"Proteggere i tuoi account: password, 2FA e SIM swap"

Il tuo account sull'exchange, e l'email che c'è dietro, sono protetti da un accesso. La maggior parte dei furti di account nasce da password riutilizzate, metodi a due fattori deboli e numeri di telefono dirottati. Questa lezione chiude queste falle.

Password

Una password per ogni account. Quando un sito subisce una violazione, gli attaccanti provano le password trapelate ovunque. Una password riutilizzata è sicura quanto il sito più debole su cui l'hai usata.

Usa un gestore di password. Crea password lunghe e casuali e le ricorda al posto tuo. Tu ricordi una sola password principale robusta. La guida alla sicurezza di ethereum.org dice: «Consigliamo vivamente di usarne uno».

Rendi lunga la password principale. Diverse parole casuali sono più difficili da violare di una password corta e complicata.

Un'eccezione, dalla Lezione 30: la tua frase seed non va in un gestore di password.

Autenticazione a due fattori

L'autenticazione a due fattori, o 2FA, chiede qualcosa che possiedi oltre alla password. I metodi non sono tutti uguali. L'agenzia statunitense per la cybersicurezza, la CISA, li classifica così:

Metodo	Robustezza	Punto debole
Chiave di sicurezza o passkey	Il più robusto. Resiste al phishing	Devi tenerne una di riserva
App di autenticazione	Buono	Un sito falso può comunque catturare un codice
SMS o chiamata	Il più debole	SIM swap e intercettazione

Una chiave di sicurezza verifica l'indirizzo reale del sito prima di rispondere, quindi non ti farà accedere a un sito falso. Per questo la CISA definisce questo tipo il «gold standard».

Usa il metodo più robusto offerto da ogni servizio. Qualsiasi 2FA è meglio di nessuna.

SIM swap

In un SIM swap, un criminale convince il tuo operatore mobile a trasferire il tuo numero sulla sua SIM. Può fingersi te, corrompere un dipendente o ingannare il personale. Il tuo telefono perde il segnale, e lui riceve le tue chiamate e i tuoi SMS.

Poi chiede alla tua email o al tuo exchange di reimpostare la password, e il codice arriva sul suo telefono.

L'FBI ha ricevuto 1.611 denunce di SIM swap nel 2021, con perdite di oltre 68 milioni di dollari.

Difese

Non usare gli SMS come 2FA sugli account importanti.
Rimuovi il tuo numero di telefono come opzione di recupero dove il servizio lo consente.
Chiedi al tuo operatore un blocco della portabilità o un PIN dell'account.
Se il telefono perde il servizio senza motivo, contatta subito l'operatore da un'altra linea.

La tua email è la chiave maestra

Chi controlla la tua email può reimpostare quasi tutto il resto. Dalle la protezione migliore: una password unica, una chiave di sicurezza o un'app di autenticazione e nessun SMS di riserva.

Il resto della lista

Salva i codici di backup. Stampa i codici di recupero che ti dà ogni servizio e conservali offline.
Attiva le whitelist per i prelievi. Vedi la Lezione 35.
Tieni aggiornati i dispositivi. Installa presto gli aggiornamenti del sistema e del browser.
Sii riservato. Sia l'FBI sia la SEC sconsigliano di dire quali cripto possiedi. La visibilità ti rende un bersaglio.
Non condividere mai un codice. Nessun vero dipendente ti chiederà la password o il codice 2FA.