Attivare la verifica in due passaggi su Google – richieste, app, token o passkey

Una password è qualcosa che sai – e quindi qualcosa che ti si può sottrarre: con il phishing, con una fuga di dati presso il servizio o con un malware che preleva le password salvate dal dispositivo. Il BSI tedesco descrive l'autenticazione a due fattori come combinazione di fattori di categorie diverse: conoscenza (password, PIN), possesso (smartphone, smart card, token di sicurezza) o biometria (impronta, volto). Chi ha solo la password non supera la seconda barriera. Google descrive la funzione sulla sua pagina di assistenza proprio così: un ulteriore livello di sicurezza per il caso in cui la tua password venga rubata.

L'Account Google va al primo posto, prima di social e negozi online. Per molti è la casella e-mail, e tramite «Password dimenticata» con la casella si possono reimpostare quasi tutti gli altri account – l'UFCS nella retrospettiva 19/2024 descrive l'account e-mail per questo come bersaglio ambito per arrivare a numerosi servizi internet. A questo si aggiungono Foto, Drive, Calendar, cronologia delle posizioni, acquisti su YouTube e, se usi Chrome, il Gestore delle password di Google con tutte le password salvate. Un Account Google compromesso non è quindi un singolo account, ma il mazzo di chiavi.

UFCS e BSI consigliano entrambi di attivare il secondo fattore ovunque un servizio lo offra. Il BSI fa inoltre notare che molti servizi offrono la funzione ma la lasciano disattivata di default – vale quindi la pena dare un'occhiata alle impostazioni di accesso anche degli account che consideri protetti. Che la lacuna sia reale lo mostra, per la Svizzera, lo studio svizzero «KMU Cybersicherheit 2026» sulla cibersicurezza nelle PMI: solo poco più della metà delle aziende intervistate aveva introdotto completamente l'autenticazione a più fattori. Il secondo fattore non sostituisce una buona password, la integra – come costruire una password robusta lo trovi nella nostra guida (→ Creare una password sicura – e cosa è davvero sicuro nel 2026).

L'UFCS svizzero, nella sua valutazione tecnologica «Livelli di sicurezza per procedure, mezzi e servizi di autenticazione» (settembre 2026), ha suddiviso le procedure più diffuse nei livelli «basso», «medio» e «alto». Un asterisco contrassegna le procedure che proteggono dal phishing in tempo reale e dagli attacchi man-in-the-middle. Nome utente e password da soli stanno in «basso» – procedure del genere, secondo l'UFCS, non dovrebbero più essere adottate, anche se la trasmissione è cifrata. Password con codice SMS e codici software come Google o Microsoft Authenticator stanno in «medio» senza asterisco: proteggono dalle password rubate, ma non se sei tu a inserire il codice su una pagina falsa. Sugli SMS l'UFCS aggiunge che la sicurezza delle procedure basate su SMS è in linea di principio oggetto di critica e che andrebbero adottate solo in assenza di alternative migliori.

Resistenti al phishing sono le due procedure FIDO: le passkey sincronizzate, come Apple e Google le distribuiscono tramite portachiavi e gestore delle password, raggiungono «medio*»; i token hardware FIDO2 senza sincronizzazione ed esportazione raggiungono «alto*». La differenza, secondo l'UFCS, sta soprattutto nel fatto che la chiave privata risieda in hardware dedicato o possa essere copiata su più dispositivi tramite il cloud. La classificazione di Google è coerente: la pagina di assistenza indica passkey e token fisici come metodi per una maggiore protezione contro il phishing e definisce i codici via SMS o chiamata «vulnerabili agli attacchi basati sui numeri di telefono».

Per la vita quotidiana significa: la richiesta da Google è comoda e nettamente migliore degli SMS, perché arriva solo sui dispositivi con accesso eseguito e ti mostra dispositivo e luogo del tentativo – ma non ti protegge da te stesso se tocchi «Sì» su una pagina falsa. L'app di autenticazione è indipendente dalla rete mobile e dai servizi push di Google, ma resta anch'essa in «medio». Chi vuole il livello resistente al phishing prende una passkey su smartphone o computer; chi vuole il livello più alto o è particolarmente esposto compra due token hardware. E qualunque sia il metodo: i codici di backup ne fanno parte, altrimenti la protezione diventa un'esclusione.

Il 10 ottobre 2023 Google ha reso le passkey l'opzione predefinita per gli Account Google privati: da allora all'accesso Google propone di creare una passkey, e l'impostazione «Skip password when possible» – sulla pagina di assistenza in italiano «Salta la password quando è possibile» – è attiva. Secondo il blog di Google le passkey sono il 40 % più veloci delle password, e chi preferisce restare alla password disattiva semplicemente l'opzione. Tecnicamente una passkey è una coppia di chiavi: la chiave privata resta sul tuo dispositivo o nel portachiavi, Google conosce solo quella pubblica. All'accesso confermi con impronta, volto o PIN di poter sbloccare il dispositivo – i dati biometrici, secondo Google, restano sul dispositivo.

Poiché una passkey, secondo la guida di Google, non può essere condivisa, copiata, scritta o comunicata per sbaglio, non c'è nulla che una pagina di phishing possa chiedere, e funziona solo per il vero indirizzo Google. Per questo con la passkey cade anche il secondo passaggio: il possesso del dispositivo è già dimostrato. Importante è l'avvertimento di Google: crea passkey solo su dispositivi di tua proprietà – chiunque possa sbloccare il tuo dispositivo entra con essa nell'Account Google, anche se lì sei uscito dall'account. Su tablet condivisi o sul PC di famiglia una passkey non ha nulla a che fare.

Quanto sia diffusa lo mostra la FIDO Alliance, responsabile dello standard: il 15 ottobre 2026 ha annunciato circa 7 miliardi di passkey nel mondo, e presso i 15 grandi servizi per consumatori del suo «Passkey Index» più di un terzo degli accessi riusciti avviene tramite passkey – secondo FIDO quasi tre volte più veloce rispetto a password e classico secondo fattore, e tutti i servizi che misurano il phishing registrano da allora meno attacchi riusciti. La password resta comunque su Google come via di riserva e deve quindi essere robusta come prima; la sezione «Passkey: il passo successivo» della nostra guida alle password (→ Creare una password sicura – e cosa è davvero sicuro nel 2026) è una lettura complementare.

Il motivo più frequente di un'esclusione non è l'hacker, ma lo smartphone perso, rubato o rotto. Google, nella pagina «Risolvi problemi comuni», consiglia prima di tutto due cose: uscire dall'account sul dispositivo smarrito e cambiare la password dell'Account Google – entrambe si fanno da qualsiasi altro dispositivo su cui hai eseguito l'accesso. Poi nella schermata di accesso tocchi «Prova un altro metodo» e usi ciò che hai preparato: un codice di backup, un altro smartphone con accesso eseguito, un secondo numero di telefono, un token di sicurezza fisico o una passkey su un altro dispositivo.

Due aiutanti silenziosi spesso ci sono ancora: un computer su cui hai selezionato «Non chiedere più su questo computer», secondo Google, potrebbe farti entrare senza secondo passaggio – da lì puoi riordinare i tuoi metodi. E il numero di telefono puoi fartelo trasferire dal tuo operatore su una nuova SIM o eSIM; così i codici SMS arrivano di nuovo. Cos'è una eSIM e come funziona il cambio lo spiega il nostro glossario (→ Cos'è una eSIM? Come funziona la SIM digitale). Se usi Google Authenticator con la sincronizzazione dell'account, i codici tornano automaticamente dopo l'accesso sul nuovo dispositivo – senza sincronizzazione sono spariti con il vecchio dispositivo e ti servono i codici di backup.

Se non hai né metodo di riserva né codici di backup, resta il recupero dell'account tramite l'indirizzo e-mail o il numero di telefono registrati. Google ti pone domande sull'account e, poiché la verifica in due passaggi è attiva, la verifica secondo la guida può richiedere da tre a cinque giorni lavorativi. Proprio per questo vale la pena il quarto d'ora nella scheda «Codici di backup e recupero» fatto prima. Il BSI ricorda inoltre di badare, nel recupero, a procedure a più livelli: una via di recupero che se la cava con un solo fattore indebolisce tutta la protezione – gli attaccanti puntano proprio lì.

Quanto detto qui per Google vale per ogni account importante: account Apple, account Microsoft, e-banking, portale clienti dell'operatore mobile, Instagram, WhatsApp. Il BSI cita espressamente online banking, acquisti online e account con ampi diritti come e-mail e social come i casi in cui il secondo fattore conviene per primo, e sconsiglia in ogni caso di disattivarlo di nuovo. L'ordine dopo l'Account Google: e-mail (se non è Gmail), account Apple o Microsoft, password manager, banca e servizi di pagamento, operatore mobile, poi social e negozi online.

Chi protegge molti account con codici di autenticazione si trova davanti a una questione di gestione: dove stanno i codici e cosa succede quando cambi dispositivo? Google Authenticator li sincronizza con l'Account Google; i password manager offrono lo stesso nella propria cassaforte. Secondo il nostro confronto del 16 ottobre 2026, NordPass Premium include un authenticator, Bitwarden lo ha già nel piano gratuito e da Premium nella cassaforte, e anche Proton Pass Plus lo porta con sé (→ Migliori password manager 2026: 1Password, NordPass, Bitwarden e Proton Pass a confronto). L'UFCS, nella sua pagina «Protezione dei dispositivi, password e protezione degli accessi», consiglia proprio questa combinazione: una password diversa per ogni servizio, dove possibile l'autenticazione a due fattori e un password manager che la supporti. È comodo avere password e codice nella stessa cassaforte – chi vuole separare rigorosamente i fattori usa per questo un'app separata sullo smartphone, come consiglia il BSI per il caso più sicuro.

Un malinteso per finire: una VPN protegge la tua connessione, non il tuo account. Cifra il percorso tra dispositivo e server VPN e nasconde il tuo indirizzo IP, ma non impedisce a nessuno di accedere a Google con la tua password rubata – e non riconosce una pagina di phishing (→ Cos'è una VPN? Come funziona la rete privata virtuale). Secondo fattore e VPN risolvono problemi diversi; chi vuole entrambi configura prima il secondo fattore e poi la VPN (→ Configurare una VPN su iPhone – con l'app o a mano). E se hai eseguito l'accesso su un computer altrui, dopo elimina cookie e accessi salvati (→ Cancellare cache e cookie – in ogni browser, su computer e smartphone).

Giornaliste, attivisti, politici, avvocate o persone che per altri motivi potrebbero subire attacchi mirati: è questo il pubblico che Google indica per il suo programma di protezione avanzata. Secondo Google è senza costi; al massimo devi pagare i token di sicurezza. La differenza rispetto alla normale verifica in due passaggi: l'accesso avviene solo con passkey o token di sicurezza fisico, mentre richieste, SMS e codici dell'app vengono meno. Inoltre Google limita l'accesso delle app di terze parti ai tuoi dati, controlla più severamente i download sospetti e rende più impegnativo il recupero dell'account, perché non serva da porta di servizio.

Prima di iscriverti, secondo Google, dovresti registrare un indirizzo e-mail e un numero di telefono di recupero, attivare la verifica in due passaggi e tenere pronti uno o meglio più token di sicurezza. Nel programma i codici di backup non si possono scaricare – la riserva è il secondo token. Se perdi l'unico token, secondo la guida resta solo il recupero dell'account. Gli account Workspace di lavoro o della scuola possono partecipare se l'amministrazione ha attivato il programma; obbligare nessuno può. Per la maggior parte dei privati il programma è più impegno del necessario – passkey più codici di backup più un secondo metodo bastano. Chi però teme attacchi mirati trova qui la protezione più forte che Google offre.