Nawet najlepsze hasło może wyciec: z bazy danych innego serwisu, przez fałszywą stronę logowania albo przez program szpiegujący na komputerze. Logowanie dwuetapowe (2FA, czasem MFA) sprawia, że samo hasło już nie wystarcza. Do zalogowania potrzebny jest jeszcze drugi składnik, zwykle Twój telefon.
Dlaczego zacząć od poczty
Firmowa skrzynka to klucz do wszystkiego. Przez „Nie pamiętam hasła” da się z niej przejąć konto w banku, w programie do faktur, w domenie i w mediach społecznościowych. Przejęta poczta to też idealne narzędzie do oszustw. Przestępca widzi korespondencję z klientami i może w odpowiednim momencie wysłać „poprawioną” fakturę z innym numerem konta.
Dlatego jeśli masz włączyć 2FA w jednym miejscu, niech to będzie poczta.
Które metody są najbezpieczniejsze
Od najmocniejszej do najsłabszej:
- Klucz sprzętowy albo klucz dostępu (passkey). Logujesz się dotykiem palca lub małym kluczem USB. Odporne nawet na bardzo dobrze podrobione strony logowania. Coraz więcej usług, m.in. Google i Microsoft, obsługuje passkeys.
- Aplikacja z kodami. Microsoft Authenticator, Google Authenticator, 2FAS albo Aegis pokazują sześciocyfrowy kod zmieniający się co 30 sekund. Darmowe i wygodne.
- Powiadomienie w aplikacji („Czy to Ty?”). Wygodne, ale uważaj: nigdy nie zatwierdzaj logowania, którego sam nie rozpocząłeś. Przestępcy potrafią wysyłać dziesiątki takich próśb, licząc na to, że ktoś w końcu kliknie „Tak” dla świętego spokoju.
- Kod SMS. Lepszy niż nic, ale najsłabszy. SMS można przechwycić, np. wyrabiając duplikat karty SIM na podstawie podrobionych dokumentów.
Gdzie włączyć 2FA w pierwszej kolejności
- poczta firmowa (Google Workspace, Microsoft 365 albo poczta u dostawcy domeny),
- menedżer haseł,
- rejestrator domeny i hosting strony,
- program księgowy i do faktur,
- konto Google z profilem firmy w Mapach,
- media społecznościowe firmy,
- bankowość internetowa, choć tu banki zwykle robią to za Ciebie.
Jedno popołudnie wystarczy, żeby przejść całą listę.
Kody zapasowe: nie pomijaj tego kroku
Przy włączaniu 2FA serwis pokazuje kody zapasowe. Pozwalają się zalogować, gdy zgubisz telefon. Zapisz je w menedżerze haseł albo wydrukuj i schowaj razem z ważnymi dokumentami firmy. Bez nich odzyskanie konta po zgubieniu telefonu może trwać tygodniami.
Jeśli używasz aplikacji z kodami, wybierz taką, która umożliwia bezpieczne przeniesienie kodów na nowy telefon, albo dodaj drugi telefon lub klucz sprzętowy jako zapasową metodę.
„To utrudni pracę zespołowi”
W praktyce drugi składnik podajesz raz na danym urządzeniu, a potem tylko co jakiś czas albo przy logowaniu z nowego miejsca. Przy passkeys logowanie jest wręcz szybsze niż z hasłem. Kilka sekund dziennie to bardzo niska cena za to, że wyciek hasła przestaje być katastrofą.
Masz już menedżer haseł? Razem z 2FA to dwa kroki, które zatrzymują zdecydowaną większość prób przejęcia kont w małych firmach.