Hai dimenticato una password, o non riesci più a entrare in un account, e devi seguire la procedura di ripristino della password? Capita a tutti. La domanda giusta è: quanto è sicura quella procedura? Se è facile per te rientrare, può esserlo anche per qualcun altro. Per creare password robuste trovi una guida a parte su come creare password sicure; qui parliamo di cosa succede quando una password si perde.
Le procedure cambiano molto da un servizio all’altro. Le più comuni sono:
- link o codice via email: il servizio manda un messaggio all’indirizzo collegato all’account, da cui imposti una nuova password;
- codice via SMS al numero di telefono registrato;
- domande di sicurezza scelte al momento dell’iscrizione, come “qual è il cognome da nubile di tua madre?” o “come si chiamava il tuo primo animale domestico?”;
- codici di recupero o un contatto di fiducia, offerti dai servizi più attenti alla sicurezza.
Il sistema che protegge meglio sia l’accesso sia il ripristino è la verifica in due passaggi, che usa un secondo dispositivo, di solito lo smartphone, per confermare che sei davvero tu.
Vediamo quali sono i rischi quando perdi una password o quando il ripristino non va come dovrebbe.
Gli errori che rendono rischioso il ripristino
Il primo errore è usare la stessa password per servizi diversi. Se una sola piattaforma subisce un furto di dati, che sia la posta, un sito di streaming o un social, chi ruba le credenziali le prova anche altrove. Per questo l’account più importante da proteggere è l’email: chi entra nella tua casella può ripristinare la password di quasi tutti gli altri servizi.
Il secondo errore è lasciare dati di recupero vecchi: un numero di telefono che non usi più, un indirizzo email secondario abbandonato. Se quell’indirizzo scade e qualcun altro lo registra, può ricevere i tuoi link di ripristino. Controlla una volta all’anno i dati di recupero dei tuoi account principali.
Il terzo errore è scegliere domande di sicurezza con risposte facili da scoprire.
Le tecniche più comuni per prendere il controllo di un account
La tecnica più nota è il phishing: un’email o un SMS ingannevole ti porta su una pagina falsa, uguale a quella vera, dove inserisci le credenziali o il codice di verifica appena ricevuto. Un servizio serio non ti chiede mai di comunicare quel codice a nessuno.
Poi c’è l’abuso delle domande di sicurezza. Chi conosce la risposta può aggirare la procedura di ripristino e cambiare la password a tua insaputa. Spesso le risposte sono pubbliche: la città di nascita, il nome del cane, la scuola che hai frequentato sono sui social, visibili anche a chi non è tra i tuoi contatti. Un trucco utile è dare risposte false ma che ricordi, oppure una stringa casuale salvata nel password manager: la domanda resta, ma la risposta non si trova in rete.
Una tecnica più recente è lo SIM swap: il truffatore convince l’operatore telefonico a trasferire il tuo numero su una nuova SIM, spesso con documenti falsi, e riceve al posto tuo gli SMS con i codici di ripristino. Per questo, dove è possibile, è meglio usare un’app di autenticazione o una passkey al posto dell’SMS.
Infine ci sono i falsi messaggi di assistenza: qualcuno ti scrive fingendo di essere il supporto del servizio e ti chiede di “confermare” il codice che ti è appena arrivato. In realtà sta ripristinando la tua password.
Come proteggere il ripristino dei tuoi account
- Attiva la verifica in due passaggi su email, banca, social e cloud.
- Salva i codici di recupero che il servizio ti fornisce quando attivi la verifica in due passaggi e conservali fuori dal telefono: se perdi il telefono, sono l’unico modo per rientrare.
- Tieni aggiornati il numero di telefono e l’email di recupero.
- Non serve cambiare tutte le password a scadenza fissa: cambiale subito se ricevi un avviso di accesso che non riconosci o se un servizio comunica un furto di dati.
- Se perdi l’accesso a un account importante, usa solo la procedura ufficiale del servizio, partendo dal suo sito o dalla sua app, mai da un link ricevuto per email.
Per i principali account trovi le istruzioni ufficiali nelle guide di Google sulla verifica in due passaggi, di Apple sull’autenticazione a due fattori e di Microsoft sulla verifica in due passaggi.
Password del computer e dei file: un caso diverso
Una password dimenticata di un servizio online si può quasi sempre ripristinare. Diverso è il caso di un disco o di un file cifrato, per esempio con BitLocker o FileVault: senza password o chiave di ripristino i dati non si possono leggere, nemmeno in laboratorio. Quando attivi la cifratura, salva la chiave di ripristino in un posto sicuro, separato dal computer.
Hai perso dei dati importanti? Scopri tutti i servizi di recupero dati del nostro laboratorio: la diagnosi è gratuita.
Se un attacco ha già cifrato o rovinato i tuoi file, in molti casi si possono ancora salvare: ecco come lavoriamo sul recupero dei file criptati da ransomware.
