Autenticazione a più fattori (MFA)

Cos'è

L'autenticazione a più fattori (MFA, dall'inglese Multi-Factor Authentication) richiede almeno due prove di identità indipendenti, appartenenti a categorie diverse, per accedere a un sistema: qualcosa che sai (la password), qualcosa che hai (uno smartphone con un'app di autenticazione, una chiave hardware FIDO2 come una YubiKey, un token fisico), qualcosa che sei (impronta digitale, riconoscimento facciale). Anche se un attaccante ruba la password con un phishing ben riuscito, senza il secondo fattore non entra comunque nell'account. Non tutti i metodi però offrono la stessa protezione: un codice via SMS resta vulnerabile a SIM swapping e intercettazione, un'app di autenticazione (TOTP) è già un passo avanti, mentre una chiave hardware FIDO2 è oggi lo standard più robusto perché lega la verifica al dominio esatto del sito, rendendo inutile anche un phishing quasi perfetto. Nella scelta dello strumento la differenza non è cosmetica: conta parecchio.

Perché conta

È una delle misure di sicurezza più citate esplicitamente nelle specifiche di base ACN per la NIS2, per un motivo semplice: è tra le contromisure a più alto rapporto efficacia/costo che esistano — anche la CISA americana la indica come una delle prime difese da attivare contro il furto di credenziali. Nella mia esperienza, però, il punto debole non è quasi mai tecnico: è organizzativo. Sono gli account di servizio, gli account amministrativi o i vecchi account applicativi lasciati senza MFA "perché è scomodo" o "perché rompe qualche integrazione legacy" — cioè esattamente gli account con più privilegi, e quindi più appetibili per un attaccante che li cerca apposta. Ho visto ambienti dove il 95% degli utenti aveva l'MFA attivo e i tre account di dominio più critici no, semplicemente perché nessuno voleva riconfigurare lo script che li usava. È lì che un attaccante entra.

Come lo introduco senza bloccare il lavoro

Attivare l'MFA su un'azienda intera non è un interruttore che giri e via: è un progetto, anche piccolo, che va gestito. Io parto sempre dagli account a più alto rischio — amministratori di dominio, accesso VPN esposto, posta elettronica — prima di estenderlo a tutti, così eventuali problemi si vedono su un gruppo ristretto e controllabile. La resistenza più comune non è tecnica ma umana: chi lo vive come una scocciatura in più al login. Si supera meglio con formazione mirata e un metodo di recupero chiaro per chi perde il telefono, non con l'imposizione secca. Un dettaglio che sottovalutano in tanti: servono sempre procedure di backup per l'accesso (codici di recupero, un secondo dispositivo registrato), altrimenti il primo smartphone rotto si trasforma in un ticket urgente e in un utente bloccato fuori da tutto.

// Nota pratica

Un consiglio pratico che si applica sempre: stampa o metti in cassaforte i codici di recovery quando configuri l'MFA su un account critico, non fidarti solo del telefono che potrebbe rompersi o perdersi. E se usi le notifiche push per l'approvazione, attiva il "number matching": senza, un utente può approvare per sbaglio (o per stanchezza) una richiesta di accesso che non ha mai fatto lui — un attacco reale che si chiama MFA fatigue.