Il phishing resta la porta d’ingresso preferita dei truffatori: una email che sembra arrivare dalla banca, un SMS su un pacco in giacenza, una pagina di accesso identica all’originale. Le password, anche robuste, non difendono da questo scenario, perché è l’utente stesso a digitarle sul sito sbagliato. Le passkey nascono proprio per chiudere questa falla.
Come funziona una passkey
Una passkey è una coppia di chiavi crittografiche. La chiave privata resta sul dispositivo o nel gestore di credenziali, protetta da impronta, volto o PIN; il sito conserva solo la chiave pubblica. Al momento dell’accesso il dispositivo firma una richiesta che vale solo per il dominio legittimo. Il risultato pratico:
- non c’è nulla da digitare, quindi nulla da farsi rubare con una pagina falsa;
- un sito clone con indirizzo diverso non riceve una firma valida;
- una violazione dei server del servizio non espone segreti riutilizzabili.
Dove attivarle
| Servizio | Dove cercare l’opzione |
|---|---|
| Account Google | Gestisci account, Sicurezza, sezione dedicata a passkey e chiavi di sicurezza |
| Account Apple | le passkey vengono salvate nel Portachiavi iCloud e sincronizzate tra i dispositivi Apple |
| Account Microsoft | impostazioni di sicurezza dell’account, opzioni di accesso avanzate |
| Altri servizi | cercare “passkey” o “accesso senza password” nelle impostazioni di sicurezza |
Le voci di menu cambiano spesso nome: se non le trovate, la ricerca interna alle impostazioni dell’account è la via più rapida.
Prima di attivarle: la checklist
- Scegliete dove salvarle: il gestore del sistema (Google, Apple, Windows) oppure un password manager che supporti le passkey. Meglio non disperderle tra troppi strumenti.
- Registrate almeno due metodi: per esempio smartphone e computer, oppure una chiave di sicurezza fisica come riserva.
- Conservate i codici di recupero: stampati o in un luogo sicuro offline.
- Non eliminate subito la password: molti servizi la tengono come metodo di riserva; proteggetela con l’autenticazione a due fattori.
- Verificate il recupero: chiedetevi come accedereste se perdeste il telefono domani.
Cosa le passkey non risolvono
Le passkey proteggono l’accesso, non tutto il resto. Non fermano chi vi convince al telefono ad autorizzare un bonifico, né un malware già installato sul dispositivo. Vale sempre la regola di non installare app su indicazione di sconosciuti, un tema che su Android Google sta affrontando con le nuove regole sulla verifica degli sviluppatori. E resta fondamentale mantenere aggiornati sistema e browser.
In azienda
Per una PMI, le passkey o le chiavi hardware compatibili sono oggi il modo più efficace per proteggere posta e account cloud, i bersagli principali delle campagne di phishing mirato. Conviene partire dagli account amministrativi e da chi gestisce pagamenti, poi estendere a tutto il personale con una breve formazione.
La nostra lettura
Le passkey non sono una moda: sono il primo metodo di accesso di massa progettato per resistere al phishing per costruzione. Il passaggio richiede dieci minuti per servizio e un po’ di attenzione al recupero. È uno dei migliori investimenti di tempo che si possano fare per la propria sicurezza digitale.
