Dopo un data breach: checklist per attivare 2FA e passkey
La tua email è apparsa in un data breach? Cambiare password non basta. Guida passo-passo per blindare Google, Microsoft, Apple e i conti bancari.
Hai inserito la tua email nel controllo dei data breach e lo schermo è diventato rosso. Da qualche parte un database è stato esposto e le tue credenziali (o almeno l’indirizzo) circolano negli archivi noti.
Il primo istinto è cambiare la password. È corretto, ma da solo non basta.
I sistemi automatizzati provano la vecchia password su centinaia di altri siti in pochi secondi (credential stuffing). Se l’hai riutilizzata, sei esposto anche dove quel sito non è “il breach originale”. Per fermare l’accesso anche quando la password è già nota all’attaccante serve un secondo fattore: 2FA (app autenticatore o, dove c’è, passkey).
In questa guida ti mostro in che ordine muoverti e dove cliccare per blindare gli account che reggono tutto il resto — Google, Microsoft, Apple — e il home banking, partendo dal PC di casa (Windows come percorso principale; i siti web sono gli stessi su macOS e Linux).
💡 Consiglio — Sintesi operativa
Ordine: 1) email principale → 2) ecosistemi (Google / Microsoft / Apple) → 3) banca → 4) il resto a scaglioni.
Tempo: circa 30–45 minuti. Ti servono PC e smartphone (Android o iPhone) sbloccato.
SMS, app o passkey: cosa scegliere?
Non tutte le “verifiche in due passaggi” proteggono allo stesso modo.
| Metodo | Sicurezza reale | Quando usarlo |
|---|---|---|
| SMS Codice via messaggio | Accettabile | Meglio di niente, ma vulnerabile a SIM swapping e a certi attacchi sul canale SMS. Usalo solo se il servizio non offre altro. |
| App autenticatore (TOTP) Codici che scadono ogni ~30 s | Alta | Lavora offline sul telefono; è lo standard pratico da preferire sulla posta e sugli account importanti. |
| Passkey / FIDO Impronta, volto, Windows Hello, chiavetta | Massima | Molto più resistente al phishing dei codici copiati a mano: il dispositivo dialoga con il sito legittimo. Preferiscila dove è offerta in modo chiaro. |
Prerequisiti
- Hai (o stai per impostare) password uniche negli account critici. Se ti serve un vault: password manager — guida pratica. Per generare stringhe forti offline: generatore di password.
- Smartphone vicino al PC, con accesso allo store ufficiale (Google Play / App Store).
Passaggio 0 — Installa un’app autenticatore
Scegline una e usala per più servizi:
- Aegis Authenticator (Android, open source, ottima se vuoi restare locale).
- Google Authenticator (Android / iOS).
- Microsoft Authenticator (Android / iOS; comoda se vivi in Outlook / Microsoft 365).
- Bitwarden o KeePassXC — se li usi già come password manager, spesso possono anche gestire TOTP (verifica nella tua versione le opzioni “Authenticator” / “OTP”).
Installala dallo store ufficiale, poi passa agli account.
Passaggio 1 — Google (Gmail e Account Google)
Se qualcuno entra nell’email principale, può spesso resettare gli altri servizi. È il primo account da blindare.
- Sul PC, apri il browser e vai su account.google.com.
- Nel menu a sinistra: Sicurezza.
- Nella sezione Come accedi a Google, apri Verifica in due passaggi.
- Clicca Inizia (o Attiva) e conferma la password.
- Completa il setup iniziale (prompt sul telefono e/o SMS, a seconda di cosa propone Google).
- Upgrade consigliato: sempre nella stessa area, cerca App Authenticator (o Authenticator). Sul PC compare un QR.
- Sul telefono: apri l’app → + / Aggiungi → scansiona il QR → conferma con il codice a 6 cifre.
🚨 Avviso critico — Codici di backup
Google propone dei codici di backup (di solito 10, usa-e-getta). Generali e salvali nel password manager o stampali. Non lasciarli in chiaro sul Desktop o in una nota syncata ovunque. Senza telefono e senza backup rischi di restare fuori dal tuo stesso account.
Se il dispositivo lo permette, Google può proporre anche una passkey (Windows Hello, impronta sul telefono). Accettala: riduce i login “copia il codice” e alza la resistenza al phishing.
Passaggio 2 — Microsoft (Outlook, Microsoft 365, Windows)
- Vai su account.microsoft.com/security e accedi.
- Apri Opzioni di sicurezza avanzate (o voce equivalente nella UI italiana attuale).
- Trova Verifica in due passaggi → Attiva.
- Segui la procedura: l’opzione più fluida nell’ecosistema Microsoft è spesso Microsoft Authenticator (approvi una notifica). Se preferisci Aegis / Google Authenticator, scegli l’opzione per un’altra app di autenticazione e scansiona il QR.
- Salva il codice di recupero (o i metodi di recupero) che Microsoft mostra a fine setup.
ℹ️ Nota — Client di posta vecchi
Con 2FA attiva, alcuni programmi desktop datati (vecchie versioni di Outlook, certi setup Thunderbird) possono smettere di ricevere la posta finché non usi una password per le app generata dalle stesse impostazioni di sicurezza Microsoft. È normale: non “disattivare la 2FA” per sistemarli.
Passaggio 3 — Apple ID (controllo da Windows)
Se hai iPhone o Mac recenti, l’autenticazione a due fattori Apple è spesso già attiva (è di fatto richiesta per molte funzioni iCloud).
Da PC Windows puoi verificare lo stato:
- Vai su account.apple.com.
- Apri Accesso e sicurezza (o Sign-In and Security).
- Controlla che l’autenticazione a due fattori risulti attiva.
Se non è attiva: nella pratica attuale, l’attivazione iniziale dell’2FA Apple richiede di solito un dispositivo Apple fidato (Impostazioni → [Il tuo nome] → Accesso e sicurezza su iPhone/iPad, o le Impostazioni di sistema su Mac). Da solo browser Windows/Android spesso puoi gestire l’account, ma non sempre completare quel setup. Usa il telefono Apple che hai.
Verifica anche di avere una chiave di recupero (o i contatti di ripristino) aggiornati: servono se perdi password e dispositivi insieme.
Passaggio 4 — Banca e home banking
🚨 Avviso critico — Phishing post-breach
Dopo un breach noto arrivano email del tipo: «La banca ha rilevato un accesso anomalo, clicca qui per attivare la 2FA». Non cliccare i link. Apri solo l’app ufficiale o digita a mano l’URL della banca nel browser.
- Chiudi l’email sospetta.
- Apri l’app ufficiale della banca sullo smartphone, oppure il sito digitando l’indirizzo a mano.
- Vai in Profilo / Sicurezza / Impostazioni di accesso (i nomi variano).
- Cerca “dispositivo sicuro”, “mobile token”, “OTP in-app”, biometria.
- Preferisci autorizzazione via push nell’app o biometria rispetto al solo SMS, dove la banca lo consente (in UE l’SCA della PSD2 rende già obbligatorio un secondo fattore su molte operazioni: verifica che sia quello dell’app, non un canale debole lasciato “di default”).
Non posso elencare i menu di ogni banca: se non trovi le voci, cerca nell’help ufficiale “autenticazione forte” / “dispositivo sicuro” o chiedi al supporto dal canale ufficiale in-app, non rispondendo a email.
Se il finto avviso della banca ti arriva per SMS invece che per email, ho scritto una routine apposta: come riconoscere gli SMS falsi di banche e pacchi in 20 secondi.
Passaggio 5 — Disconnetti sessioni e dispositivi estranei
Dopo nuova password + 2FA, controlla chi è ancora loggato: su alcuni servizi il cambio password non chiude tutte le sessioni vecchie.
- Torna nelle pagine Sicurezza di Google e Microsoft.
- Apri I tuoi dispositivi, Attività recente o Sessioni (etichette che cambiano nel tempo).
- Se vedi un dispositivo che non riconosci o una località assurda → Esci / Disconnetti.
Da quel momento un rientro richiede il secondo fattore che hai solo tu.
Errori comuni
- 2FA senza codici di backup — è la causa classica di account persi. Stampa o vault, non sticky note sul monitor.
- Solo SMS sulla posta principale — meglio di zero, ma sull’email critica punta ad app o passkey.
- Disattivare la 2FA “perché scomoda” — dopo il primo device fidato, i servizi chiedono il codice soprattutto su login nuovi. Il disagio quotidiano è basso; il rischio senza 2FA no.
Domande Frequenti (FAQ)
La 2FA via SMS basta dopo un breach?
Come prima barriera è meglio di niente. Sulla mail principale e sugli account che tengono tutto insieme, passa appena puoi a un’app autenticatore o a una passkey: gli SMS restano il canale più debole tra le opzioni comuni.
Passkey e app autenticatore: mi servono tutte e due?
No come obbligo. Dove c’è una passkey chiara e funzionante sul tuo dispositivo, usala: è più comoda e più resistente al phishing da sito falso. Tieni l’app TOTP per i siti che ancora non offrono passkey.
Se perdo il telefono con l’app TOTP, come rientro?
Con i codici di backup (o il recupero account del provider) che hai salvato al setup. Alcune app sincronizzano i token in cloud dietro l’account dell’app: utile, ma allora l’account di sync va protetto almeno quanto la posta. Senza backup e senza secondo dispositivo, il recupero dipende dalle procedure del singolo servizio e può essere lento o impossibile.
La mia banca ha solo SMS: sono a posto?
Non puoi forzare tecnologie che non espone. Tieni l’SMS attivo, usa password lunghe e uniche, preferisci l’app ufficiale per le operazioni e, se c’è, attiva il token in-app. Segnala al supporto (canale ufficiale) che vorresti un secondo fattore più solido.
Dopo il breach la pagina HIBP resta rossa: la 2FA ha funzionato?
Sì, può restare rossa. Gli archivi storici non “si cancellano” quando ti metti in sicurezza. Il rosso dice che in passato quei dati sono stati esposti; password nuove + 2FA riducono il danno di quel leak, non riscrivono la storia del database.
Devo attivare tutto in un pomeriggio?
Ideale: email + Google/Microsoft/Apple + banca nella stessa sessione da 30–45 minuti. Il resto degli account puoi farlo a scaglioni nei giorni successivi, partendo da shopping, social e cloud dove riusavi la stessa password.
Conclusioni
Dopo uno schermo rosso su HIBP, la sequenza che conta è: password unica nuova sugli account esposti e su quelli dove l’avevi riusata, poi 2FA (app o passkey) partendo dalla posta, poi sessioni estranee disconnesse. Non è un rituale da fare una volta nella vita: ogni nuovo servizio importante merita lo stesso trattamento prima che un altro breach ti trovi di nuovo senza rete.
