Login 2FA forte per proteggere l’accesso#2705

Gentilissimo reparto informatico di FatturaElettronicaApp,

Vorrei segnalare una cosa che considero davvero importante e URGENTE: al momento l’accesso al programma è protetto soltanto da password, senza una seconda verifica.

Per un servizio di fatturazione elettronica non è un dettaglio. Se qualcuno ottiene la password — ad esempio tramite phishing, password riutilizzate, malware o una violazione di un altro servizio — potrebbe entrare nell’account e accedere a dati fiscali e anagrafici, documenti, impostazioni e funzioni operative. Una password da sola oggi non basta.

Serve quindi introdurre quanto prima la 2FA/MFA, una conferma aggiuntiva al login. La soluzione da preferire dovrebbe essere quella più sicura: passkey/WebAuthn e chiavi hardware FIDO2, come YubiKey o equivalenti. Per chi non può usarle subito, anche una conferma tramite app di autenticazione con codici temporanei o via e-mail è comunque molto meglio di non avere alcuna seconda verifica.

Gli SMS, invece, sarebbe meglio non usarli: possono essere aggirati tramite furto o trasferimento fraudolento del numero telefonico e non offrono lo stesso livello di protezione.

La 2FA dovrebbe essere obbligatoria almeno per gli account amministrativi e per chi può emettere o modificare fatture, esportare dati, gestire utenti, deleghe, permessi, coordinate di pagamento o impostazioni dell’account. Ma dovrebbe essere disponibile e semplice da attivare per tutti gli utenti.

Sarebbe utile anche sapere con chiarezza quali misure di sicurezza sono già attive per proteggerci dagli attacchi. Ad esempio:

• Ci sono limiti e blocchi contro tentativi ripetuti di login e furto automatico di credenziali?
• Vengono rilevati e segnalati accessi da nuovi dispositivi o comportamenti insoliti?
• Arrivano notifiche quando cambiano password, e-mail, permessi o metodi di accesso?
• Come sono protetti i dati, gli export, i backup e le procedure di recupero dell’account?
• Vengono svolti controlli indipendenti, test di sicurezza e procedure di risposta in caso di incidente?

Non è una richiesta “in più”: è una protezione di base per un servizio che gestisce dati fiscali e documenti importanti.

Grazie per l’attenzione e per la celere risposta !

DG

Buongiorno Devis, è già possibile impostare una passkey, per qualsiasi dubbio scrivici in chat 🤗