Usa una chiave di sicurezza o una passkey resistente al phishing quando l’exchange la supporta; altrimenti scegli un’app di autenticazione dedicata. Conserva offline i codici di recupero, registra un secondo fattore di riserva e rimuovi i percorsi di recupero via SMS che possono indebolire l’account senza che tu te ne accorga.
Lista di controllo per la configurazione#
- Cambia prima la password ed esci dalle altre sessioni. Usa una password unica generata da un password manager, quindi revoca dispositivi e sessioni che non riconosci prima di registrare il nuovo fattore.
- Registra due chiavi FIDO oppure una chiave con un backup ben protetto. Conserva il secondo dispositivo in un luogo separato e controllato; assegnagli un nome riconoscibile nell’account.
- Scarica i codici di recupero e conservali offline, lontano dalla password. Non salvarli nella stessa nota cloud o nello stesso password manager se ciò crea un unico punto di compromissione.
- Richiedi la 2FA per accesso, prelievi e modifiche di sicurezza. Controlla tutte le impostazioni disponibili: alcune piattaforme consentono protezioni separate per operazioni sensibili.
- Prova il fattore di backup in una finestra privata prima di farvi affidamento. Verifica che funzioni e che il fattore principale possa essere recuperato senza lasciare attivi metodi più deboli.
Che cosa verificare prima di agire#
L’autenticazione a due fattori aiuta soltanto quando il secondo fattore non può essere intercettato o reimpostato con la stessa facilità della password. Gli SMS possono essere dirottati tramite SIM swap, mentre i codici temporanei possono essere sottratti in tempo reale da una pagina di phishing. Una credenziale FIDO protetta da hardware verifica il dominio legittimo prima dell’autenticazione.
Controlla anche la procedura di recupero dell’exchange. Un fattore forte perde valore se un aggressore può scegliere «Non ho più il telefono» e ripristinare l’account tramite un’email o un numero mobile debolmente protetti.
Impostazione prudente consigliata#
Per un account che supporta passkey o chiavi di sicurezza, preferiscile ai codici digitati. Se TOTP è l’opzione migliore disponibile, usa un autenticatore separato, proteggine i backup e non leggere mai un codice a un addetto all’assistenza.
Proteggi con la stessa cura l’email principale: usa un fattore resistente al phishing, rimuovi i vecchi dispositivi e conserva offline i codici di recupero. L’email spesso può reimpostare la sicurezza dell’exchange.
Che cosa può ancora andare storto#
- Considerare gli SMS il fattore più forte disponibile. Il numero può essere trasferito fraudolentemente o usato come percorso di recupero alternativo.
- Salvare il segreto TOTP accanto alla password dell’account. Un’unica violazione esporrebbe entrambi i fattori e il cambio successivo della sola password potrebbe non bastare.
- Tenere una sola chiave di sicurezza senza piano di recupero. Smarrimento, guasto o indisponibilità possono bloccare anche il proprietario legittimo.
- Approvare una richiesta di accesso non avviata personalmente. Le notifiche ripetute possono essere un tentativo di MFA fatigue; rifiuta e controlla immediatamente l’account.
Prove da conservare#
Non valutare la configurazione soltanto dal messaggio di successo. Verifica che i fattori registrati, i metodi di recupero e la protezione delle operazioni sensibili compaiano correttamente nelle impostazioni autenticate.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Password cambiata e sessioni precedenti chiuse | Controllo datato delle sessioni e dei dispositivi | Restano accessi sconosciuti o non revocabili |
| Due fattori FIDO o un backup protetto registrati | Elenco autenticato dei fattori, senza mostrare segreti | L’unico recupero disponibile è un SMS debole |
| Codici di recupero conservati offline | Test documentato della procedura, con codici oscurati | Password e codici sono nello stesso luogo esposto |
Conserva screenshot datati delle impostazioni quando servono a documentare la configurazione, ma escludi seed phrase, chiavi private, password e codici di autenticazione.
Domande frequenti#
Un codice dell’app di autenticazione può essere sottratto con il phishing?
Sì. Una falsa pagina di accesso può inoltrare il codice corrente prima della scadenza. L’autenticazione FIDO legata al dominio resiste a questo tipo di inoltro.
Devo mantenere gli SMS come backup?
Soltanto se l’exchange non offre un recupero più sicuro. Un canale di emergenza può diventare il percorso più facile per l’aggressore.
Che cosa succede se perdo il telefono?
Ripristina l’autenticatore da un backup protetto oppure usa un codice di recupero offline, quindi ruota il vecchio fattore dopo l’accesso.
Guide correlate#
Fonti#
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere mai seed phrase, chiavi private, password o codici di autenticazione e verifica in modo indipendente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
