Najczęstszy sposób, w jaki mała firma traci dostęp do skrzynki, pieniędzy albo danych klientów, nie jest spektakularny. Nie ma w nim hakera w kapturze. Jest skradzione hasło — wpisane przez pracownika na podstawionej stronie logowania albo wyciekłe z zupełnie innego serwisu. MFA jest jedyną tanią rzeczą, która ten scenariusz po prostu wyłącza. Pod warunkiem, że włączysz je tam, gdzie trzeba, a nie tam, gdzie wygodnie.
MFA (uwierzytelnianie wieloskładnikowe, potocznie „dwuetapowe logowanie") to wymóg, by oprócz hasła podać drugi dowód: kod z aplikacji, potwierdzenie na telefonie albo dotknięcie klucza sprzętowego. Sama idea jest banalna. Trudność polega na tym, że większość firm włącza je w złej kolejności, złą metodą i tam, gdzie nikomu to nie pomaga — a omija konta, na których naprawdę by zadziałało.
Dlaczego samo hasło już nie wystarcza
Hasła przeciekają hurtowo. Co kilka miesięcy któryś popularny serwis traci bazę użytkowników, a ludzie używają tego samego hasła w ośmiu miejscach — w tym w firmowej poczcie. Do tego dochodzi phishing: pracownik dostaje wiarygodnie wyglądający e-mail „potwierdź logowanie do Microsoft 365", klika, wpisuje hasło na stronie, która wygląda identycznie jak prawdziwa. Od tej chwili ktoś obcy zna jego hasło.
Co robi z nim atakujący? Rzadko coś hałaśliwego. Najczęstszy realny scenariusz strat w MŚP to przejęcie skrzynki i cicha obserwacja. Włamywacz czyta korespondencję przez kilka tygodni, uczy się, jak firma wystawia faktury i z kim się rozlicza, a potem w odpowiednim momencie wysyła do kontrahenta wiadomość: „zmieniliśmy numer konta, prosimy regulować na nowy". Pieniądze wychodzą na konto oszusta. To nie jest scenariusz z filmu — to najczęstszy powód, dla którego dzwonią do nas firmy po fakcie.
Jedno hasło to jeden klik od tej katastrofy. Drugi składnik sprawia, że samo hasło przestaje wystarczać.
Gdzie włączyć MFA najpierw
Zasada jest prosta: najpierw klejnoty koronne. Nie włączaj MFA wszędzie naraz, bo utoniesz w konfiguracji i zniechęcisz zespół. Idź według tego, co najbardziej boli, gdy wpadnie w niepowołane ręce:
- Poczta firmowa (Microsoft 365, Google Workspace). To absolutny priorytet, bo ze skrzynki resetuje się hasła do prawie wszystkiego innego. Kto ma Twoją pocztę, ma Twoją firmę.
- Zdalny dostęp — VPN, pulpit zdalny, panele logowania do systemów wystawionych do internetu.
- Konta administracyjne i bankowość. Konto admina Microsoft 365 czy domeny to klucz do całej infrastruktury — tu MFA jest obowiązkowe, najlepiej w najmocniejszej formie.
- ERP i systemy z danymi — Comarch Optima, enova365, system księgowy, CRM. Wszędzie, gdzie wystawione są do logowania z zewnątrz.
Klasyczny anty-teatr, który widujemy: MFA pięknie skonfigurowane na portalu gościnnym WiFi, a konto administratora Microsoft 365 — bez żadnej ochrony, z hasłem Firma2019!. To jest zabezpieczanie drzwi od piwnicy przy otwartym sejfie.
Nie każdy drugi składnik jest równy
„Włączyliśmy SMS-y, więc mamy MFA" — to półprawda. Metody różnią się odpornością:
- Kod SMS — lepszy niż nic, ale podatny na przejęcie numeru (tzw. SIM swap) i przechwycenie. Dopuszczalny dla zwykłych kont, nie dla administratora ani bankowości.
- Aplikacja TOTP (Microsoft Authenticator, Google Authenticator) — darmowa, generuje kod co 30 sekund, działa nawet bez zasięgu. To rozsądny domyślny wybór dla całego zespołu.
- Powiadomienie push z potwierdzeniem — wygodne, ale uważaj na „zmęczenie MFA": atakujący zasypuje pracownika prośbami o zatwierdzenie, aż ten kliknie „tak" z irytacji. Wybieraj wariant z dopasowaniem numeru (trzeba przepisać cyfry z ekranu).
- Passkey i klucze sprzętowe (FIDO2, np. YubiKey) — odporne na phishing, bo nie da się ich „podać" na fałszywej stronie. Koszt rzędu 150–250 zł za klucz. Warto je założyć na konta administracyjne i dostęp do bankowości.
W praktyce dla 20-osobowej firmy zwykle rekomendujemy: aplikacja TOTP dla wszystkich, klucze sprzętowe dla dwóch–trzech kont administracyjnych i osoby obsługującej przelewy.
Przykład z życia
U jednego z naszych klientów — 18-osobowego biura rachunkowego — pracownica podała hasło do Microsoft 365 na fałszywej stronie logowania podlinkowanej w e-mailu „od dostawcy". Atakujący miał poprawne hasło. I nic z nim nie zrobił.
Przy próbie zalogowania z nietypowej lokalizacji system zażądał kodu z aplikacji Authenticator, którego włamywacz nie miał. Logowanie zostało zablokowane, a biuro dostało powiadomienie o podejrzanej próbie i spokojnie zmieniło hasło. Klasyczny scenariusz — przejęcie skrzynki, kilkutygodniowa obserwacja i podmiana numeru konta na fakturze klienta — został wyłączony na pierwszym kroku.
Koszt całego wdrożenia MFA na poczcie i VPN dla 18 osób: jedno popołudnie pracy i 0 zł licencji, bo Microsoft Authenticator jest darmowy. Dla porównania: pojedynczy udany atak na fakturę w tej branży to typowo kilkadziesiąt tysięcy złotych, których prawie nigdy nie da się odzyskać.
Jak nie zablokować własnego zespołu
MFA potrafi obrócić się przeciwko Tobie, jeśli wdrożysz je bez planu na sytuacje awaryjne. Cztery rzeczy, o których trzeba pomyśleć z góry:
- Kody zapasowe. Każdy system MFA generuje jednorazowe kody awaryjne. Wydrukuj je i schowaj w sejfie — to Twój ratunek, gdy ktoś zgubi telefon.
- Co najmniej dwa konta administracyjne z osobnym MFA. Jeśli cała firma wisi na jednym koncie admina, a ten admin zgubi telefon w piątek wieczorem, masz problem na cały weekend.
- Procedura na wymianę telefonu. Pracownicy zmieniają telefony. Ustal z góry, kto i jak przepina im MFA, zanim zablokują się sami.
- Dostęp warunkowy. Nie pytaj o kod osiem razy dziennie z firmowego biura — pytaj przy logowaniu z nowego urządzenia albo nietypowej lokalizacji. Jeśli MFA będzie męczyć ludzi przy każdym kliknięciu, zaczną je obchodzić, a wtedy cała inwestycja idzie do kosza.
Od czego zacząć w przyszłym tygodniu
Nie potrzebujesz projektu na pół roku. Potrzebujesz jednego popołudnia i listy:
- Wypisz konta, które mają dostęp do poczty, pieniędzy i danych klientów.
- Włącz MFA na poczcie dla wszystkich — zacznij od własnego konta i kont administracyjnych.
- Tam, gdzie używasz SMS-ów na kontach admina i w bankowości, wymień je na aplikację lub klucz sprzętowy.
- Wydrukuj kody zapasowe i ustaw drugiego administratora.
- Skonfiguruj reguły dostępu warunkowego, żeby zespół nie wpisywał kodu po sto razy dziennie.
To nie jest praca, którą pokażesz na konferencji. Ale jest to najtańsza rzecz, jaką możesz zrobić w tym tygodniu, żeby skradzione hasło przestało być dla Twojej firmy wyrokiem.
Jeśli nie wiesz, od którego konta zacząć albo jak skonfigurować dostęp warunkowy, żeby nie zwariować — pogadaj z kimś, kto wdraża to w małych firmach na co dzień. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
MFA nie jest dodatkiem do bezpieczeństwa. To wyłącznik, który sprawia, że skradzione hasło staje się bezużyteczne.