Czy naprawdę potrzebujemy uwierzytelniania wieloskładnikowego?

Czym naprawdę jest uwierzytelnianie wieloskładnikowe

Hasło to jeden składnik: coś, co wiesz. Uwierzytelnianie wieloskładnikowe, często skracane do MFA, po prostu dodaje drugi składnik: zwykle coś, co masz, jak telefon, albo coś, czym jesteś, jak odcisk palca. Chodzi o to, że atakujący może ukraść twoje hasło, ale mało prawdopodobne, żeby w tym samym momencie miał w ręku też twój telefon.

W praktyce wygląda to tak. Wpisujesz hasło jak zwykle. Potem konto prosi o drugi krok: liczbę z aplikacji na telefonie, prośbę o potwierdzenie jednym dotknięciem, kod przesłany SMS-em albo dotknięcie małego fizycznego klucza. Konto otwiera się dopiero, gdy oba sprawdzenia przejdą pomyślnie. Całość dodaje zwykle kilka sekund.

Znasz to już z życia prywatnego. Gdy bank wysyła ci kod SMS-em przed przelewem albo telefon prosi o twoją twarz, zanim się odblokuje, to ta sama idea. Uwierzytelnianie wieloskładnikowe wprowadza tę zwyczajną, znajomą ochronę do firmowej poczty, plików i systemów biznesowych.

Dlaczego same hasła zawodzą

Hasła zawodzą nie dlatego, że twoi ludzie są nieostrożni. Zawodzą, bo wymagają od ludzi czegoś, w czym ludzie są słabi: zapamiętania kilkudziesięciu długich, unikalnych, trudnych do odgadnięcia ciągów znaków i nigdy ich nie powtarzania. Wynikają z tego trzy rzeczy.

Ludzie powtarzają hasła. Większość ludzi ma niewielką pulę haseł, które rotują między wieloma serwisami, bo zapamiętanie unikalnego hasła do wszystkiego jest naprawdę trudne. Kiedy więc jeden serwis zostaje naruszony, to samo hasło często otwiera kilka innych.

Hasła padają ofiarą phishingu. Przekonujący e-mail albo fałszywa strona logowania nakłania kogoś do wpisania hasła w niewłaściwym miejscu. Nie potrzeba do tego naiwnego pracownika. Współczesne strony phishingowe to niemal idealne kopie, a celem jest zapracowana osoba klikająca w pozornie normalną prośbę, nie wyjątek od reguły.

Hasła wyciekają gdzie indziej i wracają do was. Duże naruszenia w innych firmach zrzucają do internetu miliardy kombinacji e-maila i hasła. Atakujący biorą te listy i próbują ich automatycznie na wszystkich, także na waszym personelu. Jeśli ktoś u was powtórzył hasło, które wyciekło gdzie indziej, atakujący ma teraz działający klucz do waszych drzwi wejściowych, i nie musiał zrobić nic sprytnego, żeby go zdobyć.

Wspólny mianownik jest taki, że hasło można skopiować, odgadnąć albo wyłudzić od kogoś, a wy nigdy się o tym nie dowiecie. Drugi składnik to przerywa, bo samo hasło przestaje wystarczać.

Jak mocne są dowody

To jeden z niewielu obszarów security, w którym liczby są jasne i spójne.

Microsoft, który widzi próby logowania setek milionów kont, podaje, że uwierzytelnianie wieloskładnikowe blokuje ponad 99,2% ataków na przejęcie konta (stan na czerwiec 2026). Mówiąc wprost: gdy atakujący ma działające hasło, ale konto wymaga też drugiego składnika, atak niemal zawsze zatrzymuje się w tym miejscu. Atakujący ma hasło, ale nie ma telefonu, więc drzwi pozostają zamknięte.

To ma znaczenie, bo skradzione hasła są bardzo częstym problemem. Verizon 2026 Data Breach Investigations Report wykazał, że użycie skradzionych danych uwierzytelniających wystąpiło w 36% naruszeń. Macie więc bardzo częsty atak i pojedynczą kontrolę, która zatrzymuje jego zdecydowaną większość. Niewiele jest decyzji w security z takim stosunkiem kosztu do korzyści.

Żadna kontrola nie jest idealna, a kolejna sekcja wyjaśnia, gdzie są luki. Ale nagłówek jest uczciwy: dla większości firm włączenie drugiego składnika to pojedynczy najskuteczniejszy dostępny krok security.

Nie każde MFA jest tak samo mocne

Dodanie drugiego składnika to duża wygrana. Wybór mocniejszego drugiego składnika to dopracowanie. Metody, w przybliżeniu od słabszych do mocniejszych:

• Kod SMS · Jak działa: Kod jest wysyłany na telefon SMS-em · Siła: Dobra. Lepsza niż nic, ale kody można przechwycić albo wyłudzić przez phishing
• Aplikacja authenticator · Jak działa: Aplikacja na telefonie pokazuje zmieniający się kod albo prośbę o potwierdzenie dotknięciem · Siła: Lepsza. Trudniejsza do przechwycenia niż SMS
• Passkey albo klucz bezpieczeństwa · Jak działa: Twoje urządzenie albo mały fizyczny klucz potwierdza tożsamość kryptograficznie · Siła: Najlepsza. Odporna na phishing z założenia

Powód, dla którego SMS-y są na dole listy, jest taki, że wprawny atakujący czasem potrafi je przekierować albo nakłonić kogoś do odczytania kodu na głos na fałszywej stronie logowania. Aplikacje authenticator eliminują najłatwiejsze z tych sztuczek. Passkeys i fizyczne klucze bezpieczeństwa idą o krok dalej: są zbudowane tak, że drugi składnik działa wyłącznie na prawdziwej stronie, więc fałszywa strona nie przechwyci niczego użytecznego.

Praktyczna wskazówka jest taka, żeby nie czekać z dobrym rozwiązaniem na idealne. Każdy drugi składnik bije samo hasło z dużą przewagą, więc pierwszy krok to po prostu włączenie czegokolwiek wszędzie. Potem, z czasem, przenieś najbardziej wrażliwe konta na aplikacje authenticator i passkeys. Powiązany przewodnik „Phishing-resistant MFA: why MFA isn't enough, and what comes next" wyjaśnia mocniejsze metody i konkretne ataki, które powstrzymują.

Gdzie ma to największe znaczenie

Nie trzeba ogarniać wszystkiego naraz. Niewielka grupa typów kont niesie większość ryzyka, a ich zabezpieczenie w pierwszej kolejności szybko daje większość korzyści.

Najpierw poczta e-mail. Firmowy e-mail to klucz główny do wszystkiego innego, bo niemal każde inne konto można przez niego zresetować. Atakujący, który przejmie skrzynkę, może zażądać resetu haseł, czytać wrażliwe wątki i podszywać się pod daną osobę wobec współpracowników, klientów i banku. Poczta e-mail to cel o najwyższej wartości, więc dostaje najsilniejszą ochronę.

Zaraz potem konta administratorów. To konta, których wasze IT albo dostawcy używają do prowadzenia waszych systemów. Przejęcie jednego z nich to jak oddanie kluczy do całego budynku, więc każde z nich powinno mieć najsilniejszy dostępny składnik, bez wyjątków.

Trzecie w kolejności jest wszystko, co dotyka pieniędzy. Systemy księgowe, portale bankowe, płace i narzędzia do zatwierdzania płatności to oczywiste cele oszustw. To samo dotyczy systemów przechowujących wrażliwe dane klientów czy pracowników, gdzie naruszenie niesie koszt prawny i reputacyjny.

Reszta idzie za tym, a celem w czasie jest pokrycie bliskie stu procentom, nie wygodna średnia, bo atakujący szukają właśnie tego jednego pominiętego konta. Powiązany przewodnik „Getting to Near-Total MFA Coverage" krok po kroku prowadzi przez tę kolejność.

Kompromis między kosztem a tarciem

Uczciwy zarzut wobec uwierzytelniania wieloskładnikowego nie dotyczy kosztu. W większości firm ta funkcja jest już wliczona w subskrypcje poczty i narzędzi biurowych, za które płacicie, jak Microsoft 365 czy Google Workspace, więc włączenie jej to głównie zadanie konfiguracyjne, a nie nowy zakup. Prawdziwym kosztem jest tarcie i wsparcie, które za nim idzie.

Tarcie jest realne, ale niewielkie: kilka dodatkowych sekund przy logowaniu, okazjonalna prośba, gdy coś wygląda nietypowo, i potrzeba skonfigurowania nowego urządzenia, gdy ktoś zmienia telefon. Ludzie marudzą przez tydzień, a potem to staje się rutyną, tak samo jak przyzwyczaili się do tego w swoim banku.

Koszt wsparcia jest realny i warto go zaplanować. Część osób zostanie zablokowana, zgubi telefon albo będzie potrzebować pomocy przy rejestracji. To da się opanować przy jasnym wdrożeniu, dobrej komunikacji i prostym procesie odzyskiwania dostępu, i to główny powód, żeby zrobić to świadomie, a nie przełączać przełącznik w piątkowe popołudnie. Zestawione z ryzykiem po drugiej stronie, ten rachunek nie jest wyrównany: jedno przejęte konto e-mail może oznaczać oszukańcze płatności, naruszenie danych i tygodnie sprzątania, w zamian za kilka sekund przy każdym logowaniu i możliwy do ogarnięcia napływ zgłoszeń do wsparcia.

O co zapytać osobę odpowiedzialną za IT

Nie musisz stawać się techniczny, żeby przeprowadzić użyteczną rozmowę. Te pytania dadzą ci to, czego potrzebujesz:

• Jaki procent naszych kont ma dziś włączone uwierzytelnianie wieloskładnikowe, a które go nie mają?
• Czy jest włączone na każdym koncie administratora i każdym koncie e-mail, bez wyjątków?
• Jakiej metody używamy: SMS, aplikacja authenticator czy passkeys? Czy możemy przenieść najbardziej wrażliwe konta na mocniejsze metody?
• Jak ktoś odzyskuje dostęp, gdy zgubi telefon, i czy atakujący mógłby nadużyć tej samej ścieżki odzyskiwania?
• Czy są jakieś stare systemy albo loginy, które omijają uwierzytelnianie wieloskładnikowe, i jaki jest plan wobec nich?
• Kiedy osiągniemy pokrycie bliskie stu procentom i co nas przed tym powstrzymuje?

Jak wygląda dobry stan

Po tym poznasz, że wdrożenie jest w dobrym stanie:

• Pokrycie jest bliskie stu procentom i raportowane dokładnymi liczbami, nie opisywane jako „mamy MFA". Liczą się konta bez drugiego składnika, więc dobra odpowiedź je nazywa i ma dla nich plan.
• Każde konto administratora i każde konto e-mail jest chronione, a wyjątki da się policzyć na palcach jednej ręki i każdy jest indywidualnie uzasadniony, nie przepuszczony bez pytania.
• Najbardziej wrażliwe konta używają aplikacji authenticator albo passkeys, nie tylko kodów SMS.
• Istnieje jasny, bezpieczny sposób odzyskiwania dostępu, którego atakujący nie może zamienić w tylną furtkę.
• Stare systemy pomijające drugi składnik zostały albo naprawione, albo wycofane, nie cicho tolerowane.

Jeśli osoba odpowiedzialna za wasze IT potrafi odnieść się do tych punktów konkretami, jesteście w dobrym stanie. Jeśli odpowiedzi są mgliste albo opierają się na średniej, to sygnał, żeby drążyć dalej.

Źródła

• One simple action you can take to prevent 99.9 percent of attacks on your accounts (Microsoft Security Blog) · https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/ (telemetria Microsoftu dotycząca ataków na konta i wynik skuteczności MFA)
• Plan for mandatory Microsoft Entra multifactor authentication (Microsoft Learn) · https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication (aktualne stanowisko Microsoftu, że MFA blokuje ponad 99,2% ataków na przejęcie konta)
• Verizon 2026 Data Breach Investigations Report · https://www.verizon.com/business/resources/reports/dbir/ (udział naruszeń związanych ze skradzionymi danymi uwierzytelniającymi)
• Implementing Phishing-Resistant MFA (CISA fact sheet) · https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (dlaczego niektóre metody MFA są silniejsze od innych i co oznacza odporność na phishing)