Come il phishing ruba i tuoi codici 2FA — e come fermarlo

Perché i codici 2FA sono ormai un bersaglio

Per anni, i consigli di sicurezza si riducevano a una frase: usa una password robusta e unica. Quel consiglio resta valido, ma non basta più. Con la diffusione dell'autenticazione a due fattori su conti bancari, email e social network, gli attaccanti si sono scontrati con un muro: una password rubata da sola non apriva più la porta.

Così hanno cambiato tattica. Invece di attaccare la password, ora prendono di mira il secondo fattore stesso: il codice monouso che arriva via SMS, app di autenticazione o notifica push.

Il codice è il nuovo trofeo

Questi codici sembrano monouso — sei cifre, validi per pochi secondi. Ma per quei pochi secondi, un codice è potente quanto la tua password. Gli attaccanti raramente "hackerano" il codice. Ti ingannano per farti consegnare, tramite una finta pagina di login, una telefonata convincente o un messaggio urgente che ti chiede di "verificare" un numero appena ricevuto.

Un errore frequente è pensare che il codice sia "solo un numero temporaneo". In realtà, chi lo ottiene mentre lo stai usando può completare l'accesso prima di te. Un esempio tipico: ricevi un SMS con un codice che non hai richiesto e, pochi minuti dopo, arriva una chiamata che ti avverte di un "accesso sospetto" e ti chiede di leggere il numero. Il codice che non hai richiesto era la prova che qualcuno stava già provando a entrare.

Perché funziona ancora

Il phishing non riesce violando la tecnologia, ma sfruttando le abitudini umane: la fiducia nei marchi familiari, il timore di problemi con il conto e la pressione ad agire in fretta. Non serve alcun difetto tecnico perché funzioni — ed è proprio per questo che continua a funzionare. Capire questo cambiamento è il primo passo per fermarlo. Una regola pratica: nessun servizio legittimo ti chiederà mai di condividere un codice 2FA, né per telefono né in chat.

Pagine di Login Finte: Il Trucco Classico

Il trucco più antico è ancora il più diffuso: un sito web identico a quello di cui ti fidi. Gli attaccanti copiano la vera schermata di accesso — stesso logo, stessi colori, stessi campi — e la ospitano su un dominio che sembra simile. Questi indirizzi si affidano a dettagli facili da trascurare a un colpo d'occhio: una lettera scambiata, una parola in più come "secure" o "login", oppure una terminazione insolita dove ti aspetti ".com". Un dominio come paypa1.com o amazon-security.net non ha nulla a che fare con i rispettivi servizi originali.

La pagina si comporta come quella vera, ed è esattamente il problema. Inserisci nome utente e password. Il sito falso chiede poi il secondo passaggio, proprio come farebbe quello autentico, e tu inserisci il codice dalla tua app di autenticazione o dagli SMS.

In quel momento, l'attaccante ha tutto. Appena i tuoi dati arrivano sul loro server, aprono il sito reale ed effettuano l'accesso con la tua password e il tuo codice appena generato. Di solito accade in pochi secondi, ben prima che un codice di 30 secondi scada. Per il sito reale, sembra un accesso perfettamente normale: dispositivo corretto, codice valido, nessun allarme.

La pagina falsa mostra quindi un errore, un messaggio di "sessione scaduta", o ti reindirizza semplicemente — qualsiasi cosa ti impedisca di chiederti perché l'accesso è fallito silenziosamente. Nel frattempo l'attaccante ha già cambiato la password o aggiunto un proprio dispositivo fidato, rendendo molto più difficile riprendere il controllo dell'account.

Come verificarla ogni volta: controlla l'indirizzo completo nella barra del browser, non solo l'aspetto grafico. Digita tu stesso l'URL o usa un segnalibro salvato in precedenza, invece di cliccare link arrivati via email o SMS. Un lucchetto nel browser indica solo una connessione cifrata, non che il sito sia quello giusto: anche i truffatori usano certificati HTTPS.

Phishing in tempo reale: l'avversario-in- mezzo

Le pagine di login false diventano più furbe. La versione più pericolosa non si limita a raccogliere la tua password — la usa immediatamente.

Come funziona il relay

Un attacco adversary-in-the-middle (AiTM) usa un sito proxy che si interpone tra te e il sito reale. Clicchi un link, arrivi su una copia quasi perfetta della pagina di login e digiti le tue credenziali. Il proxy le inoltra al sito autentico e ti restituisce tutto — così la pagina si comporta esattamente come quella vera.

Poi inserisci il tuo codice 2FA. Il proxy lo fa passare in tempo reale, il sito vero lo accetta e il login va a buon fine — ma dal lato dell'attaccante.

Il trucco funziona perché il proxy mantiene due connessioni separate: una cifrata con te, una con il sito reale. Dall'esterno tutto appare normale — l'indirizzo nella barra può persino sembrare corretto se l'attaccante ha ottenuto un certificato per un dominio simile, come micros0ft-login.com invece del dominio ufficiale. Gli errori di battitura nel dominio sono il segnale più comune: una lettera in più, un trattino, un .net al posto di un .com.

Perché la breve scadenza del codice non ti salva

Una finestra di 30 secondi per il codice presuppone che l'attaccante veda prima la tua password e dopo il tuo codice. L'AiTM collassa questo intervallo: il codice viene usato nell'istante in cui lo digiti, mentre è ancora valido. Il tempo di scadenza diventa irrilevante.

Il vero bottino: la tua sessione

Dopo il login, il sito autentico consegna un cookie di sessione al browser dell'attaccante — non al tuo. L'attaccante ora detiene una sessione autenticata e può leggere la tua email, reimpostare altre password o restare connesso in silenzio. La tua password e il tuo codice non sono mai stati rubati; sono stati presi in prestito, dal vivo, e questo è peggio.

Nota che cambiare la password dopo che ti accorgi dell'attacco non chiude la sessione già attiva dell'attaccante: molti servizi mantengono le sessioni esistenti valide. Devi disconnettere manualmente tutte le sessioni dalle impostazioni di sicurezza dell'account — cercare una voce come "Disconnetti da tutti i dispositivi" — e farlo prima di tutto.

Ingegneria sociale oltre il modulo di accesso

Non tutti gli attacchi riguardano un falso sito web. Alcuni ladri saltano completamente la tecnologia e prendono di mira la persona che tiene in mano il telefono.

Vishing: la chiamata che chiede il tuo codice

Il "vishing" è phishing via telefono. Un chiamante dichiara di provenire dalla tua banca, dal tuo datore di lavoro o da un team di supporto, crea urgenza — transazione sospetta, account bloccato — poi ti chiede di leggere ad alta voce il codice di verifica "per confermare la tua identità". Nessun servizio legittimo avrà mai bisogno che tu pronunci il codice ad alta voce. Il chiamante sta effettuando l'accesso proprio adesso, e il tuo codice è l'ultimo tassello di cui ha bisogno.

La contromossa è semplice: riaggancia e chiama tu il numero ufficiale, quello stampato sul retro della tessera o riportato sul sito a cui sei arrivato digitando l'indirizzo a mano. Non usare mai un numero che il chiamante ti dettata o che trovi in un SMS o email sospetta. Un trucco pratico: se qualcuno ti chiede un codice che stai ricevendo senza averne chiesto uno, significa quasi sempre che qualcun altro lo sta usando in quel momento. Non leggerlo; il codice in arrivo è la prova dell'attacco.

Affaticamento da notifiche push

Se la tua app invia richieste di approvazione, gli aggressori che conoscono già la tua password possono inondarti di richieste "Approvare l'accesso?" alle 2 di notte, sperando che tocchi Accetta solo per farle smettere. Un solo tocco stanco ti costa l'account. Alcune app aggiungono il number matching — devi digitare il numero mostrato sullo schermo — proprio perché le approvazioni accidentali sono comuni.

La regola: se non stai effettuando l'accesso in quel momento, la risposta è sempre Rifiuta. Dopo un rifiuto, molte app ti chiedono se vuoi segnalare la richiesta come fraudolenta; fallo, così il team di sicurezza del servizio sa che la tua password è finita in mano sbagliata. Se le notifiche continuano per ore, cambia subito la password: gli aggressori stanno riprovando con credenziali valide.

SIM swap e intercettazione degli SMS

I codici inviati via SMS vivono sul tuo numero di telefono, e i numeri di telefono possono essere rubati. In un SIM swap, un truffatore convince il tuo operatore a trasferire il tuo numero sulla sua scheda SIM, per poi ricevere i tuoi codici direttamente. Gli SMS sono il canale 2FA più debole; considerali un ripiego, non una base.

Segnali d'allarme tipici: il telefono perde improvvisamente il segnale per ore, o arrivano SMS strani che non hai richiesto. In quel caso contatta subito l'operatore e verifica lo stato della SIM. Come prevenzione, chiedi all'operatore di attivare un PIN o una password sul tuo account — senza quel codice, nessun trasferimento in negozio o al telefono. Controlla anche quali servizi usano il tuo numero come metodo di recupero: un account protetto da app autentiche ma recuperabile via SMS è protetto solo quanto l'SMS.

Difese che Fermano Davvero il Furto di Codici

Passkey e Chiavi di Sicurezza: Immuni al Phishing per Progetto

Le passkey e le chiavi hardware FIDO2 sono vincolate crittograficamente al sito esatto che le ha registrate — una proprietà chiamata origin binding. Prima di firmare qualsiasi cosa, il tuo dispositivo verifica di stare comunicando con il dominio genuino. Su una pagina di login contraffatta, persino una che esegue un proxy in tempo reale, la chiave semplicemente rifiuta. Non c'è nulla da rubare e nulla da riprodurre; il login fallisce da solo. Questa è l'unica difesa qui che ferma il phishing automaticamente, senza che tu debba notare nulla.

Per attivarle: controlla prima se il servizio le offre nelle impostazioni di sicurezza (cerca "passkey", "chiave di sicurezza" o "FIDO2"). Registra una chiave di riserva e conservala in un posto diverso dalla principale — una chiave persa senza backup può significare perdere l'accesso all'account. Tieni presente che alcune chiavi hardware funzionano solo via USB o NFC: verifica che il tuo telefono e computer le supportino prima dell'acquisto.

Preferisci le App agli SMS

I codici delle app di autenticazione battono i codici SMS, che possono essere intercettati tramite SIM swap o dirottati verso un relay dell'attaccante prima di arrivare a te. I codici delle app restano sul tuo dispositivo — sebbene un phisher paziente possa comunque convincerti a leggere gli otto o sei cifre ad alta voce in una telefonata "dell'assistenza", quindi tratta ogni richiesta di codice con sospetto. Nessun servizio legittimo ti chiede mai un codice per telefono. Per gli account di posta elettronica, bancari e del gestore di password, aggiungi una chiave hardware FIDO2 come opzione più forte.

Durante la configurazione dell'app, salva anche i codici di recupero offline — su carta, non in una nota sincronizzata. Se il telefono si rompe, sono l'unico modo per rientrare.

Lascia che il Tuo Gestore di Password Faccia da Sentinella

I gestori di password compilano automaticamente le credenziali solo sul dominio esatto dove sono state salvate. Su un sito sosia, non si compila nulla. Considera un autofill vuoto come un segnale d'allarme: controlla la barra degli indirizzi prima di digitare qualcosa manualmente. Errore comune: creare manualmente una nuova voce per il "sito che non compila" — così insegni al gestore a fidarsi del dominio falso.

Abitudini quotidiane che mantengono i codici al sicuro

Le difese forti falliscono quando le routine quotidiane si allentano. Poche abitudini chiudono la maggior parte delle lacune rimanenti.

Non condividere mai un codice. Nessun servizio legittimo, banca o agente dell'assistenza ti chiederà mai il tuo codice 2FA, una password o un "numero di verifica" per telefono, email o chat. Chiunque lo chieda è un aggressore. Un codice è una chiave, non una password da confermare. Attenzione anche alle richieste indirette: "leggi solo le ultime sei cifre che hai ricevuto" o "conferma che il messaggio sia arrivato" sono modi per farti pronunciare o inoltrare il codice senza accorgertene. Se una chiamata in arrivo ti mette pressione — "account sospeso, agisci subito" — riaggancia e richiama tu il numero ufficiale trovato sul sito o sul retro della carta.

Controlla dove stai digitando. Prima di inserire le credenziali, guarda l'indirizzo completo nella barra del browser — non solo il logo sulla pagina. I truffatori registrano domande simili a quelle reali, con lettere sostituite o trattini aggiuntivi; un nome di dominio letto in fretta non basta. Meglio ancora, salta del tutto l'ispezione: usa i segnalibri per i siti importanti, oppure digita tu stesso l'indirizzo. I link nelle email e nei messaggi sono il modo in cui le pagine false ottengono il loro traffico.

Se hai digitato un codice in una pagina sospetta:

1. Cambia immediatamente la password di quell'account.
2. Esci da tutte le altre sessioni nelle impostazioni di sicurezza dell'account.
3. Contatta il fornitore tramite i suoi canali di assistenza ufficiali e segnala l'accaduto.
4. Se riutilizzi quella password altrove, cambiala anche lì.

La velocità conta — un codice rubato viene in genere usato entro pochi minuti. Se l'account supporta le passkey o una chiave di sicurezza, attivale subito dopo l'incidente: un codice futuro rubato non servirà più a nulla.

Lo schema in tutte e sei le sezioni è semplice: gli aggressori danno la caccia ai codici perché i codici sbloccano gli account. Tieni i codici per te, verifica dove li inserisci e preferisci passkey o chiavi hardware quando un servizio le offre. Fallo, e il phishing avrà ben poco da rubare.