Ogni giorno i sistemi di Microsoft registrano oltre 1.000 attacchi alle password al secondo. La maggior parte di questi attacchi va a segno non perché le password siano troppo corte, ma perché gli account colpiti non hanno nessun secondo livello di verifica. Dati alla mano: più del 99,9% degli account compromessi non aveva l'MFA attiva.

Eppure l'MFA è già inclusa in molte licenze software che le PMI pagano ogni mese. In molti casi non costa nulla di extra — basta attivarla.

Cos'è l'MFA e come funziona in pratica

MFA sta per Multi-Factor Authentication, autenticazione a più fattori. Significa che per accedere a un sistema non basta il nome utente e la password: serve anche una seconda conferma.

Questa seconda conferma può essere:

  • un codice temporaneo generato da un'app sul telefono (es. Microsoft Authenticator, Google Authenticator);
  • una notifica push da approvare con un tap;
  • una chiave hardware fisica (token USB, standard FIDO2);
  • un dato biometrico come l'impronta digitale o il riconoscimento facciale.

Il principio è semplice: anche se un criminale ruba la tua password — tramite phishing, un database violato o un malware — non riesce comunque ad accedere, perché non ha il secondo fattore.

Quanto è efficace davvero?

L'efficacia dell'MFA contro gli attacchi automatizzati è molto alta. Questo tipo di attacco — detto credential stuffing o brute force — funziona provando migliaia di combinazioni di credenziali rubate su più servizi. Con l'MFA attiva, queste campagne si fermano quasi sempre al primo ostacolo.

Anche contro il phishing, dove un utente viene ingannato a inserire le proprie credenziali su una pagina falsa, l'MFA riduce drasticamente il rischio: il codice temporaneo generato dall'app scade in 30 secondi e non può essere riusato.

Una password rubata senza un secondo fattore è una porta aperta. Con l'MFA, la stessa password rubata diventa quasi inutile per chi l'ha sottratta.

Non è uno strumento infallibile — gli attacchi sofisticati di tipo real-time phishing o il SIM swapping possono in alcuni casi aggirarla — ma elimina la stragrande maggioranza dei rischi concreti che colpiscono le PMI ogni giorno.

Il costo reale: pochi euro al mese, o zero

Questo è il punto che spesso sorprende i titolari d'azienda: l'MFA non è una voce di spesa aggiuntiva nella maggior parte dei casi.

  • Microsoft 365 Business Premium include già Azure AD con MFA configurabile per tutti gli utenti.
  • Google Workspace ha l'autenticazione a due fattori integrata e attivabile in pochi clic dall'amministratore.
  • Per accessi VPN o applicazioni gestionali più datate, soluzioni dedicate come WatchGuard AuthPoint hanno un costo nell'ordine dei 3-5 euro per utente al mese.

Metti in bilancio anche il costo dell'alternativa. Il costo medio di una violazione dei dati per una piccola o media impresa italiana supera i 50.000 euro — e questo senza contare i danni reputazionali, i fermi operativi e le possibili sanzioni.

Con 10 dipendenti e una soluzione da 5 euro/utente/mese, si spendono 600 euro l'anno. È un confronto che si commenta da solo.

NIS2: dal 2026 in molti casi è un obbligo

Il D.Lgs. 138/2024 recepisce in Italia la Direttiva europea NIS2. Questa normativa impone alle organizzazioni rientranti nel perimetro di adottare misure di sicurezza proporzionate al rischio. L'Agenzia per la Cybersicurezza Nazionale (ACN) indica esplicitamente l'MFA tra i requisiti fondamentali per la protezione degli accessi, in particolare quelli con privilegi elevati.

Le scadenze sono graduate, ma la piena implementazione delle misure è prevista entro ottobre 2026. Le sanzioni per chi non si adegua possono arrivare a:

  • 10 milioni di euro o il 2% del fatturato annuo globale per i soggetti classificati come essenziali;
  • 7 milioni di euro o l'1,4% del fatturato per i soggetti importanti.

Il problema concreto è che molte PMI italiane non sanno ancora di rientrare nel perimetro NIS2. Se la tua azienda opera in settori come energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione o fornisce servizi a soggetti in questi settori, è probabile che tu sia coinvolto. Vale la pena verificarlo — prima che arrivi una notifica dall'ACN.

Il gap di adozione nelle PMI italiane

I numeri sull'adozione dell'MFA tra le imprese italiane sono preoccupanti. Nelle organizzazioni di medie dimensioni (da 26 a 100 dipendenti) l'adozione dell'MFA si attesta intorno al 34%. Nelle imprese più piccole, fino a 25 dipendenti, scende ulteriormente al 27%.

Le grandi aziende con oltre 10.000 dipendenti raggiungono invece l'87% di adozione. Il divario è enorme, e in Italia pesa più che altrove: il nostro tessuto produttivo è composto per oltre il 99% da PMI.

Questo significa che la maggior parte delle imprese italiane è oggi esposta a rischi che potrebbero essere ridotti in modo significativo con una configurazione che richiede meno di un'ora di lavoro tecnico.

Come iniziare: una guida pratica per una PMI

Non serve un progetto di mesi. Ecco un percorso concreto in tre passi:

  1. Attiva l'MFA sugli strumenti che già usi. Se hai Microsoft 365 o Google Workspace, l'MFA è già disponibile. L'amministratore può abilitarla per tutti gli utenti dal pannello di controllo, impostandola come obbligatoria. Questo è il primo passo, quello con rapporto costo/impegno più favorevole.
  2. Proteggi prima gli accessi critici. Email aziendale, VPN, gestionale, home banking, pannelli di amministrazione del sito: questi sono i punti d'ingresso più sfruttati. Inizia da qui.
  3. Usa app authenticator, non solo SMS. Il codice via SMS è meglio di niente, ma è vulnerabile agli attacchi di SIM swapping. Un'app come Microsoft Authenticator o Google Authenticator è più sicura e altrettanto semplice da usare.

Per gli account con privilegi elevati — amministratori IT, dirigenti, chi accede ai sistemi contabili — valuta l'uso di una chiave hardware FIDO2 (un dispositivo USB o NFC del costo di 30-50 euro). Nel 2026 è la forma di autenticazione più robusta disponibile per uso aziendale quotidiano.

Una nota sulla formazione

L'MFA funziona solo se chi la usa capisce perché esiste. Può capitare che un dipendente approvi distrattamente una notifica push ricevuta mentre non sta accedendo a nulla — questo si chiama MFA fatigue ed è una tecnica usata dagli attaccanti. Bastano pochi minuti di spiegazione al team per ridurre questo rischio: "se ricevi una notifica di accesso che non hai richiesto, rifiuta e avvisa subito il responsabile IT."

In sintesi

L'MFA non è la soluzione a tutto. Non protegge da un dipendente che clicca su un allegato malevolo, non sostituisce i backup, non sostituisce una policy di sicurezza. Ma è la misura con il rapporto costo/beneficio più alto disponibile oggi per una PMI.

Costa poco o niente, si attiva in tempi brevi, riduce in modo sostanziale il rischio degli attacchi più comuni e — dal 2026 — è un requisito normativo per una fetta sempre più ampia di imprese italiane.

Se non l'hai ancora attivata, inizia questa settimana. Non serve un consulente per il primo passo: apri il pannello di amministrazione del tuo Microsoft 365 o Google Workspace e cerca "autenticazione a più fattori". Ci sono meno di 10 clic tra te e un livello di sicurezza significativamente più alto.