Password e autenticazione a due fattori: la guida minima per il lavoro

L'account di lavoro è una chiave: apre la posta, i documenti condivisi, i gestionali e spesso i dati di clienti e cittadini. Chi la ruba non ha bisogno di forzare nessun sistema, perché entra dalla porta principale con il tuo nome. Per questo password e accessi sono il primo punto su cui vale la pena lavorare.

Come scegliere una buona password

La lunghezza conta più della complessità. Una parola corta con un simbolo e un numero, come "Roma2026!", si indovina in fretta perché segue schemi che i programmi dei criminali conoscono bene. Una frase di quattro o cinque parole scollegate tra loro, come "lampada treno salvia gennaio verde", è più facile da ricordare e molto più difficile da indovinare.

Evita sempre:

• nomi, date di nascita, squadre del cuore e altre informazioni che si trovano sui social;
• sequenze di tastiera come "qwerty" o "123456";
• la stessa password con un numero che cambia ogni volta che viene chiesto di aggiornarla.

Una password per ogni servizio

Il rischio più grande non è una password debole, ma una password riutilizzata. Ogni anno milioni di credenziali vengono rubate a siti e servizi di ogni tipo e finiscono in elenchi che circolano tra i criminali. Se usi la stessa password per un sito di acquisti e per l'email di lavoro, il furto avvenuto altrove diventa un problema per il tuo ufficio.

La regola è semplice: la password di lavoro si usa solo per il lavoro, e ogni servizio ne ha una diversa.

Dove conservarle

Nessuno può ricordare decine di password diverse, e non è richiesto. La soluzione è un gestore di password, cioè un programma che le conserva cifrate e le inserisce al posto tuo. Molte organizzazioni ne mettono a disposizione uno: chiedi all'assistenza informatica quale usare.

Da evitare, invece, il foglietto sotto la tastiera, il file "password.xlsx" sul desktop e le note del telefono. Sono i primi posti in cui guarda chi cerca credenziali.

Il secondo fattore: la protezione che fa la differenza

L'autenticazione a due fattori aggiunge un secondo controllo alla password: un codice generato da un'app sul telefono, una notifica da approvare, una chiavetta fisica. Anche se qualcuno ruba la password, senza il secondo fattore non riesce a entrare.

È la misura con il miglior rapporto tra sforzo e risultato. Attivala ovunque sia disponibile, partendo da:

• la posta elettronica, che serve anche a recuperare tutti gli altri account;
• l'accesso da remoto, come VPN e servizi in cloud;
• i gestionali che contengono dati economici o personali.

Non tutti i secondi fattori sono uguali. Le app di autenticazione e le chiavette fisiche sono più sicure dei codici via SMS, che possono essere intercettati o ottenuti con l'inganno. Ma anche l'SMS è molto meglio di niente.

Attenzione alle richieste insistenti

I criminali lo sanno e hanno trovato contromisure. Una delle più diffuse è inviare decine di notifiche di accesso, sperando che tu ne approvi una per esasperazione o per errore. Un'altra è telefonare fingendosi l'assistenza e chiedere di leggere il codice appena arrivato.

Due regole valgono sempre: non approvare mai un accesso che non hai avviato tu e non comunicare mai un codice di verifica a nessuno, nemmeno a chi dice di chiamare dall'ufficio informatico. Se ricevi notifiche che non ti aspetti, qualcuno conosce già la tua password: cambiala subito e avvisa l'assistenza.

In sintesi

Una frase lunga, diversa per ogni servizio, custodita in un gestore di password e protetta da un secondo fattore. Bastano queste quattro abitudini per mettere il tuo account fuori dalla portata della maggior parte degli attacchi.