Passkey e phishing: come funziona davvero la nuova chiave dei tuoi account

Una password riutilizzata può aprire più porte. Un codice ricevuto via SMS o generato da un’app può essere copiato e inserito in una pagina falsa. Anche l’autenticazione a più fattori, quindi, non è automaticamente resistente al phishing.

Le passkey affrontano il problema alla radice: non chiedono all’utente di digitare un segreto riutilizzabile. Usano invece una coppia di chiavi crittografiche e una verifica legata al servizio reale.

Perché parliamo di passkey

Le passkey rappresentano una delle evoluzioni più concrete dell’autenticazione quotidiana, ma non sono una bacchetta magica e non sono ancora disponibili ovunque.

Che cos’è una passkey

Quando registri una passkey, il dispositivo o l’autenticatore crea una coppia di chiavi. La chiave privata resta protetta sul dispositivo, nel sistema operativo, nel password manager compatibile o in una security key. Il servizio conserva la chiave pubblica.

Durante l’accesso, il servizio invia una sfida. L’autenticatore la firma con la chiave privata e il servizio verifica la firma con la chiave pubblica. Per l’utente il gesto può essere semplice: sbloccare il telefono con PIN, impronta o volto.

Come funzionano FIDO2 e WebAuthn

FIDO2 è l’insieme di tecnologie che permette di usare credenziali a chiave pubblica per autenticarsi. WebAuthn è l’API standard che consente a browser e applicazioni web di dialogare con l’autenticatore. CTAP permette la comunicazione con autenticatori esterni, come security key USB, NFC o Bluetooth.

Il sito genera una sfida unica, l’autenticatore controlla il contesto e il dominio, l’utente autorizza l’operazione sul proprio dispositivo e il sito verifica una firma, non riceve una password.

Perché resistono al phishing

NIST definisce la phishing resistance come la capacità di impedire che un autenticatore venga indotto a usare il proprio output con un verificatore falso. CISA indica FIDO/WebAuthn tra i metodi ampiamente disponibili che offrono questa proprietà.

Password, codici OTP e molte notifiche push possono essere convinti, rubati o inoltrati in un attacco man-in-the-middle. Una passkey, invece, è legata crittograficamente al servizio per cui è stata creata e non richiede un codice da copiare in una pagina fasulla.

Passkey, password manager, OTP e biometria

Un password manager conserva password che vengono usate come segreti da digitare. Una passkey conserva invece una chiave privata che non dovrebbe essere mostrata né copiata manualmente.

Un codice OTP aggiunge un controllo, ma può essere intercettato o inserito in un sito falso. La biometria è spesso il gesto con cui sblocchi la chiave sul dispositivo.

Telefono perso, sincronizzazione e recovery

Esistono passkey sincronizzate tra dispositivi tramite un account di piattaforma o un password manager compatibile, e passkey legate a un singolo dispositivo o a una security key.

Prima di attivare una passkey per un account importante, verifica se puoi registrare una seconda passkey, come funziona il recupero e se il fallback torna a un SMS o a un’email facilmente attaccabile.

Cosa cambia per famiglie e PMI

Per una famiglia conviene partire da email principale, cloud, identità digitale, banca e account di recupero. Per una PMI, il percorso migliore è graduale: censire i servizi, individuare gli account amministrativi, verificare il supporto FIDO2/WebAuthn e documentare onboarding, recovery e offboarding.

La checklist per iniziare

1. Elenca gli account critici.
2. Controlla quali servizi supportano passkey.
3. Attiva una passkey su un dispositivo di fiducia e registra una seconda opzione.
4. Proteggi l’account di piattaforma che sincronizza le credenziali.
5. Mantieni password uniche e MFA dove le passkey non sono disponibili.
6. Prova il recupero prima dell’emergenza.
7. Per una PMI, parti dagli account amministrativi.

Questo articolo ha finalità informative e non costituisce consulenza tecnica o legale. La disponibilità delle passkey e i flussi di recupero variano tra servizi, dispositivi e fornitori.