Password, autenticazione a due fattori e passkey in azienda

01La porta più usata dagli attacchi è una password

Nei film gli attacchi informatici sono schermi neri pieni di codice e qualcuno che «buca» un sistema in pochi secondi. Nella realtà di un negozio, di uno studio o di una piccola azienda, l'attacco più comune è molto meno spettacolare: qualcuno entra con le chiavi. Una password indovinata, una password rubata da un altro sito, una password consegnata senza accorgersene a una pagina finta.

Una scena che si ripete spesso. Il titolare di un negozio usa da anni la stessa password per la mail, per il gestionale e per il sito dove ordina la merce. Un giorno quel sito di forniture subisce una violazione e l'elenco degli utenti finisce in vendita. Nessuno avvisa il titolare. Dopo qualche settimana qualcuno entra nella sua casella email, legge le fatture, scrive ai clienti con l'IBAN cambiato. Nessuno ha «bucato» niente: la chiave era la stessa per tutte le porte.

Le quattro tecniche più comuni

• Phishing. Una mail, un SMS o un messaggio che imita la banca, il corriere, il fornitore, il gestore della posta, e porta a una pagina identica a quella vera dove si inserisce la password. Ne parlo anche nel capitolo sull'email aziendale professionale, perché la difesa comincia dalla posta.
• Credential stuffing, il «riempimento di credenziali»: chi ha rubato l'elenco di email e password di un sito le prova automaticamente su centinaia di altri servizi. Funziona perché tante persone riusano la stessa password.
• Password spraying: invece di provare mille password su un account, se ne prova una molto comune, come il nome dell'azienda seguito dall'anno, su tutti gli account dell'organizzazione.
• Password indovinate: date di nascita, nomi dei figli, il nome del negozio, «Estate2026!». Un programma le prova in pochi secondi partendo da quello che si trova sui social.

Per sapere se un tuo indirizzo email è comparso in una violazione nota esiste un servizio pubblico e gratuito, Have I Been Pwned: si inserisce l'indirizzo e si scopre in quali elenchi rubati compare. Se la risposta è sì, la password usata su quel sito va considerata pubblica, e va cambiata ovunque fosse la stessa.

02Le password: le regole sono cambiate

Per anni ci hanno insegnato che una password sicura deve avere una maiuscola, un numero, un simbolo e va cambiata ogni tre mesi. Il risultato è sotto gli occhi di tutti: password corte, prevedibili, scritte su un post-it e cambiate aggiungendo un numero in fondo. «Marco2025!» diventa «Marco2026!».

Le linee guida del NIST, l'istituto statunitense che scrive gli standard sull'identità digitale usati come riferimento in tutto il mondo, nella versione definitiva pubblicata nel 2025 dicono cose molto diverse:

• conta la lunghezza: almeno 15 caratteri quando la password è l'unico modo per entrare, almeno 8 quando è accompagnata da un secondo fattore; i servizi dovrebbero accettarne almeno 64;
• niente regole di composizione obbligatorie: non si deve imporre di mescolare maiuscole, numeri e simboli;
• niente cambi periodici forzati: la password si cambia quando c'è un segno che sia stata compromessa, non per calendario;
• ogni password nuova va confrontata con un elenco di password comuni, prevedibili o già comparse in violazioni, e rifiutata se c'è dentro;
• i servizi devono permettere i gestori di password e il riempimento automatico, e dovrebbero permettere di incollare la password.

Come si costruisce una buona password, quando serve ricordarla

Le password da ricordare a memoria dovrebbero essere pochissime: quella del computer, quella del gestore di password, quella della casella email principale. Per queste funziona bene una frase di più parole scelte a caso, che non abbiano legame fra loro né con te: quattro o cinque parole sono già più di venti caratteri. Tutte le altre password non vanno ricordate: le genera e le custodisce il gestore.

03Il gestore di password: una cassaforte, una chiave

Una password diversa e lunga per ogni servizio è impossibile da ricordare. È per questo che esistono i gestori di password: programmi che custodiscono tutte le credenziali in una cassaforte cifrata, che si apre con una sola password principale, possibilmente accompagnata da un secondo fattore.

Perché è più sicuro, non meno

L'obiezione più comune è: «e se rubano la cassaforte?». La cassaforte è cifrata con una chiave che deriva dalla password principale, e i buoni gestori sono costruiti in modo che nemmeno chi fornisce il servizio possa leggerne il contenuto. In cambio, si ottengono tre vantaggi concreti:

• password uniche per ogni servizio: una violazione altrove non apre più niente da te;
• password lunghe generate a caso, impossibili da indovinare;
• una difesa in più contro il phishing: il gestore propone la password solo sull'indirizzo a cui appartiene. Se su una pagina che sembra la tua banca il gestore non suggerisce niente, è un campanello d'allarme.

In azienda: la cassaforte condivisa

Molti gestori hanno una versione per i gruppi di lavoro: le credenziali comuni, come l'account del corriere o il pannello del sito, stanno in cartelle condivise solo con chi ne ha bisogno. Quando un collaboratore va via, si toglie l'accesso alla cartella, invece di dover ricordare tutte le password che conosceva. È molto meglio del foglio Excel «password.xlsx» sul desktop, che è ancora la soluzione più diffusa nelle piccole attività.

04Due fattori: perché una password sola non basta

L'autenticazione a due fattori (in inglese 2FA, o più in generale MFA, multifattore) chiede due prove di identità di natura diversa. Le prove possibili sono di tre tipi:

• qualcosa che sai: una password, un PIN;
• qualcosa che hai: il telefono, una chiave di sicurezza USB, una tessera;
• qualcosa che sei: l'impronta digitale, il volto.

Il principio è semplice: chi ruba la password da una pagina di phishing o da un elenco violato non ha anche il tuo telefono in tasca. Ma non tutti i secondi fattori resistono allo stesso modo.

Non a caso la guida contro i ransomware delle agenzie statunitensi chiede di attivare un'autenticazione multifattore resistente al phishing per tutti i servizi, a cominciare dalla posta, dagli accessi remoti e dagli account che amministrano i sistemi critici. Perché proprio gli accessi siano la prima difesa contro il ricatto dei dati lo racconto nel capitolo sul backup aziendale e il ransomware.

05La passkey: entrare senza password, e senza farsi ingannare

Le passkey sono il modo di accedere che i grandi produttori di sistemi operativi e browser stanno diffondendo al posto delle password, sulla base degli standard dell'alleanza FIDO. Si usano già su molti servizi di posta, banche, negozi online e piattaforme di lavoro, e si sbloccano con l'impronta, il volto o il PIN del dispositivo.

Dietro alla semplicità c'è un meccanismo crittografico elegante, che vale la pena capire perché spiega da dove viene la sicurezza.

1. La registrazione. Quando crei una passkey per un sito, il tuo dispositivo genera una coppia di chiavi: una privata, che resta sul dispositivo, e una pubblica, che viene consegnata al sito.
2. L'accesso. Il sito manda una «sfida», un numero casuale diverso ogni volta. Il dispositivo, dopo che lo hai sbloccato con impronta, volto o PIN, la firma con la chiave privata e la rimanda.
3. La verifica. Il sito controlla la firma con la chiave pubblica. Se torna, sei tu.

Da qui vengono tre proprietà che una password non avrà mai:

• non c'è niente da rubare sul sito: se il sito subisce una violazione, chi la compie trova solo chiavi pubbliche, inutili senza quelle private;
• non c'è niente da riutilizzare: ogni sito ha la sua coppia di chiavi;
• non c'è niente da farsi carpire: il browser e il sistema operativo legano ogni passkey al sito per cui è stata creata. Su un indirizzo falso, anche identico a occhio, la passkey semplicemente non si propone.

Sincronizzate o legate a un dispositivo

Esistono due famiglie di passkey. Quelle sincronizzate viaggiano fra i tuoi dispositivi attraverso il gestore di password o l'account del sistema operativo, in forma cifrata che il servizio di sincronizzazione non può leggere: se perdi il telefono, le ritrovi sul nuovo. Quelle legate a un dispositivo, come le chiavi di sicurezza USB, non escono mai dall'oggetto fisico: sono la scelta per gli accessi più delicati, come l'amministrazione di un server o del dominio, ma richiedono di avere una seconda chiave di riserva in un posto sicuro.

06La mappa degli accessi della tua azienda

Gli strumenti servono a poco senza un quadro d'insieme. Prova a fare un esercizio: prendi un foglio e scrivi tutti i servizi con cui la tua attività lavora online. Banca, posta, PEC, gestionale, sito, dominio, server, social, fornitori, piattaforme di prenotazione. Poi, accanto a ciascuno, chi ha l'accesso, con quale email, e se c'è il secondo fattore. È quasi sempre un foglio sorprendente.

Il piano, in cinque mosse

Il principio del privilegio minimo

Ogni account dovrebbe poter fare solo quello che serve a chi lo usa. Chi prende le prenotazioni non ha bisogno di cambiare i prezzi; chi gestisce il magazzino non ha bisogno di vedere le buste paga. Anche chi amministra i sistemi dovrebbe avere due account: uno normale per il lavoro di tutti i giorni, e uno da amministratore da usare solo quando serve. Così, se un account viene compromesso, il danno resta piccolo.

Vale anche per i fornitori: chi ti ha fatto il sito non dovrebbe avere ancora, dopo anni, la password del pannello del dominio. A chi devono essere intestati dominio, server e account, e chi deve avere le chiavi, lo approfondisco nel capitolo su chi possiede davvero il tuo sito. E per un portale con le aree riservate dei clienti, la sicurezza degli accessi si progetta insieme al resto, come spiego nel capitolo su portali integrati, prenotazioni e PWA.

Chiudere le porte riduce moltissimo il rischio, ma non lo azzera: per il giorno in cui qualcosa va storto servono le copie giuste, come racconto nel capitolo sul backup e la regola del 3-2-1. E se una violazione tocca i dati dei clienti, entrano in gioco gli obblighi del GDPR, che spiego nel capitolo su GDPR e cookie per il sito di una piccola attività.

Domande frequenti

Fonti

1. NIST, SP 800-63B-4, «Authentication and Authenticator Management» (versione definitiva, luglio 2025): lunghezza minima, niente regole di composizione né cambi periodici, controllo contro elenchi di password violate, gestori di password.
2. CISA, FBI, NSA, MS-ISAC, «#StopRansomware Guide»: autenticazione multifattore resistente al phishing per posta, accessi remoti e sistemi critici.
3. passkeys.dev, «What are passkeys?»: come funzionano le passkey e la loro sincronizzazione fra dispositivi.
4. Have I Been Pwned: il servizio gratuito per sapere se un indirizzo email compare in violazioni di dati note.
5. Agenzia per la Cybersicurezza Nazionale, «CSIRT Italia»: avvisi sulle minacce in corso e segnalazione degli incidenti informatici.

Capitolo aggiornato a ottobre 2026. Le password mostrate nelle tavole sono esempi a scopo illustrativo e non vanno usate; le indicazioni sui metodi di autenticazione seguono le linee guida pubbliche citate.