In una riga: quasi tutti gli account “rubati” che mi capita di sistemare avevano una password riciclata, nessuna verifica in due passaggi e un telefono non aggiornato. Tre cose, tutte gratuite, che si sistemano in un’ora e chiudono il novanta per cento dei problemi.
1. Aggiornare, sempre, tutto
Gli aggiornamenti non servono “ad avere le novità”: chiudono buchi che qualcuno sta già usando. Un telefono o un PC che non riceve più aggiornamenti è un’auto senza freni che sembra funzionare benissimo. Regola: aggiornamenti automatici attivi su telefono, computer e browser, e quando un dispositivo smette di riceverli si cambia sistema o si cambia dispositivo.
Se hai ancora Windows 10, è ora di aggiornare. Microsoft non rilascia più aggiornamenti di sicurezza dal 14 ottobre 2025: ogni falla scoperta da allora resta aperta. Esiste una proroga di un anno, legata all’account Microsoft o a pagamento, ma scade a ottobre 2026 e non è una soluzione, è un rinvio. Il consiglio è uno: se il PC regge Windows 11, aggiorna adesso, è gratuito e si fa da Windows Update o con lo strumento di Microsoft. Se il PC non è compatibile, non è da buttare: ho scritto come rimetterlo in servizio con Linux. Restare su Windows 10 “perché funziona” è l’unica scelta sbagliata. Per i telefoni vale lo stesso principio: la data di fine aggiornamenti è il primo criterio d’acquisto.
2. La verifica in due passaggi, che tutti chiamano MFA
MFA vuol dire che per entrare servono due cose: qualcosa che sai, la password, e qualcosa che hai, il telefono. Chi ti ruba la password da un sito bucato non ha il tuo telefono, e resta fuori. È il singolo intervento più efficace che esista, e la maggior parte delle persone non lo attiva perché “è una scocciatura”. Lo è meno di quanto pensi: con “ricorda questo dispositivo” il codice te lo chiede una volta ogni tanto.
- Da attivare prima di tutto: email principale, banca, Amazon, i social, il gestore delle password se lo usi.
- Meglio l’app che l’SMS. Il codice via SMS si può intercettare con un duplicato della SIM; l’app di autenticazione, Google Authenticator o quella integrata nell’iPhone, no. La notifica “sei tu?” sul telefono, che Google e Apple usano, è ancora meglio.
- I codici di backup vanno stampati e messi con i documenti. Sono quelli che ti salvano quando cambi telefono senza pensarci.
3. Le passkey: la password che non si può rubare
La passkey è il passo successivo: al posto della password, il sito ti riconosce con il volto o l’impronta sul tuo telefono. Non c’è niente da ricordare e niente da rubare, perché la chiave vera non lascia mai il dispositivo e funziona solo sul sito giusto: un sito finto che imita la banca non riceve nulla. Google, Apple, Amazon, PayPal e le banche più attente la supportano già. Quando un servizio ti propone “crea una passkey”, dì sì: si sincronizza tra i tuoi dispositivi tramite iCloud o Google, e la password resta come riserva.
Per chi vuole il massimo, o gestisce account di lavoro importanti, esiste la versione fisica: una chiavetta di sicurezza da tenere sul portachiavi. La tocchi e sei dentro. Ne vale una da tenere e una di scorta in cassetto.
Chiavette di sicurezza YubiKey
Un account solo come porta d’ingresso
Il consiglio che do sempre e che semplifica tutto il resto: scegli un account principale, per la maggior parte delle persone quello Google, blindalo con tutto quello che hai letto sopra, e usalo per entrare ovunque con “Accedi con Google”. Vantaggi:
- Una sola password da proteggere davvero, invece di cinquanta riciclate.
- Se un sito viene bucato, non hanno la tua password: hanno un permesso che revochi dal pannello Google in un clic.
- La verifica in due passaggi e la passkey le configuri una volta e valgono per tutti i servizi collegati.
- Dal pannello “Sicurezza” del tuo account vedi tutti i siti a cui hai dato accesso e tutti i dispositivi collegati: è la tua mappa, e ogni tanto si pulisce.
Il rovescio è ovvio: se perdi quell’account, perdi tutto. Per questo vale la pena dedicargli l’ora di cui parlo sopra, aggiungere un numero e un’email di recupero, e stampare i codici di backup. Un account solo, ma fatto bene, è più sicuro di cinquanta fatti male.
Quando invece no
- Per la banca e per l’email stessa non si usa “Accedi con Google”: lì l’account è proprio, con la sua verifica in due passaggi.
- Se in famiglia si condivide un account per comodità: si smette. Ogni persona il suo, e per le cose in comune esistono i gruppi famiglia di Google e Apple.
