Verifica in due passaggi: perché in un’emergenza la famiglia resta chiusa fuori (e come evitarlo)

Dieci anni fa bastava una password. Chi la conosceva entrava. Oggi quasi tutti i servizi importanti, dalla banca all’email, chiedono una seconda prova: un codice via SMS, una notifica da approvare, un numero generato da un’app, l’impronta digitale. Si chiama verifica in due passaggi (o autenticazione a due fattori) ed è una delle protezioni più efficaci contro i furti di account.

Ha però un effetto collaterale che pochi considerano. Lega l’accesso a un oggetto fisico, di solito il telefono. Il giorno in cui quel telefono non è disponibile, perché sei in ospedale, perché si è rotto in un incidente, perché è rimasto bloccato in un cassetto, la porta resta chiusa anche per chi ha la chiave.

Questa guida spiega come funziona, perché in un’emergenza diventa il primo ostacolo per la famiglia o per i collaboratori, e come preparare un piano B che non indebolisca la sicurezza.

Come funziona la verifica in due passaggi

Il principio è semplice: per entrare devi dimostrare la tua identità con almeno due elementi di natura diversa. La Banca d’Italia li riassume in tre categorie:

• conoscenza: qualcosa che solo tu sai, come una password o un PIN;
• possesso: qualcosa che solo tu hai, come il telefono, un token o una carta;
• inerenza: qualcosa che sei, come l’impronta digitale o il riconoscimento del volto.

Un ladro che ruba la tua password non basta: gli manca il telefono. Uno che ruba il telefono non basta: gli manca il PIN. È proprio questa separazione a rendere difficile la vita ai truffatori.

Per i pagamenti e l’accesso ai conti online questa doppia prova non è una scelta della banca ma un obbligo: la direttiva europea sui servizi di pagamento (PSD2) impone l’autenticazione forte del cliente. Per questo nessuna banca ti permetterà di disattivarla, nemmeno per comodità.

Le forme più diffuse

Nota l’ultima colonna: in quasi tutti i casi l’elemento indispensabile è il tuo telefono, funzionante e sbloccato.

Perché in un’emergenza blocca la famiglia

Immagina tre situazioni frequenti.

Il telefono è in ospedale con te, ma tu non puoi usarlo. È acceso, riceve gli SMS, ma è protetto da codice di sblocco o da impronta. Chi ti assiste non può leggere i codici né approvare le notifiche.

Il telefono si è rotto o è andato perso. Dopo un incidente succede spesso. I codici via SMS potrebbero arrivare su una nuova SIM, ma il duplicato della SIM va richiesto dall’intestatario, con documento: cioè da te.

Il telefono è a casa, ma nessuno conosce il codice di sblocco. Dentro ci sono l’app della banca, l’app di autenticazione con i codici dell’email di lavoro, WhatsApp con i contatti dei clienti. Tutto a portata di mano, tutto inaccessibile.

In tutti e tre i casi, anche una persona che conoscesse le tue password e avesse il tuo pieno consenso non riuscirebbe a entrare. È un effetto voluto della sicurezza, ma diventa un problema concreto quando qualcuno deve leggere un’email urgente, recuperare un documento dal cloud o capire quali pagamenti sono in scadenza.

Il piano B: cosa prevedono i servizi principali

Chi progetta questi sistemi conosce il problema dei telefoni persi. Per questo quasi tutti i servizi importanti offrono uno o più metodi di riserva. Il guaio è che vanno attivati prima: dopo è tardi.

Codici di backup (Google e molti altri)

Google permette di generare una serie di codici monouso da usare quando non hai il telefono: ogni codice funziona una sola volta. Molti altri servizi offrono qualcosa di simile, spesso chiamato «codici di recupero»: social network, servizi cloud, piattaforme di sviluppo, gestionali. Si generano dalle impostazioni di sicurezza dell’account e si stampano o si salvano in un posto sicuro.

Chiave di recupero e contatti di recupero (Apple)

Apple offre due strumenti diversi. La chiave di recupero è un codice segreto di 28 caratteri che, insieme a un numero di telefono attendibile e a un dispositivo Apple, permette di recuperare l’account. Va custodita con cura: chi la attiva rinuncia alla procedura standard di recupero gestita da Apple, quindi se la perde può restare chiuso fuori.

I contatti di recupero sono persone di fiducia che, quando non riesci ad accedere, ti forniscono un codice per dimostrare la tua identità. Non vedono i tuoi dati: ti aiutano solo a rientrare.

Secondo metodo di verifica

Quasi tutti i servizi permettono di registrare più metodi: un secondo numero di telefono, un indirizzo email di recupero, una seconda app di autenticazione, una chiave di sicurezza fisica. Registrarne almeno due evita che un solo oggetto perso blocchi tutto.

Le banche e lo SPID

Qui il piano B è diverso, ed è importante capirlo. Per banca e SPID non si tratta di far entrare un familiare con le tue credenziali: l’accesso con i tuoi codici equivale a dichiarare di essere te, e le credenziali SPID sono strettamente personali. Le strade corrette sono altre:

• per il conto, una delega o una procura firmata in banca, con cui la persona di fiducia opera a proprio nome;
• per l’INPS, la delega dell’identità digitale, con cui il delegato entra con il proprio SPID e agisce per tuo conto;
• per te, al rientro, le procedure di recupero della banca o del gestore SPID, che richiedono la tua identificazione.

Le trovi spiegate nella guida sul ricovero improvviso.

Come organizzarlo senza indebolire la sicurezza

Un piano B mal costruito è peggio di nessun piano: un foglio con tutti i codici attaccato al frigorifero annulla in un colpo la protezione che la verifica in due passaggi ti dava. Ecco come procedere.

1. Fai l’elenco degli account critici: l’email principale (da cui si recuperano quasi tutti gli altri account), il cloud con i documenti, l’account Apple o Google del telefono, l’email di lavoro, i gestionali.
2. Per ognuno, controlla i metodi di verifica attivi nelle impostazioni di sicurezza. Se c’è solo il telefono, aggiungine almeno un secondo.
3. Genera i codici di backup o la chiave di recupero dove il servizio lo prevede.
4. Conservali separati dal telefono: mai in una foto o in una nota sullo stesso dispositivo che vogliono sostituire.
5. Imposta i contatti di recupero dove esistono, scegliendo persone che hanno un dispositivo compatibile e che sanno di esserlo.
6. Scrivi le istruzioni: quale app usi per i codici, su quale telefono si trova, a chi rivolgersi se va reinstallata.
7. Decidi chi può usare cosa e quando: per l’email del negozio forse serve subito, per l’account Apple personale forse mai.
8. Aggiorna dopo ogni cambio di telefono: un telefono nuovo spesso significa codici e app da riconfigurare.

Dove conservare codici e istruzioni

Le opzioni più comuni hanno tutte un punto debole.

Il punto chiave è separare due momenti: oggi i codici devono essere al sicuro e invisibili a tutti; in emergenza devono arrivare, con le istruzioni, solo alla persona giusta.

Come aiuta La Cassaforte Digitale

La Cassaforte Digitale è pensata proprio per tenere separati questi due momenti. Nell’archivio cifrato conservi codici di backup, chiavi di recupero, l’elenco degli account critici e le istruzioni su come usarli. Nessun delegato vede nulla finché non serve.

• Il Controllo Vitale ti chiede periodicamente «Tutto OK?». Se non rispondi, dopo solleciti e un periodo di grazia, inizia il rilascio ai delegati.
• I livelli Verde, Giallo e Rosso ti permettono di decidere l’ordine: per esempio i codici dell’email di lavoro subito, quelli dell’account personale più tardi o mai.
• Ogni delegato riceve una propria Chiave di Accesso Delegato e vede solo il livello che gli hai assegnato. La tua Chiave Privata resta tua.
• Al rientro revochi gli accessi con un click. Per sicurezza, rigenera poi i codici di backup che sono stati consultati.

Dopo un cambio di telefono: il controllo da non saltare

Il momento più rischioso non è l’emergenza: è il cambio di telefono. Le app di autenticazione non sempre si trasferiscono da sole, i numeri di recupero cambiano, i vecchi codici di backup restano validi su un foglio dimenticato. Ogni volta che cambi smartphone dedica mezz’ora a questi controlli:

• verifica che l’app di autenticazione sul nuovo telefono generi codici validi per ogni account;
• disattiva il vecchio telefono dagli account come dispositivo attendibile;
• rigenera i codici di backup e sostituisci la copia conservata;
• aggiorna le istruzioni per chi dovrà sostituirti.

È un lavoro noioso, ma è quello che fa la differenza tra una famiglia che riesce a leggere un’email urgente e una che aspetta settimane.

Domande frequenti

Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo

Fonti

1. Banca d’Italia — L’autenticazione forte del cliente (SCA) — categorie di fattori e obbligo per i pagamenti online
2. Google — Accedere con i codici di backup — codici monouso per la verifica in due passaggi
3. Apple — Configurare una chiave di recupero per l’Apple Account — chiave di 28 caratteri e limiti del recupero
4. Apple — Configurare un contatto di recupero dell’account — ruolo del contatto di recupero
5. AgID — Domande frequenti su SPID — natura personale delle credenziali

Verificate il 10 novembre 2026.

Approfondimenti