Autenticazione a più fattori

Secondo fattore sul canale che ogni persona usa già

Google Authenticator, Microsoft Authenticator, SMS, WhatsApp, Telegram, e-mail o passkey. Si richiede per profilo, non a tutti allo stesso modo, e ogni accesso resta registrato con il fattore utilizzato.

Cosa risolve il secondo fattore e cosa no

Una password trapelata smette di essere un problema grave non appena davanti c’è un secondo fattore. L’autenticazione a più fattori combina prove di categorie diverse —qualcosa che si sa, qualcosa che si possiede e qualcosa che si è— e Kimobox la gestisce sul canale che ogni persona usa già: app di codici, SMS, WhatsApp, Telegram, e-mail o passkey. Si richiede per profilo, con codici di recupero e registro di ogni accesso, perché imporla ovunque e a tutti è il modo più rapido per far sì che qualcuno si annoti il codice su un foglietto.

Contenuto revisionato il 17 ottobre 2026

Quadro giuridico: Art. 32 del GDPR Impone misure tecniche adeguate al rischio; non nomina l’MFA, ma è la misura standard per l’accesso remoto ai dati personali
Settore pubblico (Spagna): Esquema Nacional de Seguridad Il RD 311/2022 rafforza il meccanismo di autenticazione in base alla categoria del sistema
Norma di sicurezza: ISO/IEC 27001:2022, controllo 8.5 Autenticazione sicura, tra i 93 controlli dell’Appendice A
Codici temporanei: RFC 6238 (TOTP) Sei cifre calcolate sul dispositivo a partire dall’orologio; funzionano senza connessione
Codici via SMS: Canale limitato NIST SP 800-63B lo colloca sotto gli altri fattori per il rischio di duplicazione della SIM
Passkey: WebAuthn (W3C) Chiave crittografica legata al dispositivo: nessun codice da intercettare né da riutilizzare
Le tre categorie: Conoscenza, possesso e inerenza La stessa classificazione usata dal Regolamento delegato (UE) 2018/389 per l’autenticazione forte del cliente

App di autenticazione

Google Authenticator, Microsoft Authenticator, Authy o 1Password: sei cifre che cambiano ogni trenta secondi, calcolate sullo smartphone stesso e senza bisogno di copertura.

SMS, WhatsApp e Telegram

Codice monouso sul canale che la persona ha già aperto. Utile per il personale di negozio, cantiere o magazzino senza e-mail aziendale.

E-mail

Il fattore d’ingresso più semplice: codice alla casella verificata, con scadenza breve e un solo tentativo per codice.

Passkey e chiavi FIDO2

Autenticazione con WebAuthn tramite impronta, volto o chiave fisica. Non c’è nessun codice da intercettare né da digitare.

Policy per profilo

Obbligatorio per amministrazione e dati personali, facoltativo per la consultazione. La policy si definisce per ruolo, non persona per persona.

+ info

Registro di ogni accesso

Chi è entrato, quando, da dove e con quale fattore. Restano registrati anche i tentativi falliti, che è dove si vedono i problemi.

+ info

Dove si richiede

Azioni che conviene proteggere con un secondo fattore

Accesso al pannello di amministrazione e alla gestione di utenti e permessi
Consultazione di buste paga, contratti e dati personali nel portale del dipendente
Firma di documenti e approvazione di spese sopra un certo importo
Esportazione o download massivo di documentazione
Accesso da una rete, un dispositivo o un paese insoliti
Recupero della password e modifica dell’e-mail o del telefono di contatto

Esempi reali

Tre situazioni in cui il secondo fattore fa la differenza

Industria · amministrazione della piattaforma

Quattro persone con permessi di amministrazione

Prima Un unico account amministratore condiviso in un password manager. Quando cambia una configurazione, nessuno sa dire chi l’abbia cambiata, e l’uscita di una di quelle quattro persone obbliga a cambiare la password per tutti.

Dopo Un utente per persona con secondo fattore obbligatorio sul profilo di amministrazione. Il registro conserva nome, ora e canale di verifica, e un’uscita si risolve disattivando un utente.

Retail · personale senza e-mail aziendale

Verificare chi non ha una casella aziendale

Prima Il secondo fattore via e-mail non arriva a nessuno: il personale di negozio non ha un account aziendale e usa il telefono personale per consultare i turni.

Dopo Codice via WhatsApp allo stesso numero con cui ricevono già i turni, senza installare nessuna nuova app né creare una casella che poi andrebbe gestita.

Servizi · credenziali trapelate

Una password riutilizzata compare in una violazione altrui

Prima Qualcuno entra con la password corretta da un paese in cui l’azienda non opera. L’accesso sembra legittimo e viene scoperto settimane dopo, esaminando un download massivo di documentazione.

Dopo Il tentativo si ferma al secondo fattore, genera un avviso al titolare dell’account e all’amministratore e resta nel registro dei tentativi falliti con il suo indirizzo di origine.

Lessico

I termini che si confondono quando si parla di MFA

Fattore di conoscenza: Qualcosa che la persona sa: la password o un PIN. È il fattore più facile da rubare, perché si può copiare senza che il titolare se ne accorga.
Fattore di possesso: Qualcosa che la persona possiede: lo smartphone con l’app dei codici, la SIM che riceve l’SMS o una chiave di sicurezza fisica.
Fattore di inerenza: Qualcosa che la persona è: impronta digitale o riconoscimento facciale. Nelle passkey serve a sbloccare la chiave del dispositivo, senza che il dato biometrico ne esca.
TOTP: Password monouso basata sul tempo, definita nell’RFC 6238. Dispositivo e server condividono una chiave e calcolano lo stesso codice a partire dall’orologio, senza scambiarsi nulla.
OTP: Codice monouso. Vale per un’autenticazione e scade in pochi minuti, che arrivi via SMS, WhatsApp, Telegram o e-mail.
Passkey: Credenziale crittografica che sostituisce la password. La chiave privata non esce dal dispositivo e il servizio conserva solo quella pubblica, quindi una violazione del server non espone nulla di riutilizzabile.
Duplicazione fraudolenta della SIM: Tecnica con cui un attaccante ottiene un duplicato della SIM della vittima e ne riceve gli SMS. È il motivo per cui il codice via messaggio è considerato il più debole tra i fattori disponibili.
Codici di recupero: Elenco di codici monouso consegnato al momento dell’attivazione del secondo fattore. È la via d’uscita prevista quando si perde il dispositivo, e conviene conservarlo altrove.
Single sign-on (SSO): Meccanismo con cui un’unica identità aziendale dà accesso a più applicazioni. È compatibile con l’MFA: il secondo fattore si chiede una sola volta, presso il fornitore di identità.
NIS2: Direttiva (UE) 2022/2555 sulla cibersicurezza, che sostituisce la Direttiva NIS del 2016 e classifica i soggetti obbligati in essenziali e importanti. Tra le misure di gestione dei rischi che impone figura l’uso di soluzioni di autenticazione a più fattori o continua (art. 21.2.j), e gli incidenti significativi si notificano con un preallarme entro ventiquattro ore e una notifica entro settantadue (art. 23.4).

Domande frequenti

Cosa ci chiedono prima di iniziare

Che cos’è l’autenticazione a più fattori?

È la richiesta di due o più prove d’identità di categorie diverse: qualcosa che si sa (password), qualcosa che si possiede (smartphone, chiave) e qualcosa che si è (impronta, volto). Due password di seguito non sono autenticazione a più fattori, perché appartengono entrambe alla stessa categoria.

Quali canali supporta Kimobox?

App TOTP come Google Authenticator o Microsoft Authenticator, codice via SMS, WhatsApp, Telegram o e-mail, e passkey o chiavi FIDO2 tramite WebAuthn. Ogni persona può registrare più di un metodo e sceglierne uno di riserva.

La legge impone l’MFA?

Nessuna norma spagnola lo richiede con questo nome a tutte le aziende. L’art. 32 del GDPR impone misure tecniche adeguate al rischio, e per l’accesso remoto ai dati personali il secondo fattore è oggi la misura standard. Nel settore pubblico, lo Esquema Nacional de Seguridad rafforza il meccanismo di autenticazione in base alla categoria del sistema, e la ISO/IEC 27001:2022 lo prevede nel controllo 8.5 sull’autenticazione sicura.

Il codice via SMS è sicuro?

È molto meglio che non avere un secondo fattore e peggio degli altri. La guida NIST SP 800-63B classifica la rete telefonica come canale limitato per il rischio di duplicazione fraudolenta della SIM e di intercettazione. Va bene come porta d’ingresso o come metodo di riserva; per i profili con permessi ampi conviene un’app TOTP o una passkey.

Cosa succede se qualcuno perde lo smartphone?

Quando si attiva il secondo fattore vengono generati codici di recupero monouso da conservare a parte. Se mancano anche quelli, un amministratore può reimpostare il fattore, e la reimpostazione viene registrata con autore e motivo, perché è proprio il punto da cui cercherebbe di entrare un attaccante.

Funziona senza copertura né dati?

Le app TOTP sì: il codice si calcola sul dispositivo a partire da una chiave condivisa e dall’orologio, secondo l’RFC 6238, senza alcuna connessione. SMS, WhatsApp, Telegram ed e-mail richiedono la rete.

Si può richiedere solo ad alcuni profili?

Sì, ed è consigliabile. Chiedere un secondo fattore a tutti per consultare il calendario delle ferie genera rifiuto e serve a poco; richiederlo a chi amministra gli utenti o scarica buste paga, invece, sì.

Cosa si conserva del telefono della persona?

Il numero che la persona stessa registra per ricevere il codice, per quella finalità e nessun’altra. Non si usa per comunicazioni commerciali né si cede a terzi, e viene eliminato quando si rimuove quel metodo di verifica.

2FA e MFA sono la stessa cosa?

Il doppio fattore è il caso più comune di autenticazione a più fattori: esattamente due. MFA è il termine generale, che ammette tre o più fattori quando il rischio lo giustifica.

Attiva il secondo fattore nella demo e provalo

Ti mostriamo il modulo in funzione con dati simili ai tuoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

Regolamento (UE) 2016/679 (GDPR), art. 32: sicurezza del trattamento EUR-Lex · 27 aprile 2016
RFC 6238: TOTP, algoritmo di password monouso basata sul tempo IETF · maggio 2011
NIST SP 800-63B, Digital Identity Guidelines: autenticazione e gestione del ciclo di vita NIST · giugno 2017
Web Authentication (WebAuthn) Level 2, raccomandazione del W3C W3C · 8 aprile 2021
Regolamento delegato (UE) 2018/389, autenticazione forte del cliente (art. 4) EUR-Lex · 13 marzo 2018
Real Decreto 311/2022, Esquema Nacional de Seguridad (schema nazionale di sicurezza spagnolo) BOE-A-2022-7191 · 4 maggio 2022
Direttiva (UE) 2022/2555 (NIS2), artt. 21 e 23 EUR-Lex · 14 dicembre 2022

Autenticazione a più fattori con TOTP, SMS, WhatsApp, Telegram e passkey

Kimobox include l’autenticazione a più fattori con app di codici temporanei compatibili con lo standard TOTP —Google Authenticator, Microsoft Authenticator, Authy o 1Password—, invio di codici monouso via SMS, WhatsApp, Telegram ed e-mail, e autenticazione senza password tramite passkey e chiavi di sicurezza FIDO2 conformi a WebAuthn.

La verifica in due passaggi si configura per profilo utente, con codici di recupero, metodo di riserva, reimpostazione tracciata e registro completo di accessi e tentativi falliti, in linea con l’art. 32 del Regolamento generale sulla protezione dei dati e con il controllo 8.5 della norma ISO/IEC 27001:2022.