# Metti una chiave fisica ai tuoi account

> L’AI ha allargato la superficie d’attacco e reso il phishing più efficace, e SMS e codici si fanno rubare da un sito falso. Una chiave fisica no: quale comprare, su quali account metterla e cosa fare se la perdi.

- URL: https://stocasticparrot.ai/sicurezza/yubikey/
- Autore: Danilo Giudice
- Uscita: 2026-11-06

![Metti una chiave fisica ai tuoi account: il duo indica una YubiKey che fluttua tra le bolle 2FA, MFA, FIDO2, passkey e niente SMS](https://stocasticparrot.ai/sicurezza/yubikey/img/01-apertura.jpg)

## Antefatto

*Di recente ho comprato due YubiKey e le ho registrate sugli account che, se me li rubano, mi rovinano: il password manager, la mail, i social.*

## Cosa fare subito

1. **Oggi.** Attiva la verifica in due passaggi su ogni account, con l’app di autenticazione o una passkey. Mai con l’SMS.
2. **Oggi.** Togli il numero di telefono da verifica e recupero, dove il servizio lo permette.
3. **Questa settimana.** Compra tre chiavi nuove dal [negozio di Yubico](https://www.yubico.com/it/store/). Basta la [Security Key C NFC](https://www.yubico.com/it/product/security-key-c-nfc-by-yubico-black/), a 35,38 € l’una; la [YubiKey 5C NFC](https://www.yubico.com/it/product/yubikey-5c-nfc/), a 70,76 €, aggiunge i codici a sei cifre.
4. **Quando arrivano.** Imposta il PIN con [Yubico Authenticator](https://www.yubico.com/products/yubico-authenticator/) e registra tutte e tre le chiavi: prima la mail, poi il password manager, poi il resto. Dove trovare l’opzione lo dice la [guida di Yubico](https://www.yubico.com/setup/).
5. **Subito dopo.** Stampa i codici di recupero e tienili fuori dal password manager.
6. **Sempre.** Una chiave nel portachiavi, sempre con te; le altre due in due posti separati e ben protetti. Se ne perdi una, toglila subito da tutti gli account.

## Perché adesso

L’AI ha allargato la superficie d’attacco, cioè i punti da cui qualcuno può provare a entrare: messaggi, telefonate, videochiamate con voci e volti generati. E ha reso il phishing, il messaggio che ti porta su un sito falso, efficace quanto quello di un esperto ([Heiding, Schneier e altri](https://arxiv.org/abs/2412.00586)).

![Clic su email di phishing su misura: 12 % la generica, 54 % gli esperti, 54 % solo AI, 56 % AI e umano](https://stocasticparrot.ai/sicurezza/yubikey/img/02-clic.jpg)

Chi attacca si è adattato: secondo il [Microsoft Digital Defense Report 2026](https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/msc/documents/presentations/CSR/2026-Microsoft-Digital-Defense-Report.pdf) gli attacchi alle sole password sono scesi del 26 % in un anno, e il 44,6 % delle tecniche di phishing usa kit che rubano anche i codici. In una campagna raccontata da [Anthropic](https://www.anthropic.com/news/disrupting-AI-espionage), l’AI ha eseguito l’80–90 % del lavoro. In Italia, nel primo semestre 2026, gli incidenti da phishing sono già due terzi di quelli di tutto il 2025 ([Clusit](https://clusit.it/wp-content/uploads/download/Rapporto_Clusit_aggiornamento_10-2026_web.pdf)).

## La tua mail è la cassaforte

![Chi ha la tua mail ha tutto: dalla mail Google o Apple passano accessi, password, passkey, foto e documenti](https://stocasticparrot.ai/sicurezza/yubikey/img/03-mail.jpg)

Con la mail Google o Apple ci siamo iscritti a tutto: lì arrivano i reset delle password, da lì passano «Accedi con Google» e «Accedi con Apple». Se ci rubano quella, siamo fottuti. La prima chiave YubiKey va configurata lì.

## Perché il numero di telefono no

![Dalla più debole alla più forte: SMS e chiamate, codice dell’app, notifica, passkey, chiave fisica](https://stocasticparrot.ai/sicurezza/yubikey/img/04-scala.jpg)

Con il *SIM swap* chi attacca convince l’operatore, fingendosi te, a spostare il tuo numero su una SIM sua: codici e reset delle password arrivano a lui. Capita poi che siamo noi stessi a scrivere i codici, ma su un sito falso che crediamo vero, e il sito falso li passa subito a quello vero.

Una YubiKey invece si lega al sito vero e non funzionerà mai su quello falso. Nel 2022 tre dipendenti di [Cloudflare](https://blog.cloudflare.com/2022-07-sms-phishing-attacks/) hanno scritto le credenziali su un sito falso, e non è successo niente: accedevano tutti con una chiave fisica.

## Cos’è una YubiKey e come funziona

Una YubiKey è una chiavetta senza batteria, da tenere nel portachiavi, che custodisce le tue chiavi d’accesso: le può usare solo lei, e non si copiano. La infili nel computer o nel telefono via USB-C, oppure la appoggi al telefono via NFC.

![Com’è fatta una YubiKey: foro con anello, contatto dorato, USB-C, antenna NFC, elemento sicuro, PIN e memoria](https://stocasticparrot.ai/sicurezza/yubikey/img/06-anatomia.jpg)

Quando la registri su un sito, la chiave crea una coppia di chiavi solo per quel sito: quella segreta la può usare solo la chiave, quella pubblica va al sito. A ogni accesso il sito manda una richiesta da firmare. Tu sfiori il contatto dorato, che conferma che c’è una persona e non un programma, e la chiave firma, ma solo se l’indirizzo è quello registrato. Non scrivi niente, quindi non c’è niente da rubare.

**Le parti, una per una**

- **Contatto dorato.** È un sensore, non un tasto: non ha parti mobili. Sfiorarlo dice alla chiave che davanti c’è una persona e non un programma, la «prova di presenza» dello standard FIDO. Le onde sopra la «y» indicano l’NFC.
- **USB-C.** Porta corrente e dati, perché la chiave [non ha batteria](https://www.yubico.com/it/product/yubikey-5c-nfc/). Browser e sistema la riconoscono da soli con lo standard WebAuthn, senza driver né app.
- **Antenna NFC.** Sta dentro la scocca: appoggi la chiave al retro del telefono e lo scambio avviene via radio, a pochi centimetri.
- **Elemento sicuro.** Il chip che crea le chiavi e firma le richieste al suo interno: i segreti non escono, e il firmware [non si può riscrivere](https://www.yubico.com/support/security-advisories/ysa-2024-03/), nemmeno da Yubico.
- **PIN e memoria.** Le YubiKey di oggi tengono fino a 100 passkey. Il PIN lo scegli tu: [dopo 8 tentativi sbagliati](https://docs.yubico.com/software/yubikey/tools/authenticator/auth-guide/fido2.html) la parte FIDO si blocca e va azzerata, passkey comprese.
- **Foro con anello e scocca.** Plastica rinforzata con fibra di vetro, IP68 contro acqua e polvere, resistente allo schiacciamento: è fatta per stare nel portachiavi.

## Chiave o passkey?

La passkey è la stessa tecnologia, salvata nel telefono o nel password manager, e per la maggior parte degli account basta. Però vale quanto l’account che la sincronizza, di solito proprio la mail. La mia regola: chiave fisica su mail e password manager, passkey sul resto.

Dove si usano, al 5 novembre 2026 («—» vuol dire che non risulta):

| Servizio | Chiave fisica | Passkey |
|---|---|---|
| [Google e Gmail](https://support.google.com/accounts/answer/6103523?hl=it) | sì | sì |
| [Apple](https://support.apple.com/it-it/102637) | sì, almeno due | — |
| [Microsoft e Outlook](https://support.microsoft.com/it-it/accounts-billing/security/create-save-passkey) | sì | sì |
| [1Password](https://support.1password.com/security-key/) | sì | — |
| [Bitwarden](https://bitwarden.com/help/setup-two-step-login-fido/) | sì, anche gratis | — |
| [Facebook](https://about.fb.com/news/2021/03/expanding-support-for-security-keys-on-mobile-devices/) | sì | sì |
| [Instagram](https://about.fb.com/news/2026/04/meta-account/) | — | solo se collegato a Facebook |
| [WhatsApp](https://faq.whatsapp.com/1850567238795036/) | — | sì |
| [LinkedIn](https://www.linkedin.com/help/linkedin/answer/a1621596) | — | sì |
| [X](https://help.x.com/it/managing-your-account/two-factor-authentication) | sì | sì |

## Le regole che ripetono tutti

Quelle della campagna [Cyber Aware](https://www.ncsc.gov.uk/cyberaware/home) dell’agenzia britannica per la sicurezza informatica, più qualcuna mia:

1. Una password diversa per ogni account, in un password manager.
2. Per la mail, una password forte usata solo lì.
3. Verifica in due passaggi ovunque, senza numero di telefono.
4. Aggiornamenti automatici per sistema, browser e app.
5. Un backup di foto e documenti fuori dal computer.
6. Davanti all’urgenza, verifica da un altro canale: nel 2024 un dipendente di Arup ha trasferito circa 25 milioni di dollari dopo una videochiamata con colleghi generati con l’AI ([CNN](https://edition.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk)).
7. Controlla se la tua mail è già in giro su [Have I Been Pwned](https://haveibeenpwned.com/).
8. Tre YubiKey: una nel portachiavi, sempre con te, le altre due in due posti separati e ben protetti.

## I limiti

- **Se le perdi tutte** puoi restare fuori dall’account per sempre, lo scrive [Apple](https://support.apple.com/it-it/102637). IMPERATIVO: tre chiavi, registrate lo stesso giorno, e codici di recupero stampati.
- **EUCLEAK:** le YubiKey con firmware precedente al 5.7 si possono clonare, ma servono la chiave in mano e circa 10.000 € di attrezzatura ([NinjaLab](https://ninjalab.io/eucleak/)). Quelle vendute oggi hanno il 5.8.
- **Non ovunque:** su Instagram, WhatsApp e LinkedIn le chiavi non risultano, e per le banche italiane non ho trovato conferme.

## Tre chiavette contro un modello linguistico

Il mio consiglio è semplice: chiunque là fuori vuole fotterti, in qualsiasi momento. Dotarti di tre chiavi sarebbe ottimo: una sempre con te, due in cassaforti separate, in case diverse, per diversificare il rischio. La nostra vita digitale è più a rischio che mai con l’avvento degli LLM: proteggersi non è mai stato così importante.

## Fonti

Fatti controllati il 5 novembre 2026; prezzi e servizi cambiano.

- F. Heiding, B. Schneier e altri, [«Evaluating Large Language Models’ Capability to Launch Fully Automated Spear Phishing Campaigns»](https://arxiv.org/abs/2412.00586), arXiv, 2024; *Expert Systems with Applications*, 2026.
- Microsoft, [«2026 Microsoft Digital Defense Report»](https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/msc/documents/presentations/CSR/2026-Microsoft-Digital-Defense-Report.pdf), ottobre 2026 (pp. 45 e 64).
- Anthropic, [«Disrupting the first reported AI-orchestrated cyber espionage campaign»](https://www.anthropic.com/news/disrupting-AI-espionage), 13 novembre 2025.
- Clusit, [Rapporto Clusit, aggiornamento ottobre 2026](https://clusit.it/wp-content/uploads/download/Rapporto_Clusit_aggiornamento_10-2026_web.pdf).
- NIST, [SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html), luglio 2025.
- Cloudflare, [«The mechanics of a sophisticated phishing scam and how we stopped it»](https://blog.cloudflare.com/2022-07-sms-phishing-attacks/), 9 agosto 2022.
- NCSC, [«Cyber Aware»](https://www.ncsc.gov.uk/cyberaware/home).
- CNN, [«British engineering giant Arup revealed as $25 million deepfake scam victim»](https://edition.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk), 16 maggio 2024.
- Yubico, [guida al PIN FIDO2](https://docs.yubico.com/software/yubikey/tools/authenticator/auth-guide/fido2.html), [pagina della YubiKey 5C NFC](https://www.yubico.com/it/product/yubikey-5c-nfc/) (niente batterie, USB-C e NFC, IP68), [negozio](https://www.yubico.com/it/store/), [guida](https://www.yubico.com/setup/) e [avviso YSA-2024-03](https://www.yubico.com/support/security-advisories/ysa-2024-03/); NinjaLab, [«EUCLEAK»](https://ninjalab.io/eucleak/), 2024.
- Le pagine di aiuto dei servizi linkate nella tabella.