Guida all'autenticazione a due fattori per Instagram, X e Facebook

Perché gli account dei social media vengono rubati

Gli account dei social media vengono rubati di continuo, e non per caso. Gli aggressori sanno che un profilo dirottato è una risorsa già pronta: arriva con anni di fiducia già incorporati.

I professionisti della sicurezza chiamano questo fenomeno account takeover. Una volta dentro, un ladro può inviare messaggi ai tuoi follower con link truffaldini, impersonarti per ottenere denaro o informazioni, oppure semplicemente vendere l'handle. Gli username consolidati su Instagram e X hanno un reale valore di rivendita perché sembrano credibili.

Due abitudini rendono questi dirottamenti facili:

• Riutilizzo delle password. Se una password che usi altrove finisce in una violazione di dati, gli aggressori la provano prima sui tuoi account social. Spesso funziona.
• Phishing. Un'email o un DM convincente con "tentativo di accesso rilevato" porta a una pagina di login falsa. Digiti la tua password; l'aggressore la raccoglie.

Il costo della perdita di un account va oltre il disagio. Puoi essere escluso dai contatti e dalle community, la tua reputazione può risentire di truffe inviate a tuo nome, e le pagine aziendali collegate al profilo possono perdere il loro pubblico da un giorno all'altro.

Cosa fa davvero l'autenticazione a due fattori

L'autenticazione a due fattori (2FA) combina due tipi diversi di prova:

• Qualcosa che conosci — la tua password.
• Qualcosa che hai — un codice da un'app, una chiave hardware o il tuo telefono.

Un ladro che indovina o ruba la tua password fallisce comunque il secondo controllo. Senza il tuo telefono o la tua chiave, la password da sola è inutile. Quella singola barriera in più ferma la maggior parte dei takeover di account, che si basano su password riutilizzate o trapelate.

I limiti onesti

La 2FA non è un campo di forza:

• Le approvazioni push possono essere abusate. Gli aggressori possono inviare ripetute richieste di accesso sperando che tu tocchi "Sì" solo per farli smettere. Non approvare mai una richiesta che non hai attivato tu stesso.
• I codici possono essere oggetto di phishing. Una pagina di login falsa convincente può chiedere la tua password e il tuo codice monouso, per poi usarli entrambi immediatamente. La 2FA non può impedirti di consegnarli entrambi.

Abbina la 2FA a uno scetticismo di base: controlla l'indirizzo web prima di accedere e tratta le richieste di accesso inattese come un segnale d'allarme, non come un fastidio da ignorare.

Scegliere il secondo fattore

Non tutti i secondi fattori sono uguali. Scegliere quello giusto conta più di scegliere il più veloce.

App di autenticazione (la scelta predefinita sensata)

App come Google Authenticator, Microsoft Authenticator o Authy generano codici sul telefono. Funzionano offline e i codici sono legati al dispositivo, non al numero di telefono. Questo li rende resistenti agli attacchi di SIM swapping, in cui un malintenzionato inganna il tuo operatore mobile facendo trasferire il tuo numero sulla sua SIM. Per la maggior parte delle persone, questa è la scelta giusta.

Codici SMS

I codici inviati via SMS sono meglio di nessuna 2FA, ma condividono la debolezza di cui sopra: si basano sul tuo numero di telefono. Se qualcuno dirotta il tuo numero, può intercettare i tuoi codici. Usa gli SMS solo quando non viene offerto altro.

Chiavi di sicurezza hardware

Piccole chiavi USB o NFC come YubiKey offrono la protezione più forte disponibile. La chiave deve essere fisicamente presente per accedere, quindi i siti di phishing non possono rubarla. Vale la spesa per account aziendali, di creator o di alto profilo.

Passkey

Quando una piattaforma offre le passkey, sono una valida alternativa più recente: resistenti al phishing e legate al tuo dispositivo, senza codici da digitare.

Attivare l'autenticazione a due fattori (2FA) su Instagram, X e Facebook

Tutte e tre le piattaforme nascondono l'impostazione in un posto diverso. Ecco il percorso attuale per ciascuna.

Instagram

1. Apri il tuo profilo, tocca il menu, poi Impostazioni e privacy.
2. Tocca Centro account, poi Password e sicurezza.
3. Seleziona Autenticazione a due fattori e scegli il tuo account.
4. Scegli un metodo: app di autenticazione, codici SMS o codici WhatsApp. L'app di autenticazione è la scelta più solida — funziona offline e non può essere intercettata.

X

1. Apri Impostazioni e privacy, poi Sicurezza.
2. Tocca Autenticazione a due fattori.
3. Scegli un'app di autenticazione o una chiave di sicurezza; la chiave è l'opzione più solida se ne possiedi una. I codici SMS compaiono per alcuni account ma non per altri, quindi non affidarti a loro.

Facebook

1. Apri Centro account, poi Password e sicurezza.
2. Tocca Autenticazione a due fattori, scegli il tuo account e segui le indicazioni.
3. Come complemento, attiva gli avvisi sui accessi non riconosciuti così Facebook ti avvisa quando qualcuno accede da un dispositivo che non usi di solito.

I nomi dei menu cambiano con gli aggiornamenti delle app. Se un percorso non corrisponde al tuo schermo, cerca "autenticazione a due fattori" nelle impostazioni — tutte e tre le app hanno una casella di ricerca proprio per questo motivo.

Codici di backup e pianificazione del recupero

Quando attivi il 2FA, ogni piattaforma offre codici di backup: password monouso che funzionano se il telefono viene perso, danneggiato o ripristinato. Generali nell'istante in cui attivi il 2FA.

Conservali offline:

• Stampali e conserva il cartaceo in un luogo sicuro, ad esempio insieme ai documenti importanti.
• Salvali nella cassaforte del tuo password manager come nota sicura.
• Non lasciarli mai in una cartella di screenshot, in una bozza di email o in un file di testo semplice sul desktop.

Aggiungi un secondo metodo

Non fare affidamento su un unico dispositivo. Se il tuo unico metodo 2FA è l'app di autenticazione di un solo telefono, perdere quel telefono ti blocca l'accesso. Aggiungi una seconda opzione dove la piattaforma lo consente: un'app di autenticazione più una chiave di sicurezza hardware, oppure codici da un secondo dispositivo. Evita gli SMS come unico metodo, poiché gli attacchi di SIM swapping possono dirottare quei messaggi.

Se perdi tutto

Hai perso sia il dispositivo sia i codici? Usa il flusso ufficiale di recupero dell'account di ciascuna piattaforma, disponibile nel suo Centro assistenza. La verifica dell'identità richiede tempo, quindi la prevenzione batte sempre il recupero.

Se Sospetti Che Qualcuno Sia Già Entrato

Agisci in fretta. Ogni ora in cui un aggressore ha accesso, può escluderti ulteriormente.

Primi passi:

1. Cambia immediatamente la password — da un dispositivo di cui ti fidi, non da un computer pubblico.
2. Termina tutte le sessioni attive. Instagram, X e Facebook hanno ciascuno un'opzione "esci da tutti i dispositivi" nelle impostazioni di sicurezza. Questo espelle l'aggressore anche se ha la tua password.
3. Controlla il tuo indirizzo email di recupero e il numero di telefono. Gli aggressori spesso li sostituiscono per primi, così i link per reimpostare la password vanno a loro invece che a te. Rimuovi tutto ciò che non riconosci e ripristina i tuoi.

Se non riesci proprio ad accedere, non continuare a tentare. Usa il flusso ufficiale per account compromessi della piattaforma:

• Instagram: "Ottenere assistenza per l'accesso" nella schermata di login
• X: il link "Serve aiuto?" nella pagina di login
• Facebook: facebook.com/hacked

Questi flussi verificano la tua identità attraverso la piattaforma stessa e sono il modo più sicuro per rientrare.

Nel momento in cui riguadagni l'accesso, attiva il 2FA. Un account recuperato senza è un account in attesa di essere rubato di nuovo.

Buone abitudini quotidiane per la sicurezza sui social media

La 2FA funziona al meglio insieme ad alcune abitudini di base.

Usa un gestore di password. Assegna a ogni account una propria password univoca e non riutilizzarne mai una su più siti. Un gestore di password le genera e le ricorda per te, così devi memorizzare solo una forte password principale.

Controlla prima di accedere. Le pagine di login false copiano quella vera fino all'ultimo pixel. Prima di inserire le tue credenziali, guarda la barra degli indirizzi: dovrebbe essere instagram.com, x.com o facebook.com, senza nulla di aggiunto. Considera sospetti i DM e le email urgenti che ti chiedono di "verificare il tuo account": apri l'app o digita l'indirizzo tu stesso invece di cliccare sul link.

Controlla sessioni e app collegate. Ogni tanto, apri le impostazioni di sicurezza e rivedi i dispositivi connessi e le app di terze parti con accesso al tuo account. Revoca tutto ciò che non riconosci o non usi più; i permessi dimenticati sono una via di rientro silenziosa.

Tieni aggiornati i dati di recupero. Un vecchio numero di telefono o un'email abbandonata possono bloccarti fuori — o fornire a un attaccante una via di recupero. Aggiorna entrambi quando cambiano.

2FA attiva, codici di backup conservati, password univoche, un rapido sguardo alle pagine di login: una piccola routine che mantiene i tuoi account tuoi.

Errori comuni da evitare

Anche con la 2FA attiva, alcuni passi falsi ne riducono il valore.

Attivare la 2FA e ignorare i codici di backup. Molti attivano il 2FA, chiudono la finestra dei codici di backup e non ci pensano più. Quando il telefono si rompe, restano bloccati fuori. Genera i codici e conservali subito, prima di uscire dalle impostazioni.

Salvare i codici negli screenshot. Uno screenshot dei codici di backup finisce spesso nella galleria sincronizzata nel cloud. Se quella galleria viene compromessa, i codici perdono ogni valore. Usa carta o password manager.

Confermare le notifiche push per istinto. Il telefono vibra, tocchi "Conferma" senza leggere. Gli aggressori contano proprio su questo riflesso. Leggi sempre: se non stavi accedendo tu, nega la richiesta.

Dare per scontato che il 2FA copra tutto. L'autenticazione a due fattori protegge l'accesso, non i permessi che hai già concesso. Un'app di terze parti autorizzata mesi fa continua a funzionare senza nuovi codici. Rivedi le app collegate di tanto in tanto.

Usare la stessa app di autenticazione con un solo backup. Se l'app non esporta i codici e il telefono muore, ricominci da zero con il recupero ufficiale. Scegli un'app che consenta il trasferimento su nuovo dispositivo, o verifica che la piattaforma ti faccia registrare più metodi.

Ritardare l'attivazione. "Lo faccio dopo" è la frase più costosa della sicurezza online. Attivare il 2FA richiede pochi minuti; recuperare un account dirottato può richiedere settimane.