MFA: perché è obbligatorio e come implementarlo senza far impazzire i dipendenti

Facciamo i conti con un dato semplice: la password, da sola, è il punto debole più sfruttato di qualsiasi azienda. Viene riutilizzata su più siti, scritta su un post-it, indovinata, o — molto più spesso — consegnata senza accorgersene rispondendo a un'email di phishing. Una volta che un criminale ha le credenziali di un tuo dipendente, entra come se fosse lui. Nessun allarme, nessun forzaggio: usa la porta principale con le chiavi giuste.

L'MFA — Multi-Factor Authentication, autenticazione a più fattori — esiste proprio per questo: aggiungere un secondo controllo, così che la sola password non sia più sufficiente. Microsoft ha stimato più volte che attivare l'MFA blocca oltre il 99% degli attacchi automatizzati agli account. È una delle pochissime misure di sicurezza con un rapporto costo/beneficio così sbilanciato a favore. E nel 2026 non è più nemmeno una scelta libera.

Cosa significa davvero "più fattori"

Un fattore di autenticazione è un modo di dimostrare che sei tu. Si dividono in tre famiglie:

• Qualcosa che sai — la password, il PIN. È il fattore più debole, perché si può rubare a distanza senza che tu te ne accorga.
• Qualcosa che hai — lo smartphone con l'app di autenticazione, una chiavetta fisica. Per usarlo, un attaccante dovrebbe avere fisicamente l'oggetto.
• Qualcosa che sei — l'impronta digitale, il riconoscimento del volto. Difficile da copiare e comodo da usare.

L'MFA richiede di combinare almeno due famiglie diverse. Password + codice dall'app, oppure password + impronta. Il punto è che i due fattori devono essere indipendenti: se rubo la password con un'email truffa, non ho automaticamente anche il tuo telefono in tasca. È lo stesso principio della ridondanza nel backup — una protezione vale solo se non condivide il punto di rottura con ciò che protegge.

Perché ormai è "obbligatorio"

Tra virgolette, perché non esiste una singola legge che dica "devi usare l'MFA". Ma il cerchio si è stretto da più parti contemporaneamente, e oggi farne a meno significa essere fuori norma e fuori mercato:

• La direttiva NIS2 impone misure di gestione del rischio cyber a moltissime PMI, e l'autenticazione forte è esplicitamente tra le misure di base attese. In caso di incidente, non averla è un'aggravante.
• Le assicurazioni cyber non emettono più (o non risarciscono) polizze se l'MFA non è attivo sugli accessi critici. È diventata una precondizione contrattuale, non un plus.
• I fornitori cloud lo stanno rendendo predefinito. Microsoft ha avviato l'attivazione obbligatoria dell'MFA per l'accesso ai portali di amministrazione di Microsoft 365: di fatto la scelta non è più "se", ma "come".
• I tuoi clienti più grandi lo chiedono. Sempre più capitolati e questionari di sicurezza fornitori includono la domanda "usate l'MFA?". Un "no" può escluderti da una gara.

Quali metodi scegliere (dal migliore al peggiore)

Non tutti gli MFA sono uguali. Ecco l'ordine di robustezza, dal più sicuro al meno — utile per decidere dove investire:

1. Chiavi di sicurezza fisiche / passkey (FIDO2). Una chiavetta hardware o una passkey legata al dispositivo. È il metodo più resistente al phishing in assoluto, perché il fattore è legato crittograficamente al sito vero e non può essere "girato" a un sito clone. Ideale per amministratori e ruoli critici.
2. App di autenticazione con approvazione push. Microsoft Authenticator e simili: ti arriva una notifica "Stai cercando di accedere? Approva". Comodo e sicuro, soprattutto se l'app chiede di digitare un numero mostrato a schermo (number matching), che impedisce le approvazioni distratte.
3. App di autenticazione con codice a tempo (TOTP). Il codice a 6 cifre che cambia ogni 30 secondi. Solido, funziona anche senza connessione dati, ma richiede di digitare manualmente.
4. SMS o chiamata. Meglio di niente, ma è il fattore più debole: gli SMS si possono intercettare o dirottare (SIM swap). Usalo solo come ripiego dove non c'è alternativa, mai per gli account di amministrazione.

Per la stragrande maggioranza delle PMI il punto di equilibrio è l'app di autenticazione con push e number matching per tutti, più chiavi fisiche per chi ha i privilegi più alti. Se usi Microsoft 365, hai già Microsoft Authenticator incluso: non serve comprare nulla.

Il vero ostacolo: i dipendenti, non la tecnologia

Attivare l'MFA tecnicamente richiede un pomeriggio. Farlo accettare senza una sollevazione richiede metodo. Le obiezioni sono sempre le stesse — "rallenta", "devo avere il telefono", "è una scocciatura" — e quasi tutte nascono da come viene introdotto, non da cosa fa. Ecco come evitare la rivolta:

1. Spiega il perché, con un esempio concreto. Non "ce lo chiede la sicurezza", ma "se qualcuno ruba la tua password, senza questo entra nella tua posta e scrive ai clienti a nome tuo". Le persone accettano un piccolo fastidio quando capiscono da cosa le protegge — anche personalmente, perché lo stesso metodo protegge i loro account privati.
2. Riduci la frequenza con cui viene chiesto. Nessuno deve fare l'MFA a ogni apertura della posta. Configurando le sessioni e i dispositivi attendibili, sul computer aziendale di sempre il secondo fattore viene chiesto raramente — tipicamente solo da un dispositivo nuovo, da fuori ufficio o dopo un certo tempo. Il 90% del fastidio percepito sparisce con una buona configurazione.
3. Offri più di un metodo. Chi non vuole usare il telefono personale può avere una chiavetta fisica. Chi cambia spesso telefono apprezza la passkey. Dare una scelta toglie l'argomento "mi obbligate a installarvi roba sul mio cellulare".
4. Pensa ai casi limite prima, non dopo. Telefono dimenticato a casa, smarrito, cambiato: serve una procedura di recupero chiara (un secondo metodo registrato, o un canale per chiedere lo sblocco) e qualcuno che possa rimetterti in pista in pochi minuti. È qui che senza preparazione l'MFA diventa odiato.
5. Parti da un gruppo pilota. Attivalo prima su pochi utenti collaborativi, raccogli gli intoppi reali, sistema la procedura, poi estendi. Un rollout a tappeto su tutti nello stesso giorno è la ricetta per intasare il telefono dell'help desk.
6. Comunica le date e accompagna. Una mail con preavviso, una mini-guida con screenshot, e una persona raggiungibile il giorno dell'attivazione. Dieci minuti di affiancamento valgono più di dieci pagine di manuale.

Dove attivarlo per primo

Se non puoi fare tutto in un colpo, segui le priorità. L'MFA va messo prima dove farebbe più danno un accesso rubato:

• Gli account di amministrazione di Microsoft 365 e di qualsiasi sistema. Sono le chiavi del regno: qui l'MFA non è negoziabile, e meglio con chiave fisica.
• La posta elettronica di tutti. È il bersaglio numero uno, perché da lì si reimpostano le password di tutto il resto e si lanciano le truffe interne.
• Gli accessi dall'esterno — VPN, desktop remoto, gestionali in cloud. Tutto ciò che è raggiungibile da fuori ufficio è esposto e va protetto con un secondo fattore. È il complemento naturale di un approccio Zero Trust o Conditional Access: l'identità verificata diventa il vero perimetro.
• I gestionali con dati sensibili — paghe, contabilità, dati dei clienti. Ovunque ci sia un dato che non vuoi veder finire altrove.

MFA non vuol dire "a posto per sempre"

Attenzione a un equivoco diffuso: l'MFA alza enormemente l'asticella, ma non è invincibile. Esistono attacchi che provano a aggirarlo — il MFA fatigue, in cui l'attaccante bombarda di richieste di approvazione sperando che la vittima, esasperata, prema "approva"; o i siti clone che fanno da intermediari per rubare anche il codice. Per questo contano i dettagli giusti: il number matching che impedisce le approvazioni a caso, i metodi resistenti al phishing per i ruoli critici, e regole di accesso che valutano da dove e con quale dispositivo ci si collega. L'MFA è un pilastro, non l'intero edificio: va affiancato a formazione, posta filtrata e dispositivi gestiti (con strumenti come Microsoft Intune e Defender).

In sintesi

L'MFA è la singola misura che, da sola, abbatte di gran lunga il rischio più comune e più sfruttato: il furto di credenziali. Tra NIS2, assicurazioni e fornitori cloud, è ormai un requisito di fatto, non un'opzione. La tecnologia è semplice e spesso già inclusa in quello che paghi; la vera partita si gioca sull'adozione — spiegare il perché, ridurre il fastidio, dare alternative, preparare i casi limite e partire in piccolo. Fatto così, dopo due settimane nessuno ci pensa più, e tu hai chiuso la porta più usata dai criminali.

Se vuoi attivare l'MFA in azienda senza intasare l'help desk e senza scontentare nessuno, scrivici: partiamo da una mappa dei tuoi accessi, scegliamo i metodi giusti per ruolo, configuriamo le sessioni così da chiederlo il meno possibile e accompagniamo il personale nel rollout. Lo facciamo già su Microsoft 365 con Authenticator, regole di accesso e chiavi fisiche per gli amministratori — niente sovradimensionamenti, solo ciò che serve a te.

Articoli collegati: Phishing: 7 segnali per riconoscerlo prima di cliccare · VPN, Zero Trust o Conditional Access · Data breach: i primi 30 minuti che fanno la differenza