Cyberpediadi Brain
ITDEENESFR

Proteggere la propria casella di posta personale con l'autenticazione a due fattori

Attivare l'autenticazione a due fattori sulla posta personale: metodi, codici di backup, inoltri da controllare e trappole da conoscere.

In 30 secondi

Dove succede
All'accesso a una posta personale, e quando un falso messaggio, un finto operatore o una raffica di notifiche spingono a comunicare un codice o ad approvare una richiesta.
Cosa vuole l'attaccante
Entrare nella casella con una password rubata, poi aggirare il secondo passaggio ottenendo dalla vittima un codice o un'approvazione3.
Il riflesso
Attivare l'autenticazione a due fattori sulla posta, preferire un'app o una chiave di sicurezza all'SMS e non approvare né comunicare mai un codice che non si è richiesto personalmente.
Se è già fatto
Controllare le opzioni di recupero, i metodi registrati e le regole di inoltro della casella.

Di cosa si tratta

Una password da sola protegge male una casella di posta. La CISA, l'agenzia statunitense per la cybersicurezza, ricorda che una password può essere riutilizzata, indovinata o rubata con più facilità, e che i malintenzionati sanno aggirarla1. L'autenticazione a due fattori (detta anche MFA, 2FA o verifica in due passaggi) aggiunge una seconda prova d'identità al momento dell'accesso1.

La CISA mette la posta elettronica in cima all'elenco degli account su cui attivare l'autenticazione a due fattori1. I servizi inviano spesso un codice o un link all'indirizzo dell'account per verificarne il titolare2. Questa scheda spiega i metodi, i gesti da compiere e le trappole.

Domande dirette

Che cos'è l'autenticazione a due fattori?

È un metodo che combina almeno due prove tra tre famiglie: qualcosa che si sa (password, PIN), qualcosa che si possiede (app di autenticazione, SMS di conferma) e qualcosa che si è (impronta digitale, volto)1. Se la password viene rubata, l'attaccante si scontra con il secondo requisito1.

Dove va attivata?

La CISA cita per primi gli account di posta elettronica, poi i servizi finanziari, i social network, i negozi online e i servizi di gioco e di streaming1. Le opzioni si trovano nelle impostazioni di sicurezza dell'account, con nomi diversi: "Two Factor Authentication", "Multifactor Authentication" o "Two Step Factor Authentication"1. Se il servizio non la offre, la CISA consiglia di chiederla1.

Tutti i metodi si equivalgono?

No. La CISA scrive che "any MFA is better than no MFA", ma che alcuni metodi proteggono meglio di altri1. Presenta FIDO/WebAuthn come l'unica autenticazione resistente al phishing ampiamente disponibile: se l'utente viene ingannato da un sito falso, il protocollo blocca il tentativo1. Le chiavi di sicurezza di tipo U2F, come la YubiKey, sono resistenti al phishing perché la chiave privata non lascia mai il dispositivo2.

L'SMS è da evitare?

È meglio di niente1, ma presenta debolezze note. L'OWASP lo classifica tra gli autenticatori limitati, a causa dell'intercettazione SS7, dello scambio di SIM e della portabilità del numero2. Per chi dispone solo dell'SMS, l'OWASP consiglia di prevedere il passaggio a un'app di codici temporanei (TOTP), alle notifiche push o a WebAuthn/FIDO22.

1Come funziona1 min

Un'app di autenticazione genera un codice numerico di breve durata. L'utente la installa sul telefono, inquadra un QR code fornito dal servizio, che contiene il seme iniziale, poi digita i codici visualizzati2. La RFC 6238 raccomanda per impostazione predefinita un intervallo di 30 secondi2. Il punto debole è il telefono: se il dispositivo è perso, rubato o scarico, l'accesso diventa impossibile, e le copie di backup del seme possono essere conservate male2.

Una chiave hardware U2F funziona in modo diverso. Non c'è nulla da ricopiare: l'utente preme un pulsante o avvicina la chiave a un lettore NFC2.

2Cosa fare1 min
  • Attivate oggi stesso l'autenticazione a due fattori sulla casella di posta1.
  • Scegliete un'app di autenticazione o una chiave di sicurezza invece dell'SMS2. Se è disponibile solo l'SMS, usatelo piuttosto che niente1.
  • Conservate i codici di backup. L'OWASP cita tra i metodi di recupero più comuni i codici monouso consegnati al momento della registrazione2.
  • Proteggete la password. La CISA chiede password lunghe (almeno 16 caratteri), casuali e uniche, conservate in un gestore di password4.
  • Controllate le opzioni di recupero: numero di telefono, indirizzo di riserva, dispositivi registrati. L'OWASP osserva che la modifica di un fattore di autenticazione è un'operazione sfruttata dagli attaccanti per prendere il controllo di un account, e che il servizio deve avvisare l'utente tramite un altro canale a ogni modifica2. Un avviso di questo tipo che non avete provocato voi è un segnale d'allarme.
  • Cercate gli inoltri. Un attaccante può creare una regola che trasferisce i messaggi a un altro indirizzo, e questa regola gli mantiene l'accesso alle email anche dopo una reimpostazione delle credenziali da parte degli amministratori5. Nella posta, aprite le impostazioni di regole e inoltri ed eliminate tutto ciò che non avete creato voi.
3Le trappole2 min

Le notifiche a raffica

Un attaccante che conosce la password può avviare l'accesso in continuazione e inondare la vittima di notifiche, SMS e chiamate, nella speranza che finisca per accettare per stanchezza: è la "MFA fatigue"3. MITRE cita gruppi che hanno usato questo metodo, tra cui LAPSUS$ e Scattered Spider3. La regola: approvate solo gli accessi che avete appena avviato. In assenza di una MFA resistente al phishing, la CISA invita a prendere in considerazione l'abbinamento dei numeri (number matching) per bloccare questi attacchi1.

Il codice richiesto da un finto operatore

Un messaggio di phishing può chiedere di chiamare un numero, dove l'interlocutore indirizza la vittima verso un indirizzo malevolo o le fa installare uno strumento di accesso remoto6. Un codice ricevuto per SMS o per email non si comunica a nessuno: serve a dimostrare che siete voi i titolari dell'account. MITRE ricorda che i codici inviati per SMS o per email possono essere intercettati se il dispositivo o il servizio non è protetto7.

I falsi messaggi di sicurezza

Il phishing è ingegneria sociale veicolata per via elettronica: l'attaccante si spaccia per una fonte attendibile6. Un falso messaggio di allerta può rimandare a una copia del sito di accesso. Strumenti come evilginx2 intercettano allora i token di autenticazione e aggirano le forme di autenticazione che non resistono al phishing7. Una chiave FIDO blocca questo scenario1. Nel dubbio, non cliccate: aprite il servizio digitandone voi stessi l'indirizzo.

Il numero di telefono dirottato

Nello scambio di SIM, l'attaccante convince l'operatore a trasferire il numero della vittima, il che gli permette di ricevere i codici per SMS o per chiamata2. L'OWASP raccomanda di sorvegliare i cambi di numero o le sostituzioni di SIM impreviste2.

Il secondo passaggio disattivato

Dopo essere entrato in un account, un attaccante può disattivare l'autenticazione a due fattori o registrare un proprio metodo8. Rivedete di tanto in tanto l'elenco dei metodi e dei dispositivi registrati sulla posta.

Scheda

Identificativo
CP-559
Ala
5. Vita in ufficio e riflessi
Competenza Brain
Smascherare l'ingegneria sociale (outsmart_social_engineering)
Riflesso Brain
cr-064
Schema
G5 · Albero decisionale del riflesso
Lingue
de, en, es, fr, it
Fonti
8 fonti verificate il 3 novembre 2026
Fonti8 fonti
  1. CISA, «More than a Password | CISA». https://www.cisa.gov/MFA (consultato il 3 novembre 2026)
  2. OWASP, «Multifactor Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultato il 3 novembre 2026)
  4. CISA, «Require Strong Passwords | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1556/006/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Proteggere la propria casella di posta personale con l'autenticazione a due fattori», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/

BibTeX 
@misc{brain_cp559_it_2026,
  author = {Brain},
  title = {Proteggere la propria casella di posta personale con l'autenticazione a due fattori},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0