Autenticazione a Due Fattori 2026: Guida Completa
L’autenticazione a due fattori 2026 aggiunge una seconda prova d’identità oltre alla password: dopo aver inserito le credenziali, il servizio chiede un codice temporaneo, una notifica push o un’impronta digitale. Anche se un malintenzionato ruba la password, senza questo secondo fattore non entra. Microsoft calcola che blocca oltre il 99,9% degli attacchi automatizzati agli account.
Indice
La password da sola non basta più. Le credenziali vengono rubate con il phishing, i database violati e il riuso della stessa parola su decine di siti: milioni di combinazioni email-password circolano già nei forum criminali. Un secondo fattore spezza questa catena, perché l’attaccante dovrebbe possedere anche il tuo telefono o la tua chiave fisica.
Il tema è diventato prioritario perché i principali provider stanno rendendo la doppia verifica obbligatoria. Microsoft ha imposto la MFA per l’accesso al portale Azure e Google la attiva d’ufficio su un numero crescente di account, spingendo l’intero settore verso metodi resistenti al phishing come le passkey. Sapere quale scegliere e come attivarla è ormai una competenza digitale di base.
Ultimo aggiornamento: 3 agosto 2026
Che cos’è l’autenticazione a due fattori 2026?
L’autenticazione a due fattori 2026 (2FA) è un sistema che richiede due prove indipendenti per accedere a un account: qualcosa che sai (la password) più qualcosa che hai (il telefono, una chiave USB) oppure qualcosa che sei (impronta o volto). Solo combinando due categorie diverse la verifica è valida. Se un fattore viene compromesso, l’altro protegge ancora l’accesso.
La differenza rispetto alla semplice password è netta: la password appartiene a una sola categoria e può essere rubata a distanza. Il secondo fattore, invece, è legato a un oggetto fisico o a un dato biometrico che resta con te. È lo stesso principio che protegge le credenziali SPID di livello 2, dove al codice si aggiunge una conferma sul cellulare.
Come funziona la verifica in due passaggi?
Dopo aver inserito la password, il servizio chiede una seconda conferma. Il metodo più diffuso è il codice TOTP (i codici temporanei a 6 cifre che cambiano ogni 30 secondi), generato da un’app come Google Authenticator o Microsoft Authenticator direttamente sul dispositivo. In alternativa arriva una notifica push da approvare con un tocco, un SMS con un codice o la conferma biometrica.
Il codice TOTP funziona anche offline perché non viene inviato da nessun server: app e servizio condividono un segreto iniziale e calcolano lo stesso numero in base all’orario. Per questo un’app authenticator resiste al SIM swapping (il furto del numero telefonico), a cui invece l’SMS è vulnerabile. Le passkey e le chiavi FIDO2, il gradino più alto, usano crittografia a chiave pubblica e non trasmettono mai un codice riutilizzabile.
“In base ai nostri studi, il tuo account ha una probabilità superiore al 99,9% in meno di essere compromesso se usi la MFA.”
Alex Weinert, Group Program Manager Identity Security, Microsoft (2019)
SMS, app authenticator o passkey: quale scegliere?
La regola pratica del 2026 è semplice: passkey o chiave fisica sugli account più importanti (email principale, banca, cloud), app authenticator ovunque sia disponibile, SMS solo come ultima risorsa quando non c’è altro. L’SMS resta comunque enormemente più sicuro della sola password, ma è l’anello debole tra i metodi. Il National Institute of Standards and Technology (NIST) ne sconsiglia da tempo l’uso per i dati sensibili.
SMS e app authenticator
- SMS: comodo, non serve installare nulla
- Vulnerabile a SIM swapping e phishing in tempo reale
- App TOTP: codici a 6 cifre, funziona offline
- Resiste al furto del numero, gratuita
- Ancora esposta al phishing se digiti il codice su un sito falso
Passkey e chiavi FIDO2
- Massima sicurezza: crittografia a chiave pubblica
- Resistente al phishing per progettazione
- Accesso con impronta o volto, niente codici da copiare
- Supportata nativamente da Google, Apple e Microsoft
- Richiede un dispositivo compatibile e un minimo di setup
La passkey è l’unico metodo che neutralizza il phishing alla radice, perché è legata crittograficamente al sito reale e non funziona su un dominio-clone. È utile combinarla con la capacità di riconoscere le email di phishing, prima linea di difesa che nessuna tecnologia sostituisce del tutto.
Come attivare la 2FA su Google, Apple e Microsoft
La logica è comune a tutti i servizi: Impostazioni → Sicurezza → attiva la verifica in due passaggi, poi scegli il secondo fattore. In pochi minuti l’account passa da vulnerabile a protetto. Ecco i percorsi ufficiali sui tre provider principali, validi anche da smartphone.
- Google: vai su Account Google → Sicurezza → Verifica in due passaggi → Attiva, poi aggiungi un’app authenticator o una passkey. Le istruzioni ufficiali sono nella Guida di Account Google.
- Apple: su iPhone apri Impostazioni → [tuo nome] → Accesso e sicurezza → Autenticazione a due fattori. I codici arrivano sui dispositivi fidati; la procedura è descritta sul supporto Apple.
- Microsoft: entra su account.microsoft.com → Sicurezza → Opzioni di sicurezza avanzate → Verifica in due passaggi e collega Microsoft Authenticator o una passkey.
In tutti i casi, al termine salva i codici di recupero in un luogo sicuro: servono se perdi il telefono. Attivare la 2FA sull’email principale è la mossa più urgente, perché da quella casella si possono reimpostare le password di quasi tutti gli altri servizi.
Perché la doppia autenticazione è fondamentale?
Perché è la singola contromisura con il miglior rapporto tra sforzo e protezione. Microsoft stima che la MFA blocchi oltre il 99,9% degli attacchi automatizzati (Microsoft Security, 2019), e ricerche più recenti confermano una riduzione del rischio superiore al 99,2% anche quando la password è già trapelata. Nessun’altra impostazione gratuita offre un guadagno simile.
Il NIST raccomanda di adottare metodi resistenti al phishing come FIDO2 e passkey per gli accessi critici (NIST SP 800-63B). Attivare la 2FA riduce drasticamente anche il rischio di furto d’identità, che spesso parte proprio da un account email violato.
Un’unica azione — attivare un secondo fattore — annulla la stragrande maggioranza degli attacchi di massa basati su password rubate.
Vale la pena se hai un indirizzo email, un conto online o account social: sono pochi minuti che proteggono anni di dati. Non vale la pena solo se l’account è del tutto usa e getta e non contiene né dati personali né una carta collegata. Per tutto il resto, è oggi la regola minima di igiene digitale.
Domande frequenti
La 2FA è davvero necessaria se ho una password lunga?
Sì. Una password lunga resiste agli attacchi a forza bruta, ma non al phishing né ai database violati: se il sito subisce una fuga di dati, la tua password circola comunque. Il secondo fattore protegge anche in quel caso, perché l’attaccante non possiede il tuo telefono o la tua chiave fisica.
Cosa succede se perdo il telefono con l’app authenticator?
Puoi rientrare con i codici di recupero salvati all’attivazione, oppure con un secondo dispositivo fidato. Per questo è importante conservare i codici di backup in un posto sicuro e, quando possibile, registrare due metodi diversi. Molte app authenticator offrono anche un backup cifrato nel cloud.
Qual è la differenza tra passkey e app authenticator?
La passkey sostituisce del tutto la password ed è resistente al phishing perché legata crittograficamente al sito reale. L’app authenticator genera invece un codice che aggiunge un secondo fattore alla password, ma che potresti ancora digitare per errore su un sito falso. La passkey è quindi il metodo più sicuro dei due.
L’SMS come secondo fattore è sicuro?
È molto meglio di niente, ma è il metodo più debole: è vulnerabile al SIM swapping, con cui un criminale si fa trasferire il tuo numero e intercetta i codici. Usalo solo se il servizio non offre app authenticator o passkey, e passa appena possibile a un metodo più robusto.
Questo articolo è stato scritto dalla redazione di Info Pratica e verificato su fonti ufficiali e attendibili (istituzioni, enti pubblici, studi ed esperti citati nel testo). Scopri come lavoriamo nella pagina Redazione.
