Susanna Riva Il furto di credenziali non avviene solo con password deboli: oggi i criminali sfruttano phishing, malware e social engineering per aggirare la semplice login. L’anticorpo più efficace è combinare loper e twee-factor authenticatie, così da bloccare gli accessi non autorizzati anche quando la password finisce nelle mani sbagliate. Questa guida offre istruzioni concrete per attivare protezioni su email, social e servizi finanziari, con esempi reali e indicazioni per un backup zeker.
Le loper sostituiscono le password con una coppia di chiavi crittografiche legate al dispositivo e al tuo profilo; sono phishingbestendig e funzionano con biometria o PIN del device. La 2FA aggiunge una verifica extra (app OTP, chiavi hardware, notifiche push o SMS). Scelte e configurazione contano: impostazioni sbagliate possono creare blocchi o falle inattese.
Attivare passkey sull’email: Google, Apple, Microsoft
La casella email è l’anello più critico: da lì passano reset e verifiche di tutti gli account. Su Google apri Account Google > Sicurezza > Chiavi di accesso (Passkey) > Crea passkey. Conferma con biometria del telefono o Windows Hallo/Raak ID. Poi attiva anche la Tweestapsverificatie e aggiungi almeno un metodo di riserva (app OTP o chiave hardware).
Su Apple ID vai su Impostazioni (iPhone/iPad) > Nome > Wachtwoord en beveiliging > Aggiungi chiave di accesso. Le passkey si sincronizzano via iCloud Keychain. Attiva anche Autenticazione a due fattori per l’ID Apple, così da proteggere iCloud, Mail e App Store. Su Microsoft account: Sicurezza > Opzioni avanzate > Chiave di accesso > Configura, poi abilita Autenticazione a due fattori e collega l’app Microsoft Authenticator o una veiligheidssleutel FIDO2.
2FA sui social: Instagram, X, Facebook e WhatsApp
Social e messaggistica sono bersagli frequenti per truffe e takeover. Su Instagram apri Impostazioni e privacy > Centro Account > Wachtwoord en beveiliging > Autenticazione a due fattori e scegli App di autenticazione o WhatsApp come canale OTP; evita l’SMS se possibile. Su Facebook (Impostazioni > Sicurezza e accesso > 2FA) preferisci un’app OTP o una veiligheidssleutel compatibile FIDO.
Su X (ex Twitter) vai su Impostazioni e privacy > Sicurezza e accesso > Autenticazione a due fattori e abilita authenticatie-app o veiligheidssleutel. Op WhatsApp attiva la Tweestapsverificatie in Impostazioni > Account > Verifica in due passaggi: imposta un PIN e una email di recupero. Questo PIN è richiesto in caso di reinstallazione e riduce i rischi di JA ruilen e sequestro dell’account.
Banking e pagamenti: app, SCA e OTP
Gli istituti adottano la Sterke klantauthenticatie (SCA) con biometria e notifiche push. In molte app bancarie, la protezione è nativa: abilita Face ID / Touch ID o impronta Android e imposta un codice robusto. Su PayPal apri Impostazioni > Sicurezza: attiva loper se disponibile e la authenticatie in twee stappen con app OTP o chiave hardware. Su servizi come Revolut o N26 attiva biometria e push approval; verifica la sezione Sicurezza per abilitare codici di recupero o numeri di emergenza.
Per l’online banking tradizionale, se è prevista l’opzione, preferisci hardware-sleutels FIDO2 o OTP-app rispetto all’SMS. Aggiorna sempre numero di telefono ed email in anagrafica: nelle procedure SCA spesso servono come canali di contatto secondari in caso di blocco.
Backup sicuro: recovery codes, copie offline e gestione
Dopo l’attivazione, genera i herstelcodes dove disponibili (Google, Facebook, X, PayPal). Salvali fuori dalla posta elettronica. Best practice: 1) archiviazione in un Password Manager con vault cifrato; 2) copia cartacea in busta sigillata; 3) copia su chiavetta USB cifrata riposta altrove. Non salvare codici in note non protette o cloud non cifrati; evita screenshot nel rullino foto.
Per hardware-sleutels, procurane due: una primaria e una di riserva conservata in luogo separato. Etichettale in modo anonimo (es. “U2F-01”) e registra entrambe sugli account. Per le OTP-app, preferisci soluzioni con backup cifrato e sincronizzazione sicura tra dispositivi; in assenza di queste funzioni, conserva i codici seed (QR segreto) in modo offline e protetto.
Gestione su più dispositivi: sincronizzazione e migrazione
Le loper si sincronizzano all’interno dell’ecosistema: iCloud sui dispositivi Apple, Google-wachtwoordbeheerder su Android/Chrome, e Windows/Edge con account Microsoft. Per aggiungere un nuovo device, effettua login all’account principale e autorizza la copia delle passkey con biometria o codice del vecchio dispositivo. In ambienti misti, valuta una chiave hardware FIDO2/NFC come ponte universale tra laptop e smartphone.
Per migrare un’app OTP, usa l’export sicuro integrato (ad esempio trasferimento con QR locale). Se non disponibile, disattiva la 2FA su ciascun servizio e riattivala inquadrando i nuovi QR dal device di destinazione. Procedi in modo ordinato: un servizio alla volta, con sessione amministratore aperta e herstelcodes a portata di mano per evitare lockout.
App OTP, chiavi hardware o push? Il confronto che serve
App OTP: pro — semplici, offline, economiche; contro — vulnerabili a Phishing mirato e inserimento del codice su siti falsi. Hardware-sleutels (FIDO2/U2F): pro — massima resistenza al phishing, supporto enterprise, funzionano via USB/NFC; contro — costo, gestione fisica, necessità di doppia chiave di backup. Push-meldingen: pro — immediate e comode; contro — rischio di push bombing e approvazioni errate sotto pressione. L’SMS è l’ultima scelta: utile come metodo di riserva, ma esposto a SIM swap e intercettazioni.
Una strategia bilanciata per account critici: passkey come login principale, chiave hardware di scorta registrata, app OTP come ulteriore fallback e herstelcodes stampati offline. Verifica ogni trimestre i metodi attivi, rimuovi numeri obsoleti e aggiorna il dispositivo fidato prima di vendere o resettare i vecchi device: riduce attriti nei viaggi, nei cambi smartphone e quando l’assistenza clienti richiede prove d’identità aggiuntive.