MFA per le PMI di Torino: come bloccare il furto di credenziali

L'autenticazione a più fattori — in inglese Multi-Factor Authentication, abbreviata in MFA — è un metodo di accesso che richiede almeno due prove di identità diverse prima di concedere l'ingresso a un account: qualcosa che si conosce (la password), qualcosa che si possiede (lo smartphone con un'app di autenticazione o una chiave di sicurezza) e, talvolta, qualcosa che si è (l'impronta o il volto). In pratica, anche se un criminale ruba la password, senza il secondo fattore non riesce a entrare.

Nel 2026 questo non è più un tema da grandi imprese. Secondo il Rapporto Clusit, in Italia gli attacchi informatici gravi sono cresciuti di oltre il 65% su base annua, e le PMI restano il bersaglio preferito proprio perché spesso prive delle misure di base. Il dato più allarmante riguarda proprio gli accessi: nel 2026 il 67% delle aziende italiane ha subito un furto di credenziali, quasi il triplo della media europea, e solo il 17% se ne accorge in tempo.

Per una PMI di Torino la conseguenza è concreta: la casella di posta del titolare, il gestionale, l'home banking e gli accessi remoti sono protetti, nella maggior parte dei casi, da una sola password — spesso riutilizzata su più servizi. In questo articolo spieghiamo perché la password da sola non basta più, come l'autenticazione a più fattori blocca il furto di credenziali e come AscenSys, società IT di Torino, attiva e gestisce la MFA nelle piccole e medie imprese del territorio.

Il furto di credenziali è oggi la porta d'ingresso più usata negli attacchi alle PMI, e il motivo è semplice: rubare una password costa poco e non richiede di forzare alcun sistema. I criminali usano elenchi di milioni di credenziali già trapelate da vecchie violazioni e le provano automaticamente su decine di servizi — è la tecnica del credential stuffing. Funziona perché le persone riutilizzano la stessa password ovunque: rubata una volta, è valida dappertutto.

Come un account aziendale finisce nelle mani sbagliate

Gli imprenditori che incontriamo descrivono il problema con parole semplici: "ho cliccato su un'email che sembrava del fornitore e ho inserito la password", oppure "uso la stessa password da anni, tanto chi vuoi che ci provi". Da lì parte l'account takeover: il criminale entra nella casella di posta, studia le conversazioni, attende il momento giusto e invia una falsa richiesta di cambio IBAN o una fattura modificata. Tutto avviene con credenziali valide e flussi di accesso regolari, quindi nessun antivirus suona l'allarme.

Perché la sola password non protegge più nessuno

Una password, per quanto complessa, ha un difetto strutturale: è un'informazione che può essere copiata, indovinata, intercettata o ceduta per errore. Le statistiche lo confermano: a livello globale circa due terzi delle PMI non utilizza ancora l'autenticazione a più fattori, e l'Italia è tra i Paesi più colpiti, con milioni di account compromessi nel solo 2026. Il paradosso è che la difesa più efficace contro questo scenario è anche una delle più economiche da attivare. Eppure molte aziende la rimandano per due timori ricorrenti:

• "Rallenta il lavoro": si teme che chiedere un secondo codice a ogni accesso faccia perdere tempo ai dipendenti.
• "È roba complicata": si immagina un progetto tecnico lungo e costoso, adatto solo alle grandi aziende strutturate.

Sono entrambi falsi problemi, come vedremo: una MFA ben configurata è quasi invisibile nell'uso quotidiano e si attiva in tempi brevi.

La buona notizia è che bloccare il furto di credenziali non richiede di stravolgere l'infrastruttura aziendale. AscenSys, società IT di Torino, affronta il problema attivando l'autenticazione a più fattori su tutti i servizi critici della PMI e configurandola in modo che sia robusta per la sicurezza ma leggera per chi lavora. Il principio guida è uno: anche se una password viene rubata, il secondo fattore impedisce l'accesso.

Quale secondo fattore scegliere per una PMI

Non tutti i fattori offrono la stessa protezione. Il codice via SMS è meglio di niente, ma è vulnerabile a tecniche come il SIM swapping; per questo privilegiamo le app di autenticazione (con notifiche push o codici temporanei) e, dove la sensibilità lo richiede, le chiavi di sicurezza fisiche, considerate phishing-resistant perché non comunicano alcun codice copiabile. La scelta dipende dal servizio e dal profilo di rischio: configuriamo il fattore giusto per ogni accesso, senza appesantire inutilmente l'operatività.

Dove attiviamo la MFA in azienda

Interveniamo sui punti di accesso che, se compromessi, fanno più danni:

• Posta e produttività cloud: attiviamo la MFA su Microsoft 365 tramite Microsoft Entra, di cui AscenSys è Cloud Solution Provider, con criteri di accesso condizionato.
• Endpoint e identità: integriamo la protezione degli accessi con soluzioni come quelle di ESET, di cui AscenSys è Partner, per legare identità e sicurezza del dispositivo.
• Accesso remoto e VPN: aggiungiamo il secondo fattore a VPN, desktop remoto e portali gestionali esposti su internet.
• Account amministrativi: proteggiamo con priorità le utenze con privilegi elevati, le più ambite dagli attaccanti.

Il tutto accompagnato da una configurazione intelligente: l'accesso condizionato chiede il secondo fattore quando serve davvero — un dispositivo nuovo, una rete sconosciuta, un Paese inatteso — e resta silenzioso quando il dipendente lavora dalla postazione di sempre.

Attivare l'autenticazione a più fattori in una PMI è un percorso ordinato, non un intervento improvvisato. L'efficacia è documentata: secondo Microsoft, la MFA blocca oltre il 99% degli attacchi automatizzati agli account. Ecco i sei passaggi che AscenSys segue per portare una PMI di Torino dalla sola password a un accesso davvero protetto.

1. Mappatura degli accessi critici: si individuano tutti i servizi che custodiscono dati o denaro — posta, gestionale, home banking, cloud, VPN, accessi amministrativi — e gli account associati.
2. Scelta del fattore: per ogni servizio si definisce il secondo fattore più adatto, privilegiando app di autenticazione e chiavi di sicurezza rispetto all'SMS.
3. Attivazione sui servizi cloud: si abilita la MFA su Microsoft 365 e sugli altri applicativi cloud, con criteri di accesso condizionato basati su dispositivo, luogo e rischio.
4. Estensione a rete e accesso remoto: si aggiunge il secondo fattore a VPN, desktop remoto e portali esposti, i varchi più sfruttati negli attacchi.
5. Formazione delle persone: si spiega ai dipendenti come funziona e, soprattutto, di non approvare mai una richiesta di accesso non attesa — la difesa contro la cosiddetta MFA fatigue.
6. Monitoraggio e rafforzamento: si tengono sotto controllo gli accessi anomali e si adottano metodi phishing-resistant sugli account più sensibili.

Attenzione: anche la MFA va configurata bene

Nel 2026 gli attaccanti hanno affinato tecniche per aggirare l'autenticazione a più fattori, come gli attacchi Adversary-in-the-Middle (AiTM), che intercettano in tempo reale sia la password sia il codice temporaneo tramite pagine di login clonate, e il MFA bombing, che tempesta l'utente di richieste di approvazione finché, per sfinimento, ne accetta una. Non sono motivi per rinunciare alla MFA — che resta la singola misura più efficace — ma per configurarla con criterio: number matching nelle notifiche push, limiti ai tentativi, metodi phishing-resistant per gli account critici e accesso condizionato. È la differenza tra una MFA messa lì tanto per fare e una MFA che protegge davvero, ed è il valore che un partner IT come AscenSys porta in azienda.