App authenticator o SMS: qual è la 2FA più sicura?

La verifica in due passaggi (2FA) è quello strato di protezione in più che si frappone tra il tuo account e chiunque provi ad accedervi dopo aver scoperto la password. L'idea è semplice: non basta conoscere la password, bisogna anche dimostrare di avere qualcosa in tuo possesso — di solito il telefono. Ma non tutti i metodi di 2FA offrono lo stesso livello di sicurezza. La domanda più comune è: meglio un'app authenticator come Google Authenticator, oppure un codice ricevuto via SMS?

In questo articolo spieghiamo chiaramente la differenza, e perché consigliamo vivamente di usare un'app authenticator per proteggere il tuo account su Paperino e su qualsiasi altra piattaforma dove gestisci i tuoi fondi.

Come funziona ciascun metodo?

SMS: al momento del login, la piattaforma invia un codice numerico al tuo numero di telefono tramite la rete dell'operatore telefonico. Copi il codice, lo inserisci, e la tua identità viene confermata. Il codice dipende dalla rete dell'operatore per raggiungerti.

App authenticator (TOTP): un'app come Google Authenticator, Authy o Microsoft Authenticator genera un nuovo codice ogni 30 secondi direttamente sul tuo telefono. Questo codice non passa mai attraverso nessuna rete e non ti viene inviato da nessuno — viene calcolato localmente sul tuo dispositivo, a partire da una "chiave segreta" condivisa una sola volta al momento dell'attivazione (tramite un codice QR). Questa differenza fondamentale è il motivo per cui l'app è più sicura.

Il problema principale dell'SMS: il SIM swap

La vulnerabilità più pericolosa della verifica via SMS è l'attacco di SIM swap. In pratica, un malintenzionato convince l'operatore telefonico a trasferire il tuo numero su una nuova SIM in suo possesso — a volte impersonandoti, manipolando un operatore del servizio clienti, oppure sfruttando dati trapelati online. Una volta riuscito, riceve tutti i tuoi SMS, compresi i codici di verifica, e il tuo numero finisce nelle sue mani, non più nelle tue.

I rischi dell'SMS non finiscono qui:

• Intercettazione e deviazione dei messaggi tramite falle nelle vecchie reti di telecomunicazione.
• Phishing: una pagina falsa ti chiede il codice e tu lo inserisci senza rendertene conto.
• Dipendenza dalla copertura di rete: nessun codice arriva se sei fuori copertura o in viaggio con un'altra SIM.
• Malware sul telefono che legge il contenuto dei messaggi.

Perché l'app authenticator è superiore?

Poiché il codice viene generato all'interno del tuo dispositivo, senza bisogno di internet o rete telefonica, chi riesce a rubare il tuo numero non ottiene nulla — i codici non sono legati al tuo numero, ma alla chiave segreta salvata sul tuo dispositivo. Anche in modalità aereo, l'app continua a generare codici validi. Nessuna rete da intercettare, nessun messaggio da deviare.

Questo rende l'app authenticator molto più solida contro la maggior parte degli attacchi comuni, pur restando semplice da usare quanto copiare e incollare un codice.

Confronto rapido

Come attivare l'app authenticator, passo dopo passo

1. Scarica un'app affidabile: Google Authenticator, Authy o Microsoft Authenticator.
2. Dalle impostazioni di sicurezza del tuo account, scegli di attivare la verifica in due passaggi tramite "app authenticator".
3. Scansiona il codice QR mostrato a schermo con l'app.
4. Inserisci il codice a 6 cifre per confermare il collegamento.
5. Salva i codici di backup in un luogo sicuro, diverso dal telefono (su carta o in un gestore di password affidabile).

Consigli d'oro per la sicurezza del tuo account

• Non condividere mai il codice di verifica con nessuno, per quanto ufficiale possa sembrare la richiesta. Nessun vero operatore del supporto te lo chiederà mai.
• Usa una password forte e unica per ogni account — la 2FA è uno strato in più, non un sostituto di una buona password.
• Fai attenzione ai link di phishing; controlla sempre l'indirizzo del sito prima di inserire qualsiasi codice.
• Se possibile, attiva la 2FA prima di tutto sulla tua email, perché spesso è la chiave di recupero di tutti gli altri account.

In sintesi

Entrambi i metodi sono molto meglio che affidarsi alla sola password. Ma se devi scegliere — e la scelta conta quando si tratta dei tuoi fondi — l'app authenticator è l'opzione più forte e sicura, perché è al riparo dagli attacchi di SIM swap e dall'intercettazione dei messaggi. Considera l'SMS solo come riserva quando non hai alternative, non come prima linea di difesa.

Su Paperino consigliamo a ogni utente di attivare la verifica in due passaggi tramite un'app authenticator per proteggere il proprio saldo. Un passaggio che richiede due minuti, ma che può risparmiarti una perdita irrecuperabile.