Un dato che pochi conoscono, e che dovrebbe farti pensare: oltre il 90% degli attacchi informatici alle aziende inizia da un'email. Un link cliccato, un allegato aperto, una richiesta camuffata da comunicazione ufficiale — e da lì parte tutto.

Perché il 2FA è la seconda linea di difesa più importante

La password, da sola, oggi non è più sufficiente. Non perché non sia importante — lo è — ma perché il modo in cui vengono rubate le password è ormai industrializzato. Data breach di grandi servizi (LinkedIn, Adobe, Facebook, negli anni ne abbiamo visti a decine) hanno esposto miliardi di credenziali che circolano nei mercati underground. Se hai riutilizzato la stessa password su più servizi, è molto probabile che almeno una delle tue combinazioni email + password sia già "in vendita" da qualche parte.

Ecco perché la seconda linea di difesa essenziale è l'autenticazione a due fattori (2FA) sulla casella email. Funziona così: anche se qualcuno ottiene la tua password, senza il secondo fattore — un codice generato dal tuo smartphone, o una notifica push da approvare — non riesce a entrare.

Sembra scontato. Non lo è.

Non tutti i 2FA sono uguali

Il problema è che il mercato dei servizi email è pieno di implementazioni parziali, scadenti o volutamente scomode. Ne vediamo tre pattern ricorrenti:

  • Servizi consumer che non offrono affatto il 2FA sui piani gratuiti, o lo relegano ai piani a pagamento più costosi.
  • Implementazioni deboli che offrono il 2FA solo via SMS. L'SMS è tecnicamente vulnerabile: esistono attacchi di SIM swap che permettono di dirottare i messaggi verso un attaccante. Non è la scelta più sicura.
  • Impostazioni nascoste, disattivate per default, sepolte in menu di configurazione che nessuno trova. Il risultato è che il servizio "ce l'ha" ma nessuno lo attiva.

Il risultato di questo mosaico? Milioni di caselle email aziendali oggi sono protette solo da una password. E se quella password è già stata rubata in uno dei tanti data breach degli ultimi anni — ce ne sono di note pubblicamente, e altrettante che non conosciamo — sei esposto senza saperlo.

Cosa dovresti pretendere dal tuo servizio email professionale

Ecco la checklist concreta di caratteristiche che un servizio email professionale serio deve offrire nel 2026:

  • Autenticazione a due fattori attivabile senza sovrapprezzi
  • Metodi 2FA moderni: app authenticator (Google Authenticator, Authy, Microsoft Authenticator) o push notification, non solo SMS
  • Registro degli accessi consultabile — chi ha fatto login, da dove, con che device
  • Filtri antispam e antiphishing aggiornati costantemente
  • Backup automatico della casella, con possibilità di ripristino
  • Conformità GDPR documentata (server in UE, DPA firmabile)
  • Supporto raggiungibile quando serve — non solo un form di contatto

Il nostro servizio email professionale include tutto questo, 2FA compreso senza costi aggiuntivi. Perché la sicurezza non dovrebbe essere un optional pagato a parte: è la base minima di quello che un provider serio deve offrire.

E se il servizio attuale non ce l'ha?

Se ti stai rendendo conto che il tuo servizio email attuale non offre 2FA, o lo offre solo via SMS, o non l'hai mai attivato — questo è il momento di intervenire.

La buona notizia: non serve nemmeno cambiare indirizzo email. La migrazione da un provider all'altro è più semplice di quello che si pensa. Il tuo dominio (@tuaazienda.it) resta identico, le tue email storiche vengono trasferite, i tuoi contatti non si accorgono di nulla. Cambia solo il provider dietro le quinte, insieme al livello di sicurezza.

Il test di 30 secondi

Prima di chiudere questo articolo, fai una cosa: apri le impostazioni della tua casella email aziendale, cerca la voce "sicurezza" o "autenticazione a due fattori". Se non c'è, o se non è attiva, hai appena identificato una vulnerabilità concreta della tua azienda.

Sulla tua email aziendale hai il 2FA attivo? Se non lo sai, questo è il momento di controllare.