Qual è la risposta più breve?
La sicurezza dell'account si regge su un'idea sola: l'attaccante deve ottenere tutto ciò che serve a te per accedere. Il tuo compito è rendere almeno una di queste cose impossibile da rubare a distanza. Per questo l'ordine di qualità del secondo fattore è: chiave hardware o passkey > app con codici monouso > SMS. L'SMS è il più debole tra quelli comunemente offerti.
Questa lezione parla di account (exchange, e-mail, cloud), non di un wallet a sé. In un wallet non custodial (senza custodia di terzi) è decisiva la seed phrase, che spieghiamo a parte nel glossario alla voce seed-phrase.
Cos'è esattamente la 2FA e perché conta il suo tipo?
La 2FA (verifica a due fattori) significa che accedi con due cose indipendenti: di solito qualcosa che sai (la password) e qualcosa che hai (telefono, chiave). Il senso è che la sola password rubata non basta.
Il punto è che non ogni "secondo fattore" è ugualmente forte. La differenza è concreta:
| Tipo di 2FA | Cosa serve all'attaccante | Punto debole |
|---|---|---|
| Codice SMS | Reindirizzare il tuo numero di telefono o intercettare il codice | Vulnerabile a SIM swap e phishing |
| App con codici (TOTP) | Ottenere da te un codice a sei cifre in tempo reale | Il codice si può estorcere su una pagina falsa |
| Chiave hardware / passkey | Avere fisicamente la chiave ed essere sul dominio vero | In pratica resistente al phishing a distanza |
Dettaglio chiave della chiave hardware e della passkey: la verifica è legata all'indirizzo del sito. Quando una pagina di phishing ti imita, la chiave si rifiuta di verificare perché il dominio non corrisponde. Così cade l'attacco che invece funziona con codici SMS e TOTP.
Come appare il phishing in pratica, su un singolo scenario?
Immagina un'e-mail: "Abbiamo rilevato un accesso insolito, conferma l'account entro 24 ore." Il link porta a una pagina che sembra il tuo exchange. Inserisci la password. Poi la pagina dice "inserisci il codice 2FA". Inserisci anche quel codice a sei cifre dall'app.
Cosa è appena successo: l'attaccante sta nel mezzo. La tua password e il codice li inoltra subito alla pagina vera e accede al posto tuo. Il codice TOTP vale solo per poco, ma quelle poche decine di secondi bastano. Per questo diciamo che l'app con codici è meglio dell'SMS, ma da sola non ferma il phishing.
Due abitudini che spezzano questo scenario:
- Non cliccare mai sul link di una richiesta e accedere solo dai propri preferiti o digitando l'indirizzo a mano.
- Usare una chiave hardware o passkey, perché su un dominio falso non funziona, anche se hai cliccato sul link.
Cos'è il SIM swap e perché manda in frantumi la protezione via SMS?
Il SIM swap è una truffa in cui l'attaccante convince (o corrompe) l'operatore a trasferire il tuo numero di telefono sulla sua SIM. Da quel momento i tuoi codici SMS arrivano a lui, non a te. Di solito il tuo telefono perde il segnale, e questo è spesso il primo segnale visibile.
Una volta ottenuto il numero, può avviare il "password dimenticata" su e-mail e account dove il reset passa via SMS, e prendere via via il controllo di tutto ciò che è legato a quel numero. Per questo è pericoloso avere il numero di telefono come metodo di recupero degli account importanti.
Le difese che qui cambiano davvero la situazione:
- Togliere l'SMS come 2FA e come metodo di recupero dove possibile.
- Impostare presso l'operatore una protezione del numero contro la portabilità (PIN / password dell'account, se offerti).
- Proteggere l'account più sensibile, cioè la tua e-mail principale, con il fattore più forte, perché tramite essa si resetta quasi tutto il resto.
Quale account proteggere per primo?
Non l'exchange. L'e-mail. La tua e-mail principale è lo scheletro di tutta la tua identità online: da lì passa il recupero delle password della maggior parte degli altri servizi. Quando l'attaccante controlla l'e-mail, controlla la catena. L'ordine di priorità in pratica:
- E-mail principale (2FA più forte, password unica).
- Account su exchange e servizi finanziari.
- Cloud / gestore di password, se vi conservi cose sensibili.
Cosa fare per prima cosa quando qualcosa va storto?
L'obiettivo dei primi minuti è semplice: togliere l'accesso all'attaccante. Non spostare i fondi nel panico, perché un trasferimento affrettato verso l'indirizzo sbagliato è un altro errore, a sé stante.
Un ordine di passi ragionevole:
- Cambiare la password dell'account compromesso e soprattutto dell'e-mail a cui è collegato.
- Disconnettere tutti i dispositivi / le sessioni attive, se il servizio lo consente. Altrimenti l'attaccante resta connesso anche se cambi la password.
- Controllare e rimuovere 2FA e chiavi API estranee che l'attaccante potrebbe aver aggiunto per mantenere l'accesso.
- Hai perso il segnale? Chiamare l'operatore da un altro telefono e gestire un possibile SIM swap, recuperando il tuo numero.
- Controllare le regole dell'e-mail (inoltri, filtri). Gli attaccanti spesso impostano un inoltro silenzioso della posta per vedere i codici di recupero anche dopo che hai cambiato la password.
- Contattare l'assistenza del servizio per via ufficiale da un indirizzo verificato, non tramite un link che qualcuno ti ha mandato.
Avvertenza sul confine che charliedesk non oltrepassa mai: non esiste una "linea di assistenza" che ti chieda la seed phrase, i codici o l'accesso remoto allo schermo. Chiunque chieda questo è un attacco. L'assistenza vera non ha mai bisogno di queste cose.
Cosa dovresti saper fare ora?
Dopo questa lezione dovresti:
- distinguere i tre tipi di 2FA e sapere perché l'SMS è il più debole,
- riconoscere lo scenario di phishing e di SIM swap su uno svolgimento concreto,
- sapere che l'e-mail principale è l'account numero uno,
- avere in testa l'ordine dei primi passi quando qualcosa va storto, cominciando dal togliere l'accesso, non dagli spostamenti.
Cosa resta incerto?
La sicurezza non è uno stato, ma una corsa. Le tecniche concrete di attacco cambiano, e ciò che oggi è "abbastanza buono" può non valere per sempre. Non abbiamo un dato aggiornato su quanto spesso fallisce l'uno o l'altro metodo, e di proposito non ce ne inventiamo nessuno. Vale inoltre il fatto che nessuna combinazione di misure dà una certezza del 100 %; l'obiettivo è rendere l'attacco così costoso da non essere conveniente. E attenzione a non confondere due mondi: questa lezione è sugli account, dove ti possono aiutare l'assistenza e il recupero. In un wallet non custodial nulla di tutto ciò esiste, lì è decisiva la seed phrase, di cui parliamo nel glossario.