Per proteggere i propri account online, l'Ufficio federale della cibersicurezza (UFCS) raccomanda tre accorgimenti: una password di almeno 12 caratteri, diversa per ogni servizio, un gestore di password e l'autenticazione a due fattori ovunque sia disponibile. Queste regole valgono per un privato come per una PMI svizzera, perché una sola credenziale rubata può aprire più account.
Questa pagina offre una panoramica della protezione degli accessi. Completa le misure di base della cibersicurezza nelle PMI e la rubrica dedicata a proteggere la propria azienda. Distingue ciò che dicono le autorità e gli esperti dalla nostra analisi.
Cifre chiave
- 12 caratteri come minimo per una password, con maiuscole, minuscole, cifre e caratteri speciali, secondo l'UFCS.
- Almeno 20 caratteri per una password Wi-Fi, raccomanda l'UFCS.
- Il furto di password ha un ruolo in circa un terzo degli incidenti subiti dalle PMI svizzere, secondo lo studio «Cibersicurezza delle PMI 2026».
- Il 19 ottobre 2026 l'UFCS ha pubblicato «Cinque passi per un'autenticazione sicura».
- Dal 17 al 19 ottobre 2026 un intruso ha usato le credenziali di un utente per consultare dati del portale MySIHF della federazione svizzera di hockey su ghiaccio.
Che cos'è una password sicura?
Una password sicura è lunga, imprevedibile e riservata a un solo servizio. Nella sua pagina dedicata alla protezione dei dispositivi e degli accessi, l'UFCS fissa la soglia a 12 caratteri. Chiede di combinare maiuscole, minuscole, cifre e caratteri speciali.
La campagna nazionale di sensibilizzazione S-U-P-E-R.ch aggiunge una regola semplice: evitare le informazioni personali, come una data di nascita o il nome di una persona cara. Il programma «eBanking – ma sicuro!», della Scuola universitaria professionale di Lucerna, ricorda il principio: più una password è imprevedibile, complessa e lunga, più è sicura.
Perché una password diversa per ogni account?
Una password riutilizzata trasforma una sola fuga di dati in più intrusioni. In una pubblicazione del 20 aprile 2026, l'UFCS spiega il meccanismo: dopo un furto di dati, uno strumento automatizzato verifica se la password funziona su altre piattaforme.
Modificare leggermente una password non basta: cambiare una cifra o aggiungere un segno crea una sequenza che i pirati informatici sanno ricostruire, secondo lo stesso testo.
L'account di posta elettronica merita la massima attenzione. È da lì che passano le richieste di reimpostazione degli altri servizi, sottolinea l'UFCS. La nostra analisi: proteggere per primo l'indirizzo e-mail protegge indirettamente tutti gli account che vi sono collegati.
Serve un gestore di password?
Sì, secondo l'UFCS, che lo raccomanda per avere una password per ogni servizio. Un gestore di password crea, salva e inserisce password complesse. Evita di dover memorizzare decine di combinazioni.
Il suo limite sta nella password principale. Se è debole e finisce nelle mani sbagliate, dà accesso a tutte le password salvate, avverte l'ufficio. L'UFCS consiglia anche di scegliere un gestore che supporti a sua volta l'autenticazione a due fattori. 2clics non raccomanda alcuna marca.
Come funziona l'autenticazione a due fattori?
L'autenticazione a due fattori, detta anche doppia autenticazione, aggiunge una seconda verifica dopo la password. Un intruso che conosce la password deve ancora superare questo passaggio.
La campagna S-U-P-E-R.ch cita diverse forme di secondo fattore: un codice ricevuto via SMS o generato da un'app di autenticazione, una notifica sullo smartphone, oppure una conferma biometrica tramite impronta digitale o riconoscimento facciale. Secondo questa campagna, anche in caso di furto della password, questo passaggio impedisce quasi ogni tentativo di accesso non autorizzato.
Codice SMS, app o passkey: cosa scegliere?
La scelta dipende dal servizio, perché ognuno offre i propri metodi. La tabella riassume ciò che dicono le fonti ufficiali su ciascun mezzo.
| Mezzo | Funzionamento | Cosa dicono le fonti |
|---|---|---|
| Codice via SMS | Un codice monouso arriva sul telefono dopo la password | La rete mobile funge da canale supplementare, il che ostacola l'intercettazione (eBanking – ma sicuro!) |
| App di autenticazione | L'app genera un codice valido per poco tempo | Citata tra i secondi fattori raccomandati (S-U-P-E-R.ch) |
| Notifica sullo smartphone | L'utente conferma l'accesso sul proprio dispositivo | Citata tra i secondi fattori raccomandati (S-U-P-E-R.ch) |
| Passkey (chiave d'accesso) | Una coppia di chiavi crittografiche, associata alla biometria | Mira a sostituire la password (eBanking – ma sicuro!) |
Per approfondire, la guida «Cinque passi per un'autenticazione sicura» dell'UFCS confronta la password, la passkey e la smart card. Propone di classificare i mezzi di autenticazione secondo la sicurezza che offrono.
L'autenticazione a due fattori protegge da tutto?
No. Non protegge dal phishing in tempo reale, ha avvertito il Centro nazionale per la cibersicurezza (NCSC), in una rassegna pubblicata il 14 febbraio 2023 e tuttora online sul sito dell'UFCS.
Il meccanismo descritto è semplice. Una falsa pagina di accesso riceve la password. I truffatori la inseriscono subito sulla vera pagina, il che fa partire l'invio del codice. La vittima digita poi questo codice sulla falsa pagina, e i pirati lo utilizzano immediatamente.
L'esempio, segnalato da un comune, riguardava account Microsoft Office 365 protetti da due fattori. La contromisura resta la stessa: non inserire mai una password su una pagina aperta tramite un link ricevuto via e-mail o SMS.
L'UFCS aggiunge un riflesso: digitare personalmente l'indirizzo della banca o della posta elettronica, mai partendo da una ricerca su Google, dove delle pubblicità possono condurre a un'imitazione.
Come capire se un account è compromesso?
Il primo segnale arriva spesso tardi: improvvisamente non si riesce più ad accedere, constata l'UFCS. Altri segnali d'allarme compaiono prima:
- tentativi di accesso da luoghi o in orari insoliti;
- impostazioni modificate senza il vostro intervento;
- messaggi inviati dal vostro account che non avete scritto;
- codici monouso ricevuti senza averli richiesti, da segnalare subito alla propria banca secondo «eBanking – ma sicuro!».
Anche gli avvisi di accesso possono essere falsi. Dei truffatori li imitano per spingere a cliccare su un link di phishing, avverte l'UFCS. Meglio aprire il servizio digitandone l'indirizzo, poi verificare l'account da lì. L'ufficio cita anche lo strumento di verifica delle fughe di dati di iBarry, che controlla le password legate a un indirizzo e-mail.
Cosa fare se un account viene violato?
Bisogna agire in fretta e con ordine. L'UFCS descrive questi passi nella sua pagina dedicata agli account violati:
- cambiare immediatamente la password, se l'accesso funziona ancora;
- contattare senza indugio il fornitore, se si tratta di una banca o di un servizio finanziario;
- altrimenti, usare la reimpostazione, spesso inviata a un indirizzo e-mail alternativo registrato;
- se anche questo indirizzo è stato cambiato, seguire la procedura di recupero del fornitore, che chiede di confermare la propria identità;
- attivare poi l'autenticazione a due fattori, aggiornare i propri dispositivi e avviare un antivirus.
Una casella di posta violata richiede un controllo in più. I truffatori creano spesso una regola che inoltra loro delle e-mail, anche dopo il cambio di password. L'UFCS consiglia di eliminarla, di reimpostare i servizi legati a questo indirizzo e di avvisare i propri contatti.
In caso di danno finanziario, l'ufficio raccomanda di sporgere denuncia presso la polizia cantonale. Le settimane successive richiedono una particolare vigilanza di fronte ai tentativi di phishing mirati.
La nostra analisi: i mezzi di recupero si preparano prima dell'incidente. Un indirizzo di riserva aggiornato, ed eventuali codici di riserva conservati fuori dal telefono, come consiglia «eBanking – ma sicuro!» per le credenziali, evitano di restare bloccati. Per un'azienda, questi passi trovano posto in un piano di risposta agli attacchi informatici.
Quali regole per proteggere gli account di una PMI?
Una PMI ha bisogno di regole scritte, non solo di buone abitudini. «eBanking – ma sicuro!» propone una politica delle password in quattro fasi: elencare tutti gli accessi protetti, fissare delle regole, controllarne il rispetto e sensibilizzare i collaboratori.
Questa politica stabilisce diversi principi, secondo il programma lucernese:
- una password resta personale e non si condivide mai;
- si conserva e si trasmette sempre in forma cifrata;
- l'azienda fornisce un gestore di password al proprio personale;
- i sistemi impediscono di riattivare vecchie password;
- l'autenticazione a due fattori protegge la modifica della password.
La campagna S-U-P-E-R.ch aggiunge la gestione dei diritti. Ogni dipendente riceve solo gli accessi necessari al proprio ruolo. I diritti si revocano non appena una persona lascia l'azienda o cambia posto, e si controllano regolarmente.
L'UFCS annovera le password sicure e l'autenticazione a più fattori tra le sue misure organizzative. Queste regole contano ancora di più quando il team si collega dall'esterno, come spiega nel dettaglio la nostra pagina sul telelavoro e la sicurezza informatica.
Esempio datato: dal 17 al 19 ottobre 2026 un intruso si è collegato al portale MySIHF della Swiss Ice Hockey Federation con le credenziali di un utente. Il 26 ottobre la federazione ha scoperto che i dati consultati erano in vendita su un forum. La nostra analisi: è bastato un solo account dirottato, il che giustifica l'autenticazione a due fattori su ogni accesso a dati di terzi.
La formazione completa il dispositivo: S-U-P-E-R.ch suggerisce dei workshop sui gestori di password e sull'autenticazione a due fattori. La nostra pagina sulla sensibilizzazione alla cibersicurezza descrive i metodi, e un test di cibersicurezza per PMI aiuta a misurare il proprio punto di partenza.
Fonti
- Ufficio federale della cibersicurezza: protezione dei dispositivi, password e controllo degli accessi
- Ufficio federale della cibersicurezza: quando una password compromette più account (20 aprile 2026)
- Ufficio federale della cibersicurezza: account Office 365 presi di mira dal phishing in tempo reale (14 febbraio 2023)
- Ufficio federale della cibersicurezza: i primi riflessi da adottare
- Ufficio federale della cibersicurezza: cosa fare in caso di account violato o di fuga di dati?
- S-U-P-E-R.ch: come proteggere i propri accessi
- eBanking – ma sicuro!: una politica delle password efficace per le PMI
- eBanking – ma sicuro!: autenticazione via SMS
- eBanking – ma sicuro!: le passkey (7 agosto 2024)
