--- id: CP-559 slug: autenticazione-a-due-fattori-posta-personale lang: it title: Proteggere la propria casella di posta personale con l'autenticazione a due fattori description: "Attivare l'autenticazione a due fattori sulla posta personale: metodi, codici di backup, inoltri da controllare e trappole da conoscere." canonical_url: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ markdown_url: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Proteggere la propria casella di posta personale con l'autenticazione a due fattori», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-064 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ fr: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ en: https://startbrain.io/cyberpedia/en/articles/two-factor-authentication-personal-email/ de: https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/ es: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ nl: https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/ sources: - "n": 1 title: More than a Password | CISA publisher: CISA url: https://www.cisa.gov/MFA accessed: "2026-11-03" - "n": 2 title: Multifactor Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 4 title: Require Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 7 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 8 title: "Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/006/ accessed: "2026-11-03" --- # Proteggere la propria casella di posta personale con l'autenticazione a due fattori Una password da sola protegge male una casella di posta. La CISA, l'agenzia statunitense per la cybersicurezza, ricorda che una password può essere riutilizzata, indovinata o rubata con più facilità, e che i malintenzionati sanno aggirarla [1]. L'autenticazione a due fattori (detta anche MFA, 2FA o verifica in due passaggi) aggiunge una seconda prova d'identità al momento dell'accesso [1]. La CISA mette la posta elettronica in cima all'elenco degli account su cui attivare l'autenticazione a due fattori [1]. I servizi inviano spesso un codice o un link all'indirizzo dell'account per verificarne il titolare [2]. Questa scheda spiega i metodi, i gesti da compiere e le trappole. ## In 30 secondi - Dove succede: all'accesso a una posta personale, e quando un falso messaggio, un finto operatore o una raffica di notifiche spingono a comunicare un codice o ad approvare una richiesta. - Cosa vuole l'attaccante: entrare nella casella con una password rubata, poi aggirare il secondo passaggio ottenendo dalla vittima un codice o un'approvazione [3]. - Il riflesso: attivare l'autenticazione a due fattori sulla posta, preferire un'app o una chiave di sicurezza all'SMS e non approvare né comunicare mai un codice che non si è richiesto personalmente. - Se è già fatto: controllare le opzioni di recupero, i metodi registrati e le regole di inoltro della casella. ## Domande dirette ### Che cos'è l'autenticazione a due fattori? È un metodo che combina almeno due prove tra tre famiglie: qualcosa che si sa (password, PIN), qualcosa che si possiede (app di autenticazione, SMS di conferma) e qualcosa che si è (impronta digitale, volto) [1]. Se la password viene rubata, l'attaccante si scontra con il secondo requisito [1]. ### Dove va attivata? La CISA cita per primi gli account di posta elettronica, poi i servizi finanziari, i social network, i negozi online e i servizi di gioco e di streaming [1]. Le opzioni si trovano nelle impostazioni di sicurezza dell'account, con nomi diversi: "Two Factor Authentication", "Multifactor Authentication" o "Two Step Factor Authentication" [1]. Se il servizio non la offre, la CISA consiglia di chiederla [1]. ### Tutti i metodi si equivalgono? No. La CISA scrive che "any MFA is better than no MFA", ma che alcuni metodi proteggono meglio di altri [1]. Presenta FIDO/WebAuthn come l'unica autenticazione resistente al phishing ampiamente disponibile: se l'utente viene ingannato da un sito falso, il protocollo blocca il tentativo [1]. Le chiavi di sicurezza di tipo U2F, come la YubiKey, sono resistenti al phishing perché la chiave privata non lascia mai il dispositivo [2]. ### L'SMS è da evitare? È meglio di niente [1], ma presenta debolezze note. L'OWASP lo classifica tra gli autenticatori limitati, a causa dell'intercettazione SS7, dello scambio di SIM e della portabilità del numero [2]. Per chi dispone solo dell'SMS, l'OWASP consiglia di prevedere il passaggio a un'app di codici temporanei (TOTP), alle notifiche push o a WebAuthn/FIDO2 [2]. ## Come funziona Un'app di autenticazione genera un codice numerico di breve durata. L'utente la installa sul telefono, inquadra un QR code fornito dal servizio, che contiene il seme iniziale, poi digita i codici visualizzati [2]. La RFC 6238 raccomanda per impostazione predefinita un intervallo di 30 secondi [2]. Il punto debole è il telefono: se il dispositivo è perso, rubato o scarico, l'accesso diventa impossibile, e le copie di backup del seme possono essere conservate male [2]. Una chiave hardware U2F funziona in modo diverso. Non c'è nulla da ricopiare: l'utente preme un pulsante o avvicina la chiave a un lettore NFC [2]. ## Cosa fare - Attivate oggi stesso l'autenticazione a due fattori sulla casella di posta [1]. - Scegliete un'app di autenticazione o una chiave di sicurezza invece dell'SMS [2]. Se è disponibile solo l'SMS, usatelo piuttosto che niente [1]. - Conservate i codici di backup. L'OWASP cita tra i metodi di recupero più comuni i codici monouso consegnati al momento della registrazione [2]. - Proteggete la password. La CISA chiede password lunghe (almeno 16 caratteri), casuali e uniche, conservate in un gestore di password [4]. - Controllate le opzioni di recupero: numero di telefono, indirizzo di riserva, dispositivi registrati. L'OWASP osserva che la modifica di un fattore di autenticazione è un'operazione sfruttata dagli attaccanti per prendere il controllo di un account, e che il servizio deve avvisare l'utente tramite un altro canale a ogni modifica [2]. Un avviso di questo tipo che non avete provocato voi è un segnale d'allarme. - Cercate gli inoltri. Un attaccante può creare una regola che trasferisce i messaggi a un altro indirizzo, e questa regola gli mantiene l'accesso alle email anche dopo una reimpostazione delle credenziali da parte degli amministratori [5]. Nella posta, aprite le impostazioni di regole e inoltri ed eliminate tutto ciò che non avete creato voi. ## Le trappole ### Le notifiche a raffica Un attaccante che conosce la password può avviare l'accesso in continuazione e inondare la vittima di notifiche, SMS e chiamate, nella speranza che finisca per accettare per stanchezza: è la "MFA fatigue" [3]. MITRE cita gruppi che hanno usato questo metodo, tra cui LAPSUS$ e Scattered Spider [3]. La regola: approvate solo gli accessi che avete appena avviato. In assenza di una MFA resistente al phishing, la CISA invita a prendere in considerazione l'abbinamento dei numeri (number matching) per bloccare questi attacchi [1]. ### Il codice richiesto da un finto operatore Un messaggio di phishing può chiedere di chiamare un numero, dove l'interlocutore indirizza la vittima verso un indirizzo malevolo o le fa installare uno strumento di accesso remoto [6]. Un codice ricevuto per SMS o per email non si comunica a nessuno: serve a dimostrare che siete voi i titolari dell'account. MITRE ricorda che i codici inviati per SMS o per email possono essere intercettati se il dispositivo o il servizio non è protetto [7]. ### I falsi messaggi di sicurezza Il phishing è ingegneria sociale veicolata per via elettronica: l'attaccante si spaccia per una fonte attendibile [6]. Un falso messaggio di allerta può rimandare a una copia del sito di accesso. Strumenti come evilginx2 intercettano allora i token di autenticazione e aggirano le forme di autenticazione che non resistono al phishing [7]. Una chiave FIDO blocca questo scenario [1]. Nel dubbio, non cliccate: aprite il servizio digitandone voi stessi l'indirizzo. ### Il numero di telefono dirottato Nello scambio di SIM, l'attaccante convince l'operatore a trasferire il numero della vittima, il che gli permette di ricevere i codici per SMS o per chiamata [2]. L'OWASP raccomanda di sorvegliare i cambi di numero o le sostituzioni di SIM impreviste [2]. ### Il secondo passaggio disattivato Dopo essere entrato in un account, un attaccante può disattivare l'autenticazione a due fattori o registrare un proprio metodo [8]. Rivedete di tanto in tanto l'elenco dei metodi e dei dispositivi registrati sulla posta. ## Fonti 1. CISA, «More than a Password | CISA». https://www.cisa.gov/MFA (consultato il 3 novembre 2026) 2. OWASP, «Multifactor Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultato il 3 novembre 2026) 4. CISA, «Require Strong Passwords | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1556/006/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.