Hai perso Google Authenticator? Come funzionano backup, sincronizzazione e recupero

Quando scompare il telefono su cui erano salvati i codici di Google Authenticator, cosa succede dipende dalle scelte fatte prima di perderlo. I codici erano sincronizzati? Hai salvato i codici di backup? Il servizio offre un altro modo per riottenere l’accesso?

Ecco come funzionano questi tre livelli, cosa puoi fare se non ne avevi configurato nessuno e come prepararti. I passaggi precisi variano da un servizio all’altro: questo articolo illustra i principi generali, mentre la procedura per un determinato sito è disponibile nel centro assistenza del sito stesso.

Cosa salva l’app e perché perdere il telefono è un problema

Google Authenticator conserva i segreti che i tuoi account usano per calcolare i codici e li genera direttamente sul telefono. Google specifica che può farlo senza connessione a Internet o rete mobile. È comodo, ma significa anche che il dispositivo contiene ciò che serve per generare i codici: perderlo diventa un problema, a meno che questi segreti non siano disponibili anche altrove.

Primo livello: sincronizzazione con un Account Google

Secondo Google, puoi sincronizzare i codici su tutti i tuoi dispositivi accedendo al tuo Account Google; quando accedi su un nuovo dispositivo, i codici vengono sincronizzati automaticamente. Google afferma che i codici sono crittografati durante il trasferimento e quando sono archiviati. Se usi l’app senza un Account Google, i codici vengono salvati solo su quel dispositivo e non sono disponibili altrove.

Questa è la differenza fondamentale quando perdi un telefono. I codici sincronizzati vengono ripristinati quando accedi da un nuovo dispositivo. I codici mai sincronizzati o trasferiti non possono essere recuperati dall’app. La pagina di assistenza di Google spiega che dovrai visitare ogni sito su cui avevi configurato l’app, rimuovere i vecchi codici e collegare il nuovo dispositivo. È possibile trasferirli manualmente, ma Google specifica che serve il vecchio dispositivo: questo metodo è utile solo finché ne sei ancora in possesso.

La sincronizzazione comporta un compromesso. Il tuo Account Google diventa la chiave di accesso ai codici, quindi è ancora più importante proteggerlo. Google consiglia di attivare ulteriori metodi di verifica in due passaggi e di valutare l’uso delle passkey. Se dopo aver effettuato l’accesso i codici sembrano mancanti, Google suggerisce di verificare che tu abbia eseguito l’accesso all’Account Google corretto.

Secondo livello: codici di backup salvati in anticipo

Molti servizi forniscono codici di backup monouso o una chiave di recupero quando attivi la verifica tramite app di autenticazione. I codici di backup di Google per un Account Google sono composti da otto cifre; ciascun codice diventa inattivo dopo l’uso e la creazione di una nuova serie rende inattiva quella precedente. Google raccomanda inoltre di non condividerli mai e specifica che non ti chiede mai un codice di backup, tranne al momento dell’accesso.

Le linee guida sull’identità digitale del NIST descrivono questi codici di recupero come segreti monouso da conservare nel caso in cui si perda un altro autenticatore. Non sono resistenti al phishing, quindi conservali offline, non sotto forma di screenshot o nota nel cloud. Anche la chiave di configurazione mostrata durante la registrazione è un segreto, perché chiunque ne sia in possesso può generare i tuoi codici. Se l’hai salvata, trattala come una password.

Terzo livello: la procedura di recupero del servizio

Se non hai la sincronizzazione né un codice di backup, solo il servizio stesso può ripristinare il tuo accesso. Preparati a verifiche dell’identità ed eventualmente a un periodo di attesa. Google spiega che il recupero funziona meglio da un dispositivo e da una posizione che usi normalmente, con un’email di recupero a cui puoi accedere. Per gli account con la verifica in due passaggi, Google precisa che la verifica può richiedere diversi giorni.

Anche altri metodi di verifica in due passaggi possono essere utili. Google afferma che, se perdi il telefono principale, puoi verificare la tua identità usando un altro telefono connesso al tuo account, un altro numero di telefono che hai aggiunto o una chiave di sicurezza hardware. Più metodi indipendenti di accesso registri in anticipo, meno dipenderai dal recupero. L’NCSC sottolinea che le procedure di recupero sono spesso meno sicure dell’accesso e che gli aggressori le prendono di mira: per questo è opportuno iniziare la procedura solo dai canali ufficiali del servizio.

Se il telefono è stato rubato, non semplicemente smarrito

Un telefono rubato crea un secondo problema: qualcun altro potrebbe riuscire ad accedere ai codici presenti sul dispositivo. Google consiglia di assicurarsi che altre persone non possano accedere ai codici e, quando disponibile, di usare l’opzione di cancellazione remota del telefono. Se i codici sono sincronizzati, puoi anche rimuoverli eliminando il dispositivo dal tuo Account Google; Google suggerisce inoltre di disconnettersi dal telefono smarrito. Impostare un blocco da superare prima di aprire l’app, chiamato da Google Privacy Screen, aiuta a prevenire il problema.

Promemoria di WEEX: solo il servizio autentico può ripristinare l’accesso

WEEX ricorda agli utenti che chiunque si offra di «recuperare il tuo Google Authenticator» e chieda un codice di verifica, un codice di backup, un codice QR, una chiave di configurazione, una frase seed o l’accesso remoto al dispositivo è un truffatore. Usa solo i canali di assistenza del sito o dell’app ufficiali e conserva offline i codici di backup. Google stesso afferma che non chiede mai password o codici di verifica via email, telefonata o messaggio. Questo contenuto non costituisce una consulenza finanziaria.

Conclusione

Il recupero dopo aver perso un autenticatore dipende da tre livelli: se i codici erano sincronizzati con un account, se hai salvato i codici di backup e cosa richiede la procedura di recupero del servizio. Configurare almeno due di questi livelli prima di averne bisogno trasforma la perdita del telefono in un inconveniente anziché in un blocco dell’accesso. Nessun operatore autentico ti chiederà mai i segreti che proteggono i tuoi account.

FAQ

1. Cosa succede ai miei codici se perdo il telefono con Google Authenticator?
Se erano sincronizzati con un Account Google, vengono ripristinati quando accedi da un nuovo dispositivo. Se non erano mai stati sincronizzati o trasferiti, non possono essere recuperati dall’app: ti serviranno i codici di backup o la procedura di recupero del servizio.

2. Posso recuperare i miei codici senza il vecchio telefono?
Solo se erano sincronizzati con un Account Google. Google specifica che per il trasferimento manuale serve il vecchio dispositivo.

3. I codici di backup sono uguali ai codici di Google Authenticator?
No. I codici di backup sono codici monouso forniti dal servizio per i casi in cui non puoi usare il normale secondo passaggio di verifica. Google specifica che ciascun codice diventa inattivo dopo l’uso.

4. Quanto tempo serve per recuperare un account?
Dipende dal servizio. Per gli account con la verifica in due passaggi, Google precisa che la procedura può richiedere diversi giorni.

5. Un servizio autentico mi chiederà un codice o un codice QR per recuperare il mio autenticatore?
No. Google afferma che non chiede mai codici di backup, tranne al momento dell’accesso, e che non chiede mai password o codici di verifica via email, telefonata o messaggio.