C’è un dato che circola da anni nelle ricerche sulla sicurezza informatica e che continua a sorprendere: la stragrande maggioranza delle violazioni degli account aziendali avviene attraverso credenziali compromesse. Password rubate, riutilizzate, intercettate. Non exploit sofisticati, non vulnerabilità zero-day, semplicemente una combinazione di nome utente e password che qualcuno ha ottenuto e usato.

La soluzione esiste, è accessibile e funziona. Si chiama MFA — Multi-Factor Authentication, autenticazione a più fattori. Eppure in molte organizzazioni non è ancora stata adottata in modo sistematico.

Cosa significa autenticazione a più fattori

L’MFA è un sistema di verifica dell’identità che richiede almeno due elementi distinti prima di concedere l’accesso a un sistema o un’applicazione.

Questi elementi appartengono a categorie diverse:

Qualcosa che si conosce — una password, un PIN, una risposta a una domanda di sicurezza.

Qualcosa che si possiede — uno smartphone, un token fisico, una chiave USB, un’app che genera codici temporanei.

Qualcosa che si è — un’impronta digitale, il riconoscimento facciale, un dato biometrico.

Perché funziona è intuitivo: anche se una password viene rubata, intercettata o indovinata, non è sufficiente per accedere. Serve anche il secondo elemento, che nella maggior parte dei casi è fisicamente in mano a chi dovrebbe avere accesso.

2FA e MFA: la differenza

I due termini vengono spesso usati come sinonimi, ma non lo sono del tutto.

La 2FA autenticazione a due fattori, è la forma più diffusa: si combinano esattamente due elementi, tipicamente una password e un codice temporaneo ricevuto sullo smartphone. È il livello minimo consigliato nel 2026 per qualsiasi accesso aziendale.

L’MFA è il concetto più ampio: può includere due o più fattori, combinati in modo diverso a seconda del livello di sicurezza richiesto. Per gli accessi ordinari di un dipendente può bastare la 2FA. Per gli amministratori IT, i dirigenti o i sistemi critici, si aggiungono livelli ulteriori — chiavi hardware, biometria, controlli contestuali basati su posizione o comportamento.

I metodi più comuni in ambito aziendale

Non tutti i sistemi MFA offrono lo stesso livello di protezione. Vale la pena conoscere le differenze.

App authenticator come Google Authenticator o Microsoft Authenticator generano codici temporanei che scadono ogni 30 secondi. Sono il metodo più diffuso nelle PMI per il buon equilibrio tra sicurezza e semplicità d’uso.

Notifiche push inviate direttamente sullo smartphone dell’utente, che deve confermare o rifiutare il tentativo di accesso. Pratiche, ma vulnerabili a un tipo specifico di attacco — il cosiddetto MFA fatigue — in cui l’attaccante inonda l’utente di richieste fino a ottenere una conferma per errore o esasperazione.

SMS con codice OTP — il metodo più vecchio e il meno sicuro tra quelli comunemente usati. I messaggi SMS possono essere intercettati. Meglio degli SMS senza secondo fattore, ma sconsigliato per accessi ad alto rischio.

Chiavi hardware FIDO2 — token fisici come YubiKey che si collegano via USB o NFC. Sono il metodo più robusto disponibile oggi, resistente al phishing e agli attacchi man-in-the-middle. Consigliato per amministratori di sistema, dirigenti e chiunque gestisca accessi privilegiati.

Biometria — impronta digitale o riconoscimento facciale, solitamente combinati con altri fattori. I dati biometrici non lasciano il dispositivo, il che li rende sicuri anche sotto il profilo della privacy.

Dove va applicata l’MFA in azienda

Un errore comune è applicare l’MFA solo alla posta elettronica o all’accesso al PC, considerandola una misura sufficiente. In realtà, ogni punto di accesso ai sistemi aziendali è una potenziale porta d’ingresso.

L’elenco dei sistemi su cui l’MFA dovrebbe essere attiva include la posta elettronica aziendale, le connessioni VPN, le applicazioni cloud e SaaS, i portali di gestione dell’infrastruttura, i desktop remoti e gli accessi ai server. In uno scenario di lavoro ibrido o smart working esteso, questa lista si allunga ulteriormente.

Un singolo accesso senza MFA è sufficiente per vanificare la protezione di tutti gli altri.

MFA e NIS2: da best practice a obbligo

La direttiva NIS2, in vigore dal 2024 e in piena applicazione nel 2026, richiede esplicitamente l’adozione di misure di autenticazione forte per le organizzazioni nei settori essenziali e importanti. Questo include l’implementazione dell’MFA per l’accesso ai sistemi critici, con obbligo di documentazione e sanzioni fino al 2% del fatturato in caso di inadempienza.

Ma anche le organizzazioni non direttamente soggette alla NIS2 possono trovarsi coinvolte come parte della supply chain di un’azienda soggetta — e in quel caso le stesse garanzie vengono richieste ai fornitori.

Il principale ostacolo all’adozione

Chi lavora con le PMI italiane conosce bene la risposta più comune quando si parla di MFA: “Complica la vita agli utenti.”

È un timore comprensibile, ma spesso sovrastimato. I sistemi di autenticazione moderni sono progettati per essere il meno intrusivi possibile: una notifica push che richiede un tap, un codice che compare automaticamente sull’app, una chiave hardware che si inserisce una volta e funziona in background. Il livello di attrito per l’utente finale è gestibile — e proporzionabile al livello di accesso richiesto.

Quello che invece non è gestibile è il costo di un accesso non autorizzato: dati esfiltrati, sistemi bloccati da ransomware, reputazione compromessa. Il confronto, nella maggior parte dei casi, è sbilanciato in modo piuttosto netto.

Conclusione

L’MFA non è una misura di sicurezza avanzata riservata alle grandi organizzazioni. È il livello minimo di protezione che qualsiasi azienda dovrebbe adottare nel 2026 per i propri accessi digitali.

Non richiede investimenti importanti. Richiede una valutazione di partenza — capire dove sono gli accessi critici, quale metodo è più adatto a ogni contesto, come pianificare un rollout che non blocchi la produttività — e un’implementazione strutturata.

In Kspin affianchiamo le aziende nella valutazione e nella configurazione dei sistemi di autenticazione, dall’analisi degli accessi esistenti all’attivazione dell’MFA su tutti i punti critici dell’infrastruttura. Un intervento che ha un impatto immediato e misurabile sul livello di sicurezza dell’organizzazione.

Contattaci per una valutazione.