Perché una sola password non basta più
L'autenticazione a due fattori (2FA, o più in generale MFA) aggiunge un secondo elemento di verifica oltre alla password: anche se qualcuno riuscisse a scoprire la password di un account, non potrebbe comunque accedervi senza anche il secondo fattore. È la singola misura di sicurezza con il miglior rapporto tra semplicità di attivazione e riduzione del rischio, ed è ormai offerta dalla quasi totalità dei servizi online importanti.
SMS: comodo ma il meno robusto
Ricevere un codice via SMS è il metodo più diffuso perché non richiede installare nulla, ma è anche il più debole dei tre: è vulnerabile a tecniche di SIM swap (in cui un malintenzionato convince l'operatore telefonico a trasferire il numero su una propria SIM) e i messaggi possono essere intercettati sfruttando debolezze note del protocollo di segnalazione telefonico. Meglio di niente, ma da evitare quando è disponibile un'alternativa.
App authenticator (TOTP): il compromesso migliore
Le app come Google Authenticator, Microsoft Authenticator o Aegis generano un codice numerico che cambia ogni 30 secondi, calcolato localmente sul dispositivo a partire da una chiave segreta condivisa al momento dell'attivazione (protocollo TOTP, Time-based One-Time Password). Non richiede connessione di rete per funzionare e non è vulnerabile al SIM swap, il che lo rende un netto passo avanti rispetto all'SMS. L'accortezza principale è conservare un backup dei codici di recupero forniti al momento dell'attivazione: perdere il telefono senza backup significa perdere l'accesso agli account protetti.
Chiavi di sicurezza hardware: il livello più alto
Una chiave hardware (come una YubiKey), collegata via USB o NFC, rappresenta oggi il metodo più resistente al phishing: il protocollo su cui si basa (FIDO2/WebAuthn) verifica crittograficamente anche l'indirizzo del sito a cui ci si sta autenticando, rendendo inutile persino un sito civetta che imita perfettamente quello originale, perché la chiave semplicemente si rifiuta di autenticarsi su un dominio diverso da quello legittimo. È la scelta consigliata per gli account più critici (email principale, accessi amministrativi).
Una raccomandazione pratica
Per la maggior parte degli account, un'app authenticator TOTP offre già un ottimo equilibrio tra sicurezza e comodità. Per gli account davvero critici — email principale (da cui spesso si può reimpostare tutto il resto), accesso amministrativo a server o pannelli di gestione — vale la pena investire in una chiave di sicurezza hardware, quando il servizio la supporta.