Digytech Solutions
Cybersecurity · MFA

MFA: la differenza tra un piccolo fastidio e il furto del tuo account

· 7 min di lettura

Una statistica vale mille parole: Microsoft pubblica annualmente che "l'attivazione della MFA blocca oltre il 99,9% degli attacchi account riusciti". Non c'è praticamente nessun altro controllo di sicurezza singolo che abbia questo rapporto efficacia/costo. Eppure tante PMI italiane non la usano, o la usano solo sui sistemi più ovvi.

Cos'è la MFA in 2 frasi

Multi-Factor Authentication: per accedere a un account non basta la password, serve anche un secondo elemento di autenticazione (codice generato da app, sms, chiave fisica, biometria). Anche se la password viene rubata, l'attaccante senza il secondo fattore non entra.

I 4 tipi di MFA in ordine di forza

  1. SMS (debole): codice via messaggio. Comodo ma vulnerabile a SIM swapping. Meglio di niente, ma da sostituire dove possibile.
  2. App authenticator (forte): Microsoft Authenticator, Google Authenticator, Authy. Codice generato localmente sullo smartphone, niente intercettabile via rete. Default consigliato per la maggior parte delle PMI.
  3. Push notification (forte + comodo): l'app riceve una notifica push e basta confermare. Esperienza utente migliore. Standard nei tenant Microsoft 365 / Google Workspace gestiti.
  4. FIDO2 / Hardware key (massima sicurezza): chiavetta USB/NFC (es. YubiKey) che firma crittograficamente l'accesso. Per ruoli sensibili: amministratori IT, CEO/CFO, dipendenti con accesso a dati sanitari/finanziari.

Cosa proteggere SUBITO con MFA (priorità decrescente)

  1. Email amministrativa (l'account email è la chiave per resettare password di tutto il resto)
  2. Account amministratore Microsoft 365 / Workspace tenant
  3. Home banking aziendale
  4. Accessi VPN remoti
  5. Gestionali contabili / fatturazione (chi accede modifica fatture, IBAN, dati sensibili)
  6. Cloud storage (OneDrive, Drive, Dropbox)
  7. Tutti gli altri account aziendali

3 obiezioni tipiche dei dipendenti (e come superarle)

"È scomodo, perdiamo tempo ad ogni accesso"

Falso percepito. La configurazione corretta usa trusted devices: sul tuo PC del lavoro l'MFA scatta solo la prima volta (o ogni 30-90 giorni), poi il dispositivo è "ricordato" e non chiede più. Da nuovo dispositivo o nuovo browser sì, ovviamente. Dopo 2 settimane gli utenti smettono di lamentarsi.

"Ma il mio smartphone è privato, non voglio installarci roba"

Microsoft Authenticator e Google Authenticator sono app gratuite, non leggono nulla del telefono, occupano 30 MB, generano solo codici a 6 cifre. Per chi proprio non vuole l'app sul personale: FIDO2 keys (€ 30-60 una tantum) o smartphone aziendale dedicato.

"Se perdo lo smartphone non posso più accedere"

Per questo si configurano più metodi di backup: app authenticator primaria + codici di recovery stampati in cassaforte + numero telefono fisso per emergenze. L'admin IT può sempre resettare l'MFA via procedura documentata (verifica identità + change password forzato). Niente lock-out permanenti.

Cosa NON è MFA (sebbene venga venduto come tale)

  • ❌ Password lunga e complessa: è sempre una sola credenziale, non è multi-factor
  • ❌ Captcha / verifica anti-bot: filtra bot, non furto credenziali
  • ❌ Domande di sicurezza ("nome della madre"): risposte indovinabili dai social media
  • ❌ Email di conferma: se l'attaccante ha già la password email, ha anche le email di conferma

Costo per attivare MFA aziendale (Microsoft 365 caso tipico)

  • Microsoft 365 Business Basic / Standard / Premium: MFA inclusa gratuitamente, da configurare
  • Setup tecnico per tutta l'azienda: € 290-690 una tantum (a seconda del numero utenti) che include: enforcement policy, onboarding utenti, configurazione trusted devices, formazione 30 min, documentazione
  • FIDO2 keys (opzionali per ruoli sensibili): € 35-60 per chiave, 1-2 per utente sensibile
  • Manutenzione mensile: incluso nei piani Aziende Digytech (gestione nuovi utenti, supporto reset)

In totale per una PMI 10 dipendenti: ~ € 490 una tantum + zero canone aggiuntivo se hai Microsoft 365 Business. Confronta con il costo di un singolo account compromesso: fattura falsa pagata, riscatto ransomware, sanzione GDPR, danno reputazionale. Si parla di € 5K-50K medi per incidente PMI.

NIS2: MFA è obbligatoria

L'art. 24 del D.Lgs. 138/2024 (NIS2) include esplicitamente come misura tecnica minima l'autenticazione a più fattori per accessi privilegiati. Per i soggetti essenziali e importanti non è più "se ne hai voglia": è un obbligo che, se non rispettato, espone a sanzioni indipendentemente da incidenti effettivi.

Conclusione

Se devi fare un solo investimento di cybersecurity quest'anno, fai questo. L'MFA è il controllo a più alto ROI in cyber: blocchi il 99,9% degli attacchi account con un investimento marginale e zero canoni ricorrenti. Tutto il resto (EDR, backup, formazione phishing) è importante, ma se hai password compromesse non hai protetto nulla.

Per attivare l'MFA sul tuo Microsoft 365 / Workspace aziendale: vedi il nostro servizio M365 & Workspace gestito. Setup tipico: 2-4 ore, valido per anni.

Approfondisci