Autenticazione a due fattori su posta, PEC e gestionali: come attivarla in ufficio

Quasi ogni settimana un'azienda scopre che qualcuno è entrato nella sua posta, nel pannello del sito o nel gestionale in cloud usando una password vera. Non serviva indovinarla: era stata riutilizzata su un altro sito violato, oppure inserita in una pagina falsa identica a quella originale. L'autenticazione a due fattori, chiamata anche verifica in due passaggi o MFA, chiude proprio questa porta: oltre alla password, l'accesso chiede una seconda prova che il truffatore, di norma, non ha. In questa guida trovi i metodi disponibili e quale scegliere, l'elenco degli account da proteggere per primi, un piano per attivarla in tutto l'ufficio senza lasciare persone chiuse fuori e le truffe che provano ad aggirarla.

Che cos'è, senza tecnicismi

Per dimostrare chi sei, un sistema può chiederti tre tipi di prova: qualcosa che sai (una password, un PIN), qualcosa che hai (il telefono, una chiavetta, una smart card) e qualcosa che sei (impronta digitale, riconoscimento del volto). Si parla di autenticazione a due fattori quando l'accesso richiede due prove di tipo diverso. Due password non sono due fattori: chi ruba la prima di solito ruba anche la seconda.

La conosci già, anche se non la chiami così. Il bancomat chiede la carta e il PIN. L'home banking chiede la password e una conferma sull'app: dal 2019, con la direttiva europea sui servizi di pagamento PSD2, l'autenticazione forte del cliente è obbligatoria per l'accesso al conto online e per i pagamenti elettronici. SPID di livello 2 e la Carta d'identità elettronica funzionano con lo stesso principio. Il punto è portare la stessa protezione sugli account di lavoro che ancora entrano con la sola password.

Perché funziona così bene

Uno studio pubblicato da Microsoft Research nel 2023, condotto su account aziendali dei suoi servizi cloud, ha misurato che l'autenticazione a più fattori riduce il rischio di compromissione dell'account del 99,22% nel complesso e del 98,56% anche nei casi in cui la password era già finita in elenchi rubati. Lo stesso studio ha rilevato che le app di autenticazione proteggono meglio dei codici via SMS.

Il motivo: gli attacchi agli account sono quasi sempre automatici. Se oltre alla password serve un telefono che il truffatore non ha, il programma passa al bersaglio successivo.

I metodi a confronto

Le linee guida sull'identità digitale del NIST, l'ente statunitense per gli standard tecnici, classificano l'SMS fra i metodi "con restrizioni" proprio per questi rischi. In pratica: se un servizio offre solo l'SMS, attivalo comunque; se offre un'app o le passkey, scegli quelle.

Da quali account partire

Non tutti gli account valgono uguale. Questo è l'ordine che consigliamo, dal più urgente:

1. Gli amministratori della posta aziendale e di Microsoft 365 o Google Workspace. Chi entra lì può creare utenti, leggere tutte le caselle, cambiare le password di tutti.
2. Le caselle di posta di tutte le persone, a partire da chi gestisce pagamenti e fatture.
3. Il pannello del dominio e del DNS, spesso dimenticato: chi lo controlla può dirottare posta e sito.
4. La PEC, perché i messaggi inviati hanno valore legale.
5. Gestionali e programmi in cloud: contabilità, paghe, CRM, archivi documentali.
6. Accesso dall'esterno: VPN, desktop remoto, pannelli del firewall e del NAS.
7. Tutto il resto: social aziendali, portali di fornitori e corrieri, marketplace.

Posta elettronica: Microsoft 365, Google e caselle del dominio

Sui servizi per aziende la funzione c'è già, va solo attivata per tutti. Su Microsoft 365 la strada più semplice per un piccolo ufficio sono le impostazioni predefinite di sicurezza (security defaults): impongono la registrazione del secondo fattore a tutti gli utenti e bloccano i vecchi metodi di accesso che lo aggirerebbero. Su Google Workspace l'amministratore può rendere obbligatoria la verifica in due passaggi, dando alle persone un periodo per registrarsi. In entrambi i casi controlla due dettagli:

• vecchi programmi e protocolli di posta che entrano con la sola password, come alcuni client datati o la stampante multifunzione che invia scansioni per email: vanno aggiornati o configurati in modo sicuro, non lasciati come eccezione permanente;
• password per le app: se servono, devono essere poche, documentate e revocate quando non servono più.

Le caselle comprese nei pacchetti di hosting spesso non offrono nessun secondo fattore: un buon motivo per valutare un servizio di posta per aziende. Se pensi che una casella sia già stata violata, segui prima la guida su cosa fare con la posta aziendale violata.

PEC e gestionali

I gestori PEC stanno introducendo la verifica in due passaggi insieme all'adeguamento agli standard europei. Il passaggio che crea più problemi negli uffici è quello successivo: i programmi di posta e i gestionali che inviano PEC smettono di funzionare finché non si inserisce una password dedicata. Le istruzioni passo per passo, con i tempi di scadenza di quella password, sono nella guida all'adeguamento della PEC europea.

Per i gestionali la situazione cambia molto da un prodotto all'altro:

• gestionali in cloud: la maggior parte offre il secondo fattore nelle impostazioni dell'utente o dell'amministratore, oppure l'accesso con l'account Microsoft o Google aziendale, che eredita la protezione già attiva sulla posta;
• gestionali installati in ufficio: spesso non lo prevedono, ma non sono raggiungibili da internet. La protezione va messa sulla porta d'ingresso, cioè sulla VPN o sul desktop remoto usati per raggiungerli da fuori;
• portali pubblici, come quelli dell'Agenzia delle Entrate o dell'INPS: l'accesso con SPID, CIE o CNS è già un accesso a più fattori.

Come attivarla in ufficio senza bloccare nessuno

La tecnologia è la parte facile. Le difficoltà nascono quando una mattina si attiva tutto insieme e metà delle persone non riesce a entrare. Un percorso che funziona:

1. Elenco degli account, persona per persona, compresi quelli condivisi come info@ o amministrazione@.
2. Decidi i dispositivi: telefono aziendale, telefono personale con l'app, oppure chiave fisica per chi preferisce non usare il proprio cellulare.
3. Parti dagli amministratori, con il metodo più robusto e un secondo metodo di riserva.
4. Registra le persone a gruppi, con una pagina di istruzioni e il nome di chi chiamare.
5. Codici di recupero: per ogni account vanno generati e conservati in un luogo sicuro, per esempio il gestore di password aziendale o una busta chiusa in cassaforte, non nella stessa casella che proteggono.
6. Rendi obbligatorio il secondo fattore solo quando tutti sono registrati, e controlla dal pannello chi manca.

Telefono perso, rubato o cambiato

È la paura più diffusa, e si risolve preparandosi prima:

• cambio programmato: prima di dare via il vecchio telefono, sposta gli account sull'app del nuovo; molte app di autenticazione hanno una funzione di trasferimento o di backup cifrato;
• telefono perso: entri con un codice di recupero o con il metodo di riserva, poi togli il vecchio dispositivo dall'elenco;
• nessun metodo disponibile: sugli account aziendali l'amministratore reimposta il secondo fattore dopo aver verificato di persona chi sta chiedendo. Mai su semplice richiesta via email o telefono da un numero sconosciuto;
• dipendente che lascia l'azienda: si disattiva l'account e si tolgono i suoi dispositivi registrati lo stesso giorno.

Le truffe che cercano di aggirarla

Chi attacca lo sa che il secondo fattore lo ferma, e prova a farselo consegnare. Le tecniche più comuni:

• Bombardamento di notifiche. Con la password già in mano, il truffatore tenta l'accesso più volte di seguito sperando che, esasperato, tu tocchi "Approva". Regola semplice: se arriva una richiesta che non hai avviato tu, si rifiuta e si avvisa il tecnico, perché significa che la password è già nota. Le notifiche con numero da digitare rendono questo trucco molto più difficile.
• Pagina falsa che chiede anche il codice. Alcune pagine di phishing inoltrano in tempo reale password e codice al sito vero. Contro questa tecnica proteggono davvero solo passkey e chiavi fisiche, che non rispondono a un dominio falso. Gli esempi più diffusi di queste esche sono nella guida al phishing in azienda.
• La telefonata del finto tecnico che chiede "il codice appena arrivato": nessun servizio serio lo chiede.

Come lo facciamo con te

In Faberweb attiviamo il secondo fattore partendo dall'elenco reale degli account dell'ufficio: posta, PEC, dominio, gestionali, VPN, firewall e NAS. Scegliamo con te il metodo per ogni persona, configuriamo l'obbligo sul servizio di posta, sistemiamo i programmi e le stampanti che inviano email, prepariamo i codici di recupero e lasciamo per iscritto la procedura per i cambi di telefono. Codici e PIN restano tuoi: li inserisci tu, noi non li chiediamo. Quasi tutto si fa da remoto, in tutto il Nord e il Centro Italia; se serve stare accanto alle persone durante la registrazione veniamo in sede, entro circa 100 km da Lodi Vecchio. Costa 43 € + IVA all'ora, sia a distanza sia in sede, più l'uscita in base ai chilometri per le visite. Chiama o scrivi su WhatsApp al 0371 464 186 oppure usa il modulo contatti. Gli altri servizi sono in Informatica e assistenza.

Domande frequenti