Ogni giorno, su scala globale, vengono rubate migliaia di combinazioni username/password. Il problema non è solo che le password vengono indovinate: vengono comprate, scambiate, riutilizzate. Molti dipendenti usano la stessa password per il gestionale aziendale e per un sito di e-commerce. Se quel sito viene violato, l'attaccante ha già le credenziali per entrare in azienda.

L'autenticazione a più fattori (MFA) spezza questa catena. Anche se l'attaccante conosce username e password, senza il secondo fattore non entra. È una barriera semplice, economica e straordinariamente efficace.

Cosa significa MFA, in pratica

MFA sta per Multi-Factor Authentication: autenticazione a più fattori. Significa che per accedere a un sistema non basta sapere la password, ma serve anche dimostrare qualcosa di ulteriore.

I fattori si dividono in tre categorie:

  • Qualcosa che sai — la password o un PIN.
  • Qualcosa che hai — il telefono, un token fisico, una chiavetta FIDO2.
  • Qualcosa che sei — impronta digitale, riconoscimento facciale.

Nella pratica quotidiana di una PMI, l'MFA funziona così: il dipendente inserisce la password, poi apre un'app sul telefono (Google Authenticator, Microsoft Authenticator) e digita un codice a sei cifre che cambia ogni trenta secondi. Oppure riceve una notifica push e la approva con un tap.

Non è fantascienza. È già disponibile, già integrata nei principali strumenti che molte aziende usano ogni giorno: Microsoft 365, Google Workspace, i principali gestionali cloud.

Perché le password da sole non bastano più

Il punto debole non è la tecnologia: è il comportamento umano. Secondo i dati raccolti dai principali osservatori di settore, una quota molto alta di utenti riutilizza le stesse password su più servizi. Quando un servizio online viene violato — e accade regolarmente — quelle credenziali finiscono in elenchi che circolano nel mercato nero.

Gli attaccanti non devono essere geni informatici. Comprano un elenco di credenziali, lo provano in automatico su migliaia di servizi aziendali, e aspettano. È un lavoro di volume, non di precisione.

«Secondo il Verizon Data Breach Investigations Report, circa l'80% delle violazioni aziendali parte da credenziali compromesse. L'MFA interrompe questo meccanismo prima che il danno sia fatto.»

Microsoft, che gestisce uno dei più grandi sistemi di identità aziendali al mondo (Entra ID), ha rilevato nell'ultimo anno circa 7.000 attacchi alle password al secondo. Non è un numero che riguarda solo le grandi aziende: chiunque abbia un account Microsoft 365, anche una piccola impresa con cinque dipendenti, è nel mirino.

Quanto costa un attacco, e quanto costa l'MFA

Il costo di un data breach in Italia è cresciuto. Secondo il Cost of a Data Breach Report 2026 di IBM, il costo medio in Italia ha superato i 3,5 milioni di euro considerando grandi organizzazioni. Per le PMI, gli osservatori locali stimano un impatto reale tra i 120.000 e i 200.000 euro per singolo incidente, tra blocco operativo, recupero dati, notifiche obbligatorie e danni reputazionali.

A fronte di questi numeri, quanto costa attivare l'MFA?

  • App authenticator (Google, Microsoft): gratuite.
  • Soluzioni enterprise (Duo, Okta, WatchGuard AuthPoint): tra i 3 e i 9 euro per utente al mese.
  • Token hardware (YubiKey, chiavette FIDO2): tra i 25 e i 50 euro una tantum per unità, consigliati per gli account con accessi privilegiati.

Per un'azienda con 20 dipendenti che usa una soluzione enterprise a 5 euro/utente/mese, il costo annuo è 1.200 euro. Il confronto con il rischio è impietoso.

Va detto con onestà: l'MFA non è infallibile. Esistono attacchi sofisticati — come il MFA fatigue (bombardamento di notifiche push per stancare l'utente) o il phishing in tempo reale — che riescono ad aggirarla. Ma questi richiedono un livello di sforzo molto più alto da parte dell'attaccante, e riguardano quasi sempre bersagli specifici e di alto valore. Per la stragrande maggioranza degli attacchi automatizzati che colpiscono le PMI, l'MFA è una barriera efficace.

NIS2 e D.Lgs. 138/2024: l'MFA non è più solo buona pratica

Dal 2024, con il recepimento italiano della Direttiva NIS2 attraverso il D.Lgs. 138/2024, alcune categorie di aziende hanno obblighi precisi in materia di sicurezza informatica. L'Agenzia per la Cybersicurezza Nazionale (ACN) indica esplicitamente l'autenticazione a più fattori tra le misure necessarie per la protezione degli accessi, in particolare quelli privilegiati.

La NIS2 si applica alle aziende nei settori cosiddetti "essenziali" e "importanti": energia, trasporti, sanità, infrastrutture digitali, ma anche manifattura in certi casi. Se la tua azienda rientra in questi ambiti, non avere l'MFA attiva significa avere difficoltà concrete nel dimostrare la conformità ai requisiti di sicurezza richiesti dalla norma.

Anche per chi non rientra direttamente nel perimetro NIS2, il quadro normativo si sta stringendo. Le assicurazioni cyber stanno iniziando a richiedere l'MFA come requisito minimo per emettere una polizza. I clienti enterprise chiedono evidenza delle misure di sicurezza ai fornitori. Non è più solo una questione tecnica.

Per approfondire il quadro normativo: Vianova — La password non basta più: cosa accadrà con la MFA obbligatoria nel 2026.

Come si attiva l'MFA in una PMI: i passi concreti

Non esiste un percorso unico, ma un approccio ragionevole per una PMI italiana parte da tre mosse.

  1. Attivare subito l'MFA sugli strumenti già in uso. Microsoft 365 e Google Workspace hanno l'MFA integrata e gratuita. Basta abilitarla dal pannello di amministrazione. È il passo con il massimo ritorno a costo zero.
  2. Rendere l'MFA obbligatoria, non facoltativa. Se è opzionale, molti utenti non la attiveranno. Va imposta tramite policy di amministrazione, almeno per gli account con accesso a dati sensibili o sistemi critici.
  3. Aggiungere protezione hardware per gli account privilegiati. L'amministratore di sistema, il responsabile contabilità, chi accede ai server: per questi ruoli, una chiavetta FIDO2 (25-50 euro) offre una protezione nettamente superiore alla sola app authenticator, ed è resistente anche agli attacchi di phishing più sofisticati.

Il punto critico non è tecnico: è organizzativo. Bisogna formare i dipendenti, spiegare perché esiste il secondo passaggio, gestire i casi di chi perde il telefono. Una piccola policy scritta, anche di una pagina, evita il 90% dei problemi operativi.

Se vuoi valutare quale soluzione MFA si adatta meglio alla struttura della tua azienda — che si tratti di un'app gratuita, di una piattaforma enterprise come WatchGuard AuthPoint, o di token hardware — puoi leggere una guida pratica su BullTech — MFA Aziendale 2026 oppure consultarci direttamente.

In sintesi: perché farlo adesso

L'MFA non risolve tutti i problemi di sicurezza. Non protegge da un ransomware che entra via allegato email, non sostituisce i backup, non elimina la necessità di aggiornare i sistemi. Ma blocca la classe di attacchi più comune — quelli basati su credenziali rubate — con un investimento minimo.

Il Rapporto Clusit segnala che l'Italia è diventata un bersaglio sempre più frequente per i cybercriminali, con il settore manifatturiero tra i più colpiti. Le PMI italiane, spesso percepite come bersagli facili proprio perché meno protette delle grandi aziende, non possono permettersi di ignorare misure di base come questa.

Attivare l'MFA oggi richiede qualche ora di lavoro. Gestire le conseguenze di un account compromesso può richiedere settimane, e costare molto di più di quanto si immagina.