Cloud aziendale: controllo dati, accessi e sicurezza
Cloud aziendale: cosa controllare, chi può accedere ai dati e come ridurre i rischi di Shadow IT e Shadow AI.
MFA: perché non tutti i metodi di autenticazione proteggono allo stesso modo
- In alternativa alla lettura, puoi ascoltare un breve estratto dell’articolo:
Secondo il Microsoft Digital Defense Report 2025, oltre il 97% degli attacchi alle identità digitali rilevati da Microsoft tra aprile e giugno 2025 era costituito da attacchi di password spray o brute force. Nello stesso report, Microsoft indicava che l’utilizzo di sistemi di autenticazione multifattore moderni poteva ridurre di oltre il 99% il rischio di compromissione delle identità digitali.
Sono dati che mostrano quanto la protezione degli accessi digitali sia ancora legata alla sicurezza delle credenziali. Ma introdurre l’autenticazione multifattore (MFA) non significa automaticamente ottenere lo stesso livello di protezione su tutti gli account.
SMS, codici OTP, notifiche push, passkey e chiavi fisiche utilizzano meccanismi diversi. Capire cosa viene realmente verificato durante l’accesso e come viene protetto il processo di login permette di valutare quale metodo sia adeguato agli accessi e ai sistemi aziendali più importanti.
Avere l’MFA attiva non significa essere al sicuro da ogni attacco
L’autenticazione multifattore combina fattori appartenenti a categorie differenti: qualcosa che l’utente conosce, come una password o un PIN, e qualcosa che possiede, come uno smartphone o una chiave crittografica. In alcuni sistemi può essere utilizzata anche una caratteristica biometrica.
Per capire perché due metodi MFA possano offrire livelli di protezione diversi, è utile fare riferimento alle Digital Identity Guidelines del NIST (National Institute of Standards and Technology), che distingue in particolare due proprietà importanti: la replay resistance e la phishing resistance.
La replay resistance indica la capacità di impedire che un’informazione utilizzata durante un accesso venga intercettata e riutilizzata successivamente.
La seconda è la phishing resistance: impedire che una credenziale o una risposta di autenticazione valida possa essere consegnata a un sito falso e successivamente utilizzata sul servizio autentico.
I principali metodi MFA: differenze e livelli di protezione
Codice via SMS
Il codice ricevuto tramite SMS è uno dei metodi MFA più conosciuti e utilizzati. La sua sicurezza, però, non dipende solo dal codice, ma anche dalla rete telefonica e dal controllo del numero associato all’account.
Per questo gli SMS sono più esposti ad alcuni rischi, come il SIM swap, attraverso il quale un hacker può tentare di trasferire il numero della vittima su un’altra SIM per intercettare i codici di autenticazione. Anche operazioni come la portabilità del numero, la sostituzione della SIM o il cambio del dispositivo devono essere considerate nella gestione della sicurezza. Anche la CISA (Cybersecurity and Infrastructure Security Agency) li considera tra i metodi MFA meno robusti e consiglia, quando possibile, di preferire soluzioni più resistenti al phishing.
OTP generato da un’app: cosa succede dietro al codice
Un’alternativa molto diffusa agli SMS è l’utilizzo di app Authenticator, che generano direttamente sul dispositivo dell’utente un codice OTP, cioè una password temporanea valida una sola volta.
Durante la configurazione, l’app e il servizio condividono un segreto crittografico, utilizzato per generare questi codici, che in genere cambiano ogni 30 secondi. In questo modo l’OTP non deve essere inviato tramite rete telefonica, riducendo alcuni dei rischi tipici degli SMS.
Rimane però un limite importante: il codice può comunque essere inserito su una pagina di phishing e utilizzato da un hacker finché è ancora valido. Per questo le app Authenticator offrono una protezione maggiore rispetto agli SMS, ma non sono completamente resistenti al phishing.
Notifiche push, passkey e autenticazione resistente al phishing
Un altro approccio diffuso è quello delle notifiche push, che permettono di approvare un accesso direttamente dall’app, senza inserire un OTP. Una semplice richiesta Approva/Rifiuta può però essere sfruttata con l’invio ripetuto di richieste fino a ottenere un’approvazione involontaria.
Il number matching riduce questo rischio chiedendo all’utente di verificare un numero associato alla sessione di login, ma non rende il metodo completamente resistente al phishing.
Un livello di protezione superiore è offerto da passkey e chiavi di sicurezza. Questi sistemi utilizzano una coppia di chiavi crittografiche: una chiave privata, che rimane sotto il controllo dell’utente e non viene condivisa con il servizio e una chiave pubblica, conservata dal servizio. La credenziale viene inoltre associata al dominio per cui è stata creata, impedendo a una pagina di phishing su un altro dominio di utilizzarla per completare l’accesso.
In pratica, un OTP o una richiesta push possono essere utilizzati nel contesto sbagliato, mentre passkey e chiavi di sicurezza sono progettate per funzionare solo con il servizio corretto.
Come può essere aggirata l’autenticazione multifattore
Le differenze tra i vari metodi MFA diventano ancora più evidenti osservando come alcuni attacchi riescano a inserirsi nel processo di autenticazione. Un esempio è il phishing Adversary-in-the-Middle, una tecnica in cui il sito controllato dall’hacker si inserisce tra l’utente e il servizio autentico.
Il flusso può essere semplificato così:
utente → sito dell’hacker → servizio autentico
Quando l’utente inserisce password e codice OTP, il sito falso può inoltrarli immediatamente al servizio reale. L’OTP non viene quindi decifrato: viene semplicemente utilizzato dall’hacker mentre è ancora valido.
In alcuni attacchi l’obiettivo può essere anche il token di sessione, cioè l’informazione che il servizio rilascia dopo un’autenticazione riuscita per riconoscere l’utente nelle richieste successive senza chiedere ogni volta password e MFA.
Per l’azienda questo significa che la protezione non termina con il superamento dell’MFA: durata e revoca delle sessioni, sicurezza degli endpoint e monitoraggio degli accessi restano elementi importanti per limitare l’utilizzo di una sessione compromessa.
Attivare l’MFA non basta: bisogna configurarla correttamente
Per un’azienda non basta attivare l’MFA: è importante scegliere il metodo più adatto in base al livello di rischio a cui è esposto l’account. Gli account amministrativi o con accesso a sistemi critici, ad esempio, richiedono una protezione maggiore rispetto agli account con permessi limitati.
Va considerato anche l’intero processo di autenticazione, dalla registrazione di nuovi dispositivi al recupero dell’account. Anche una chiave di sicurezza può perdere efficacia se, ad esempio, l’accesso può essere recuperato tramite un semplice SMS.
La sicurezza dell’MFA dipende quindi non solo dall’attivazione del secondo fattore, ma dal metodo scelto e da come viene gestito l’intero processo di autenticazione.
Let’s Co supporta le aziende nella progettazione e gestione delle infrastrutture IT e delle soluzioni di cybersecurity, aiutandole a valutare accessi, policy, dispositivi e livelli di protezione in funzione del rischio operativo.
FAQ: Frequently Asked Questions
L’autenticazione multifattore protegge da tutti gli attacchi di phishing?
No. L’autenticazione multifattore non protegge allo stesso modo da tutti gli attacchi di phishing, perché il livello di sicurezza dipende dal metodo utilizzato. Un codice OTP può essere intercettato e utilizzato mentre è ancora valido.
L’autenticazione via SMS è sicura per gli account aziendali?
L’autenticazione via SMS aggiunge un livello di protezione rispetto alla sola password, ma presenta limiti legati anche alla rete telefonica, alla SIM e al controllo del numero
Un’app Authenticator protegge meglio rispetto a un codice ricevuto via SMS?
Un’app Authenticator elimina alcuni rischi legati alla rete telefonica, perché il codice TOTP viene generato direttamente sul dispositivo. Un’app Authenticator, però, continua a produrre un codice che l’utente deve inserire manualmente e che può quindi essere comunicato anche a una pagina di phishing mentre è ancora valido.
Una passkey è più resistente al phishing rispetto a un codice OTP?
Sì. Una passkey è più resistente al phishing rispetto a un codice OTP perché utilizza una coppia di chiavi crittografiche e associa la credenziale al dominio del servizio per cui è stata creata. Una pagina falsa pubblicata su un dominio diverso non può quindi utilizzare la stessa credenziale per completare l’autenticazione.
Tutti gli account aziendali dovrebbero utilizzare lo stesso metodo MFA?
Non necessariamente. Un account amministratore dovrebbe utilizzare un livello di autenticazione adeguato ai privilegi e ai sistemi a cui può accedere. Per account amministrativi, backup, infrastrutture critiche o sistemi di sicurezza può essere opportuno adottare metodi MFA più robusti e resistenti al phishing, insieme a procedure di recupero e registrazione più restrittive.
Richiedi maggiori informazioni
L'articolo ti è piaciuto? Condividilo:
Il centralino serve ancora nel 2026?
Il centralino serve ancora nel 2026? Scopri come cloud e AI rendono più semplice la gestione delle chiamate aziendali.
Rientro dalle ferie senza sorprese: la checklist IT
Rientro dalle ferie: La checklist IT per controllare accessi, backup, sicurezza, centralino e strumenti aziendali.