Ottobre è il Mese europeo della cybersicurezza: come proteggere email e account con passkey, verifica in due passaggi e un piano di recupero affidabile.

Dal 1° al 31 ottobre 2026 si svolge il Mese europeo della cybersicurezza, la campagna dedicata alla consapevolezza digitale di cittadini e organizzazioni. La scheda della Commissione europea conferma le date dell’iniziativa, sostenuta da ENISA e dalla Commissione. È un’occasione utile per controllare un aspetto spesso trascurato della vita online: come entriamo nei nostri account e come potremmo recuperarli.

Email, archivi cloud e profili social contengono informazioni diverse, ma spesso sono collegati fra loro. Una casella di posta può ricevere i link per reimpostare altre password. Per questo la sicurezza non si esaurisce nella scelta di una parola difficile da indovinare: conta anche l’organizzazione degli accessi e dei metodi di recupero.

Cominciare dall’account che apre le altre porte

Un controllo pratico può partire dall’email principale. Vale la pena capire quali servizi la utilizzino per inviare avvisi di sicurezza e richieste di recupero. Questa ricognizione permette di individuare gli account sui quali concentrarsi per primi, senza dover cambiare tutte le impostazioni nello stesso momento.

Per un professionista che usa la posta anche per fatture e documenti, la perdita dell’accesso può interrompere attività quotidiane. Una buona domanda è quindi: se domani il telefono non fosse disponibile, riuscirei ancora a entrare nell’email? La risposta deve basarsi sui metodi effettivamente configurati, non sul ricordo di aver attivato una protezione tempo fa.

Perché le passkey meritano attenzione

Le passkey descritte dalla FIDO Alliance sono credenziali basate su standard crittografici. Consentono di approvare l’accesso con un meccanismo simile allo sblocco del dispositivo, per esempio un PIN o il riconoscimento biometrico. Possono essere sincronizzate tramite un fornitore oppure legate a uno specifico dispositivo, come una chiave di sicurezza.

Il loro vantaggio centrale è la resistenza al phishing nell’autenticazione: non richiedono di digitare una password che possa essere consegnata a una pagina falsa. Questo non equivale a rendere impossibile ogni truffa. Un messaggio ingannevole può ancora cercare di convincere una persona a inviare denaro o informazioni al di fuori della procedura di accesso.

La verifica in due passaggi resta una protezione utile

Quando un servizio utilizza la password, la verifica in due passaggi aggiunge un controllo. La guida del National Cyber Security Centre spiega le opzioni disponibili, che possono comprendere applicazioni di autenticazione, codici e chiavi di sicurezza. Le possibilità concrete dipendono dal servizio.

Non tutte le modalità resistono agli stessi attacchi. Un codice temporaneo digitato su una pagina contraffatta può essere intercettato durante il tentativo di accesso; FIDO distingue questo scenario dall’autenticazione con passkey. Conviene quindi leggere le istruzioni del proprio account e scegliere consapevolmente, evitando di approvare richieste inattese solo per far scomparire una notifica.

Il recupero va preparato quando tutto funziona

Il NCSC raccomanda di prevedere un’alternativa se il normale secondo passaggio non è disponibile. Alcuni servizi forniscono codici di recupero da conservare in un luogo sicuro. Altri permettono più metodi: verificarli in anticipo riduce il rischio di scoprire un problema proprio quando occorre accedere con urgenza.

Per le passkey bisogna inoltre comprendere dove siano conservate e quale procedura sia prevista in caso di perdita o sostituzione del dispositivo. Non tutte le configurazioni si comportano allo stesso modo. Prima di eliminare un vecchio metodo, è prudente verificare nelle istruzioni ufficiali del fornitore che il percorso alternativo sia effettivamente utilizzabile.

Un messaggio urgente non deve decidere il percorso di accesso

Le indicazioni del NCSC sul phishing mostrano perché la difesa debba combinare strumenti e comportamento. Una comunicazione può sembrare pertinente al lavoro o a un acquisto reale e chiedere un’azione immediata. Il fatto che arrivi nel momento giusto non prova che provenga dal mittente dichiarato.

Se un messaggio sostiene che l’account sarà bloccato, si può aprire direttamente l’app o il sito già conosciuto e verificare da lì. Lo stesso criterio aiuta quando arriva una richiesta di pagamento inattesa. Fermarsi per cercare un riscontro attraverso un canale indipendente è più utile che giudicare l’affidabilità dalla sola grafica dell’email.

Se l’account risulta già compromesso

La guida NCSC al recupero degli account suggerisce di seguire la procedura del fornitore, controllare filtri e inoltri della posta, cambiare le password coinvolte e disconnettere dispositivi e applicazioni. Bisogna intervenire anche sugli altri account che utilizzavano la stessa password e avvisare i contatti se sono partiti messaggi ingannevoli.

Il valore del mese dedicato alla cybersicurezza sta anche in queste verifiche concrete. Controllare un account importante, documentare il suo recupero e scegliere un metodo di accesso adeguato produce un risultato osservabile. Per altri approfondimenti sul rapporto fra strumenti digitali e vita quotidiana è disponibile la sezione Computer di Internet News.