L’autenticazione a più fattori (MFA, Multi-Factor Authentication) è un sistema di accesso che, oltre alla password, chiede una seconda prova di identità, come un codice sullo smartphone.
Posta elettronica, gestionale, archivi in cloud e accesso remoto all’ufficio sono raggiungibili da qualsiasi luogo, anche nelle aziende con pochi addetti. Per accedere, di solito, bastano un nome utente e una password. La password, però, può essere sottratta con un’email ingannevole o riutilizzata su più servizi. La MFA aziendale aggiunge un secondo controllo: chi conosce solo la password non riesce ad accedere. Per questo è una delle misure di base della sicurezza informatica per le PMI, ed è tra le misure richieste dalla direttiva NIS2 (Network and Information Security). L’adozione parte dalla scelta del metodo e prosegue in cinque passi.
Perché la password da sola non protegge l’azienda
Una password può essere rubata, indovinata o riutilizzata senza che l’azienda se ne accorga. Con il secondo fattore, la sola password sottratta non permette più di entrare.
Se un collaboratore inserisce la password in una pagina falsa, l’attaccante può usarla finché nessuno la cambia. Le credenziali aziendali vengono perse in quattro modi ricorrenti:
- Phishing: un’email porta a una pagina di accesso falsa che registra le credenziali.
- Riutilizzo: la stessa password è usata su un servizio esterno che subisce una violazione.
- Tentativi automatici: programmi che provano le password più comuni sugli accessi esposti su internet.
- Dispositivi compromessi: un malware registra ciò che l’utente digita.
Secondo ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, nel Threat Landscape 2025 il phishing è il primo vettore di intrusione, con circa il 60% dei casi osservati. Il dato riguarda 4.875 incidenti analizzati tra luglio 2024 e giugno 2025.
In Italia il quadro è simile. Nella Relazione annuale 2025 dell’Agenzia per la cybersicurezza nazionale (ACN), le credenziali compromesse sono tra le cause ricorrenti degli attacchi ransomware alle piccole imprese. Le difese contro le email ingannevoli sono trattate nella guida a email security e phishing per le PMI.
Quali account vanno protetti per primi?
Vanno protetti per primi gli account che danno accesso a molti dati o al controllo dei sistemi: amministratori, posta elettronica, accesso remoto e servizi bancari. La posta è centrale, perché riceve i link per reimpostare le password degli altri servizi.
I metodi di MFA aziendale: quale scegliere
I metodi più diffusi sono il codice via SMS, l’app di autenticazione e la chiave di sicurezza fisica. Offrono livelli di protezione diversi e possono convivere nella stessa azienda, assegnati in base al ruolo.
Fattore di autenticazione: prova di identità di uno dei tre tipi riconosciuti, cioè qualcosa che l’utente conosce (password), possiede (smartphone, chiave) o è (impronta, volto). L’autenticazione a due fattori ne combina due di tipo diverso.
Il livello di protezione dipende da quanto è difficile intercettare o falsificare il secondo elemento. Il confronto tra i metodi è il seguente:
| Metodo | Come funziona | Livello di protezione | Indicato per | Vulnerabilità |
|---|---|---|---|---|
| Codice via SMS | Un codice numerico arriva sul cellulare a ogni accesso | Di base | Servizi senza alternative o backup | Può essere intercettato; aggiramento con inoltro in tempo reale |
| App di autenticazione | L'app genera un codice temporaneo o chiede di confermare l'accesso | Buona | Tutto il personale | Vulnerabile a richieste di conferma ripetute fino all'approvazione accidentale |
| Chiave fisica o passkey | Il dispositivo verifica l'identità del sito prima di autorizzare l'accesso (sbloccata con impronta, volto o PIN) | Elevata, resiste al phishing | Amministratori e ruoli amministrativi; gestori di sistemi e pagamenti | Nessuna vulnerabilità riconosciuta ai metodi di attacco comuni |
La passkey è una credenziale salvata sul dispositivo e sbloccata con impronta, volto o PIN.
La MFA può essere aggirata?
Sì, alcuni attacchi aggirano i metodi più semplici. Richiedono però più impegno all’attaccante e non funzionano contro chiavi fisiche e passkey.
Una pagina falsa può inoltrare in tempo reale password e codice al sito vero. In alternativa l’attaccante invia richieste di conferma ripetute, finché l’utente ne approva una. Contro questa tecnica è utile l’approvazione con un numero da digitare.
Come attivare l’autenticazione multifattore in una PMI
L’attivazione procede per gradi: censimento degli accessi, protezione degli account critici, estensione a tutto il personale e una procedura di recupero già pronta.
Molte suite di posta e gestionali in cloud includono la funzione nella licenza, quindi il lavoro riguarda soprattutto l’organizzazione. Il percorso prevede cinque passi:
Come attivare l'autenticazione multifattore
-
1
Censire gli accessi
Elencare i servizi usati, chi vi accede e da dove, inclusi i fornitori che intervengono da remoto. Gli account condivisi vanno sostituiti con utenze personali.
-
2
Partire dagli account critici
Attivare il secondo fattore su amministratori, posta, accesso remoto e home banking, perché danno accesso a molti dati o al controllo dei sistemi.
-
3
Assegnare il metodo a ciascun gruppo
App di autenticazione per il personale, chiave fisica o passkey per chi gestisce sistemi e pagamenti. L'SMS resta una soluzione di ripiego.
-
4
Informare il personale
Comunicare in anticipo la data di attivazione. Ogni collaboratore deve sapere che una richiesta di conferma non avviata da lui va rifiutata e segnalata.
-
5
Definire recupero ed eccezioni
Conservare i codici di recupero, stabilire chi riattiva l'accesso se uno smartphone viene perso e disattivare subito le utenze di chi lascia l'azienda.
Lo stesso principio è alla base del modello zero trust per le PMI, in cui ogni accesso viene verificato. Per i collegamenti da remoto, la MFA completa la VPN (Virtual Private Network) aziendale, che protegge il canale ma non verifica chi si collega.
Con budget limitato, la priorità è proteggere posta, amministratori e accesso remoto, poi estendere la MFA a tutti.
MFA e NIS2: cosa prevede la norma
Il decreto italiano che recepisce la NIS2 inserisce l’autenticazione multifattore tra le misure di sicurezza obbligatorie. Le aziende fuori dal perimetro possono riceverne la richiesta dai clienti soggetti alla norma.
L’articolo 24 del D.Lgs. 138/2024 elenca le misure tecniche e organizzative che i soggetti NIS devono adottare, tra cui soluzioni di autenticazione a più fattori o di autenticazione continua. La norma tocca le PMI in tre modi:
- Aziende nel perimetro: imprese con almeno 50 dipendenti, oppure con fatturato e bilancio oltre 10 milioni di euro, attive in uno dei 18 settori previsti.
- Scadenze delle misure di base: ottobre 2026 per le aziende iscritte nell’elenco NIS nel 2025, che devono quindi averle già adottate. Per le aziende registrate nel 2026 il termine è luglio 2027.
- Fornitori di aziende NIS2: anche le PMI sotto soglia possono trovare la MFA tra i requisiti di sicurezza dei contratti.
Perimetro, scadenze e sanzioni sono descritti nella guida NIS2 per le PMI: obblighi, scadenze e sanzioni.
Domande frequenti sulla MFA aziendale
L’autenticazione a due fattori è il caso più comune di MFA: combina la password con un solo elemento aggiuntivo. La MFA indica in generale l’uso di due o più fattori di tipo diverso.
Spesso il costo è limitato al tempo di configurazione, perché molte suite di posta e servizi cloud includono la funzione. Le chiavi fisiche hanno un costo per dispositivo: conviene riservarle agli account più esposti.
Il referente informatico disattiva il dispositivo perso e registra quello nuovo. Nel frattempo il collaboratore accede con un codice di recupero, se l’azienda li ha generati e conservati in un luogo sicuro.
Non in modo diretto. Le micro e piccole imprese restano fuori dal perimetro della NIS2, salvo alcune categorie incluse a prescindere dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica. Se però lavorano per un’azienda soggetta alla norma, il cliente può chiedere la MFA come requisito del contratto.
