Fermare il phishing sul nascere: perché l'autenticazione a più fattori è la tua migliore difesa

By Mirko Peters · 2026-08-12

Bentornato sul blog del podcast! Se ascolti regolarmente, sai che parliamo spesso di gestione delle identità e degli accessi. Di recente abbiamo pubblicato un vero e proprio must-…

Automatically translated with AI from the original post. Read the English original

Bentornato sul blog del podcast! Se sei un ascoltatore abituale, sai che parliamo spesso di gestione delle identità e degli accessi. Di recente abbiamo pubblicato un episodio assolutamente da non perdere, Lock Down Microsoft Entra ID Before Phishing Hits. Se non lo hai ancora ascoltato, fai un favore a te stesso e mettilo in coda dopo aver finito di leggere questo approfondimento. Oggi approfondiamo proprio quella conversazione. Vediamo nel dettaglio perché le vecchie password statiche non sono più sufficienti, come l'autenticazione a più fattori può ribaltare completamente la situazione a favore dei difensori e cosa devi fare subito per proteggere il tuo ambiente Microsoft Entra ID.

Perché le password tradizionali non bastano più

Affrontiamo l'elefante nella stanza: la password tradizionale è morta. Be', tecnicamente barcolla ancora e continua a causare caos, ma è ufficialmente l'anello più debole della catena di sicurezza. Per decenni ci siamo affidati a stringhe complesse di lettere, numeri e simboli per proteggere la nostra vita digitale. Abbiamo chiesto agli utenti di ricordare combinazioni impossibili, di cambiarle ogni novanta giorni e di non scriverle mai da nessuna parte. Non sorprende che la psicologia umana si sia ribellata. Le persone hanno iniziato a riutilizzare le stesse password tra account personali e professionali, a scriverle sui post-it o a creare varianti così prevedibili che uno script elementare può decifrarle in pochi secondi.

I criminali informatici non hanno più bisogno di consumare cicli di CPU per il brute force delle password, dato che il social engineering e il phishing sono molto più semplici. Le campagne di phishing si sono evolute ben oltre le email goffe e piene di refusi dei primi anni Duemila. Oggi gli attaccanti usano tattiche sofisticate, instradamenti complessi e framework di tipo adversary-in-the-middle per intercettare le credenziali in tempo reale. Quando un dipendente consegna la propria password su una replica convincente di una pagina di accesso, l'attaccante ottiene immediatamente le chiavi del regno. Affidarsi alla sola password equivale a chiudere la porta di casa con uno spago. Può tenere fuori una persona onesta, ma chiunque abbia intenzioni malevole la supererà senza difficoltà.

Come l'autenticazione a più fattori blocca oltre il 99% dei tentativi di compromissione degli account

Se le password non bastano, qual è la soluzione? Ecco l'autenticazione a più fattori, o MFA. Chiedendo agli utenti di fornire due o più elementi distinti per verificare la propria identità, la MFA cambia radicalmente i conti dal punto di vista degli attaccanti. Anche se un malintenzionato ruba la password di un utente, si scontra con un muro quando il sistema richiede un secondo fattore.

I dati parlano da soli. Ricerche approfondite in materia di sicurezza mostrano costantemente che un'MFA solida può bloccare oltre il 99% dei tentativi di compromissione degli account. Pensaci un attimo. Attivare semplicemente la MFA elimina la stragrande maggioranza degli attacchi automatizzati e mirati in una notte. La MFA si basa generalmente su una combinazione di qualcosa che conosci (la tua password), qualcosa che possiedi (un telefono, un token hardware) e qualcosa che sei (un'impronta digitale o una scansione del volto). Se configurata correttamente in una piattaforma come Microsoft Entra ID, la MFA trasforma la tua postura di sicurezza da bersaglio aperto a castello fortificato.

Esplorare i metodi resistenti al phishing, come le chiavi FIDO2

Non tutte le MFA sono uguali. Sebbene le notifiche push tradizionali e i codici SMS siano nettamente superiori alle sole password, restano vulnerabili ad attacchi sofisticati come l'MFA fatigue e le tecniche di phishing adversary-in-the-middle più avanzate. È qui che entrano in gioco i metodi di autenticazione resistenti al phishing.

I metodi MFA resistenti al phishing, come le chiavi di sicurezza FIDO2 e l'autenticazione basata su certificati, associano la sessione di autenticazione all'origine specifica del sito o del servizio a cui si accede. Se un utente viene indotto a visitare una falsa pagina di accesso di phishing, una chiave FIDO2 semplicemente non rilascia la credenziale, perché il dominio non corrisponde. La chiave riconosce che la destinazione è falsa e si rifiuta di collaborare. Integrare chiavi hardware come le YubiKey oppure sfruttare gli autenticatori di piattaforma come Windows Hello for Business garantisce che, anche se gli utenti vengono presi di mira dalle campagne di phishing più convincenti in circolazione, gli attaccanti se ne vadano a mani vuote.

Proteggere Microsoft Entra ID dalle minacce moderne

Proteggere l'organizzazione non significa solo spuntare la casella dell'MFA. Serve una strategia completa che sfrutti le funzionalità di sicurezza avanzate integrate in Microsoft Entra ID. Per fermare davvero il phishing, devi costruire una difesa a più livelli.

Inizia configurando i Criteri di accesso condizionale basati sul rischio. Questi criteri valutano in tempo reale segnali come l'identità dell'utente, la conformità del dispositivo, la posizione e il comportamento di accesso. Se un utente accede da un Paese sconosciuto o da un dispositivo non gestito, Entra ID può aumentare automaticamente la sicurezza richiedendo l'MFA oppure bloccare del tutto il tentativo di accesso. Poi guarda a Privileged Identity Management (PIM) per eliminare i diritti amministrativi permanenti. Con l'accesso just-in-time, gli amministratori ottengono autorizzazioni elevate solo quando ne hanno bisogno e solo per un periodo strettamente limitato. Combina il tutto con la Valutazione continua dell'accesso per revocare immediatamente i token quando viene rilevata una minaccia: così crei un ambiente che si adatta dinamicamente al rischio.

Conclusioni

Il panorama delle minacce cambia più velocemente che mai, ma non sei impotente. Abbandonando le vecchie password tradizionali, meno sicure, e adottando un'autenticazione a più fattori robusta e resistente al phishing, puoi chiudere la porta alla stragrande maggioranza degli attacchi informatici. Proteggere Microsoft Entra ID richiede attenzione costante, strumenti moderni come l'accesso condizionale e PIM, e un impegno al miglioramento continuo. Se vuoi approfondire i passaggi pratici per blindare la tua infrastruttura di identità, ascolta l'episodio complementare sul podcast: Lock Down Microsoft Entra ID Before Phishing Hits. Resta al sicuro, continua a formare i tuoi utenti, e ci vediamo nel prossimo episodio!