Passkey, TOTP o SMS: proteggere l’account dell’exchange

Prima di iniziare

Usa una passkey per accedere all’exchange quando la piattaforma la supporta e prepara prima un accesso di riserva. Se non è disponibile, un’app di autenticazione offre in genere un punto di partenza migliore degli SMS: i suoi codici non dipendono dal controllo del tuo numero. Una pagina di phishing può comunque rubare un codice dell’app. Questa guida confronta le opzioni e spiega come verificare il recupero prima di perdere il telefono.

Le istruzioni riguardano account personali su exchange centralizzati. Servono accesso all’e-mail registrata e un telefono o computer funzionante, protetto dal blocco dello schermo. Potrebbe servire anche una chiave di sicurezza hardware compatibile. Controlla la guida ufficiale dell’exchange: accesso, autorizzazione dei prelievi e recupero possono richiedere verifiche diverse.

Come funziona ogni metodo

L’exchange invia un codice di verifica via SMS al tuo numero. Un aggressore che ne assume il controllo con una sostituzione fraudolenta della SIM o una portabilità può ricevere quei messaggi. Anche una falsa pagina di accesso può intercettare il codice SMS e inoltrarlo all’exchange autentico.

Un’app di autenticazione genera codici da un segreto memorizzato durante la configurazione. Qui parliamo di TOTP, password monouso basate sul tempo. L’app può generarle senza connessione mobile. Il QR di configurazione contiene i dati necessari a produrre gli stessi codici: non inviarlo in chat e non salvarlo in cartelle condivise di screenshot. Chi possiede lo stesso segreto può generare gli stessi codici.

Una passkey usa la crittografia a chiave pubblica. L’exchange conserva la chiave pubblica; il dispositivo o il gestore delle credenziali controlla quella privata. Ne autorizzi l’uso con lo sblocco del dispositivo, per esempio tramite PIN o impronta digitale. Un’implementazione corretta lega la conferma al servizio previsto: un dominio di phishing diverso non ottiene una risposta valida per l’exchange autentico.

Una passkey può sostituire la password o partecipare a una verifica aggiuntiva. Il confronto «passkey o 2FA» richiede quindi precisione: l’autenticazione a due fattori descrive i fattori verificati, mentre passkey indica una tecnologia delle credenziali. Leggi come la usa il tuo exchange.

Cosa copre la resistenza al phishing

La riga sulla chiave hardware riguarda FIDO2/WebAuthn, non qualsiasi dispositivo che mostra cifre. Il NIST spiega che i codici monouso inseriti a mano non resistono al phishing, perché un impostore può inoltrarli al servizio autentico. La resistenza al phishing riguarda il protocollo di autenticazione, non tutte le forme di furto dell’account.

Controllare il recupero prima di cambiare accesso

Apri l’exchange dall’app ufficiale o dal tuo preferito salvato. Elenca i metodi disponibili e controlla il recupero. L’exchange accetta un’altra chiave registrata, fornisce codici di recupero o richiede una verifica dell’identità se manca il metodo principale?

Leggi tempi di attesa e restrizioni delle operazioni nella documentazione ufficiale. L’esperienza di un’altra persona non stabilisce i tempi del tuo account. Mantieni un accesso funzionante finché non avrai verificato il sostituto.

Proteggi anche l’e-mail registrata. Controlla password, protezione dell’accesso e dati di recupero. Un aggressore con accesso alla casella potrebbe avviare una procedura separata per recuperare l’account dell’exchange, anche se il tuo metodo abituale è robusto.

Configurare e verificare una passkey

1. Aggiorna sistema operativo e browser. Attiva il blocco dello schermo e usa un dispositivo personale che controlli.
2. Apri le impostazioni di sicurezza dell’exchange e trova l’opzione passkey. Confronta i passaggi con la guida attuale della piattaforma.
3. Scegli dove salvare la credenziale. Il sistema può proporre un gestore, un telefono o una chiave hardware compatibile. Verifica se l’opzione scelta si sincronizza tra dispositivi.
4. Completa la conferma del sistema. Controlla che l’exchange elenchi il nuovo metodo e assegnagli un nome riconoscibile, se possibile.
5. Lascia aperta la sessione funzionante. Prova un nuovo accesso da un altro profilo del browser o da un dispositivo fidato. Evita computer pubblici per questa verifica.
6. Registra e verifica un accesso di riserva. Solo dopo rivedi i metodi precedenti, inclusi gli SMS, secondo le regole dell’exchange.

Coinbase presenta come esempi una passkey con chiave di sicurezza di riserva oppure due chiavi di sicurezza. Altri exchange possono offrire combinazioni diverse. La disponibilità può dipendere dall’account e dai dispositivi supportati.

Per una passkey sincronizzata, esamina le protezioni del recupero del gestore. Apple descrive la crittografia end-to-end del Portachiavi iCloud e controlli aggiuntivi per accedervi. Non presumere che tutti i fornitori adottino la stessa soluzione. Una credenziale FIDO2 vincolata al dispositivo resta in genere sulla chiave fisica: registra prima un’altra riserva adatta.

Usare un autenticatore se le passkey non sono disponibili

Installa l’app scelta dalla sua pagina ufficiale nello store. Attiva i codici dell’autenticatore nelle impostazioni dell’exchange, scansiona il QR di configurazione e inserisci il codice attuale per completarla. Verifica che il metodo risulti attivo.

Controlla le impostazioni di archiviazione dell’app. Alcune configurazioni conservano i segreti sul dispositivo, altre li sincronizzano tramite un account. Google Authenticator supporta entrambe. Senza un account Google, il trasferimento dei codici richiede un passaggio separato. Provalo mentre il vecchio telefono funziona ancora.

Se un codice non viene accettato, controlla l’ora automatica del dispositivo e la voce dell’exchange selezionata. Non eliminare quella voce come tentativo rapido di riparazione. Senza il segreto iniziale potresti perdere una credenziale funzionante.

Salva i codici di recupero forniti dall’exchange, se disponibili. Tienili accessibili senza telefono e senza accedere all’exchange stesso. Una copia dentro l’account che dovrebbe recuperare può risultare irraggiungibile nel momento necessario.

Provare lo scenario del telefono perso

Immagina di lasciare il telefono in taxi e di voler accedere dal computer di casa. Quel computer dispone già della passkey sincronizzata? Quale approvazione richiederà il gestore? Se la credenziale esiste solo sul telefono perso, quale riserva registrata puoi usare?

Verifica l’accesso di riserva mentre il metodo principale resta disponibile. Accertati di poter aprire le impostazioni di sicurezza. Non avviare una reimpostazione dell’account solo per fare una prova. Conserva la riserva separatamente: una chiave nella stessa custodia può sparire con il telefono.

Dopo una perdita reale, segui le istruzioni dell’exchange e del produttore del dispositivo. Recuperato il controllo, rimuovi la credenziale persa, esamina le sessioni e registra un sostituto. Google documenta la rimozione della passkey di un dispositivo perso dall’account Google; questa procedura non sostituisce il recupero previsto dal tuo exchange.

Controllare prelievi e accessi collegati

Verifica cosa richiede l’exchange per aggiungere un indirizzo di prelievo, cambiare password o disattivare l’autenticazione. Se esiste un elenco di indirizzi consentiti, leggine ritardi e regole di modifica prima di farvi affidamento.

Esamina chiavi API e applicazioni collegate. Elimina gli accessi inutilizzati e controlla i permessi rimanenti. Leggere il saldo e prelevare fondi comporta rischi diversi. Concedi solo i permessi necessari al servizio per il tuo compito.

Se una persona che si presenta come assistenza chiede codici, segreti di configurazione o accesso remoto, interrompi la conversazione e verifica la richiesta nell’app ufficiale. La nostra guida sulla falsa assistenza degli exchange tratta questo caso.

Se hai già comunicato un codice

Da un dispositivo fidato, usa il blocco dell’account o dei trasferimenti, se disponibile. Coinbase documenta per esempio Security Lock, che disconnette i dispositivi e limita le operazioni fino allo sblocco. Il tuo exchange può prevedere una procedura diversa.

Contatta l’assistenza ufficiale e conserva orario, indirizzo della pagina di phishing e dettagli delle operazioni sospette. Controlla l’accesso all’e-mail e le modifiche ai metodi di ingresso. Se hai consentito accesso remoto, usa un altro dispositivo fidato per il recupero. Aggiungere una passkey dopo l’incidente non annulla le transazioni già eseguite dall’aggressore.