completo di un profilo.
Qui entra in gioco l’Autenticazione a due fattori (2FA), nata con l’obiettivo di fornire ai profili un secondo blocco, indipendente dalla password. Parliamo di un codice generato da un’app, una notifica da approvare, un’impronta digitale o anche una chiavetta fisica che impediscono ai malintenzionati di rubare profili. Secondo un’analisi di Microsoft Research, attivare la 2FA riduce il rischio di compromissione dell’account del 99,2%.
Non hai ancora proceduto con l’attivazione? In questa guida, ti spieghiamo come e perché devi impostare l’autenticazione a due fattori su tutti i tuoi account. Che si tratti di social network, home banking, WhatsApp, Google, Apple e altro.
Cos’è l’autenticazione a due fattori
L’autenticazione a due fattori è un sistema di verifica dell’identità che richiede due prove indipendenti, appartenenti a categorie diverse, prima di concedere l’accesso a un account.
Perché sia una vera 2FA, i due elementi devono provenire da due categorie diverse. Per esempio password + impronta digitale può andare bene, password + domanda di sicurezza no, perché sono entrambe cose che sai. Ecco le 3 categorie:
- Qualcosa che sai: la password o un PIN;
- Qualcosa che hai: lo smartphone, una chiavetta, una app authenticator;
- Qualcosa che sei: impronta digitale, volto, riconoscimento biometrico.
Questo principio è alla base anche della normativa europea sui pagamenti, che definisce l’autenticazione forte del cliente esattamente come la verifica di due elementi indipendenti tra di loro.
Come funziona in pratica
Il funzionamento tipico prevede l’inserimento di username e password, per poi rispondere in un secondo momento con un altro elemento che può essere un codice OTP temporaneo, una notifica push, una chiave di sicurezza fisica o una passkey.
Devi sapere che non tutti i metodi offrono lo stesso livello di sicurezza. Le nuove linee guida del NIST classificano i codici SMS come metodo con restrizioni, poiché restano utilizzabili ma sono considerati vulnerabili a tecniche come lo SIM Swap e l’intercettazione della rete telefonica.
Per questo motivo, è consigliabile preferire un’app authenticator, una chiave fisica o una passkey. Le app authenticator basate su codici OTP soddisfano i requisiti di sicurezza intermedi, mentre le chiavi fisiche e passkey raggiungono il livello di sicurezza più alto previsto dallo standard.
Dove viene usata la 2FA
La 2FA viene per esempio usata per email e account cloud come Google o Apple. Si tratta di chiavi utili, perché chi controlla la tua email può resettare le password di quasi tutti i tuoi profili. Anche per questo motivo Google sta progressivamente attivando la verifica in due passaggi in automatico per un numero crescente di utenti. Dal 2020, anche Apple richiede la 2FA in modo automatico per ogni nuovo Apple account creato con le versioni più recenti del sistema operativo.
Per banche e pagamenti online, in Europa la 2FA è un obbligo di legge. La direttiva PSD2 impone infatti la Strong Customer Authentication per i pagamenti digitali, richiedendo la verifica di almeno due fattori indipendenti tra password o PIN, dispositivo posseduto e dati biometrici.
Secondo il rapporto EBA-BCE, le frodi sui pagamenti dell’Unione Europea hanno raggiunto 4,3 miliardi di euro nel 2022, un dato che ha spinto il legislatore a rendere obbligatoria questa protezione. Quando acquisti online con carta e la banca ti chiede una conferma tramite app o codice, quella è la SCA in azione.
Per social e messaggistica, il rischio principale è il furto d’identità digitale. Un account rubato può infatti essere usato per truffare i tuoi contatti e rubare conversazioni e foto private. Meta promuove attivamente l’adozione della verifica in due passaggi, proprio per via dell’aumento dei tentativi di furto di account registrati negli ultimi anni.
Infine per le organizzazioni di lavoro e per le aziende, la 2FA viene richiesta per proteggere email aziendali e cloud condivisi. Secondo Microsoft, oltre il 99,9% degli account compromessi nel proprio ecosistema non aveva la MFA attiva, un dato che da solo giustifica l’obbligo diffuso nelle policy IT aziendali.
I vantaggi reali della 2FA
Per quale motivo devi attivare la 2FA? Vediamo alcuni dei principali vantaggi:
- Blocca quasi tutti gli attacchi automatizzati: Microsoft stima che attivare la MFA fermi oltre il 99,9% dei tentativi di accesso non autorizzato, anche quando il malintenzionato possiede già la password corretta;
- Neutralizza il riutilizzo delle password: se una tua password viene rubata da una fuga di dati su un sito e riusata su un altro, il secondo fattore blocca l’accesso;
- Ti avvisa in tempo reale dei tentativi di intrusione: una notifica push o un SMS inatteso è spesso il primo segnale che qualcuno sta provando ad accedere al tuo account, permettendoti di cambiare la password;
- È gratuita e già integrata: tutti i principali servizi offrono la 2FA senza costi aggiuntivi;
- Con le passkey, è più comoda delle password: secondo i dati 2026 della FIDO Alliance, le passkey ottengono un tasso di successo di accesso del 93% contro il 63% delle password tradizionali, con tempi di login più che dimezzati.
Come attivarla sui tuoi servizi
Vuoi attivare subito l’autenticazione a due fattori? Vediamo step by step cosa fare per i principali servizi in uso oggi. Per un account Google, valido per l’accesso a Gmail, YouTube e Google Drive, devi andare su myaccount.google.com e accedere, poi tocca Sicurezza. Nella sezione Come accedi a Google, seleziona Verifica in due passaggi e segui la procedura guidata, scegliendo il metodo preferito tra Google Prompt, app Authenticator o chiave di sicurezza fisica.
Per gli Apple ID da iPhone o iPad vai su Impostazioni > [il tuo nome] > Accesso e sicurezza. Tocca quindi Autenticazione a due fattori e segui le istruzioni, inserendo un numero di telefono per ricevere i codici di verifica. Da Mac vai su Impostazioni di Sistema > Accesso e sicurezza, e poi attiva l’opzione dedicata.
Su WhatsApp apri l’app, tocca i tre puntini in alto a destra, vai in Impostazioni > Account > Verifica in due passaggi, imposta quindi un PIN a sei cifre e inserisci un’email di recupero da usare se dovessi dimenticare il codice.
Per profili Meta come Instagram e Facebook vai su Impostazioni e privacy > Centro gestione account > Password e sicurezza. Seleziona dunque Autenticazione a due fattori e scegli tra un’app di autenticazione, SMS o chiave di sicurezza. Ricorda di conservare i codici di backup che il sistema ti fornisce, in caso perdessi il telefono.
Infine, per pagamenti con carta e home banking nella maggior parte dei casi non devi attivare manualmente nulla. La SCA prevista dalla PSD2 europea scatta in automatico sugli acquisti online e sugli accessi all’app della tua banca, di solito tramite conferma nell’app bancaria o codice via SMS. Se la tua banca offre l’opzione di passare da SMS a un’app dedicata o a un token fisico, è consigliabile farlo subito.
Consigli pratici per non restare bloccati
Dopo aver attivato la 2FA, ci sono alcuni consigli che possono tornarti utili per avere la certezza di non perdere l’accesso ai tuoi account. In primis salva i codici di backup che ogni servizio genera al momento dell’attivazione. Ricorda poi di registrare almeno due metodi, così da non dipendere da un solo dispositivo.
Preferisci sempre app authenticator o passkey agli SMS, seguendo le indicazioni più recenti. Infine attiva le passkey non appena disponibili, poiché sono più sicure delle password eliminando il segreto condivisibile o intercettabile. Inoltre sono più comode, poiché ti basta il volto o l’impronta digitale.
