Wystarczy jeden wyciek bazy danych gdzieś w internecie, żeby hasło do Twojej poczty firmowej przestało być tajemnicą. Pokazuję, jak działa uwierzytelnianie wieloskładnikowe i dlaczego to jeden z najprostszych sposobów, żeby to zablokować.
Żeby wypłacić pieniądze z bankomatu, nie wystarczy znać PIN. Trzeba też mieć fizyczną kartę. Ktoś, kto zna Twój PIN, ale nie ma karty, nie wypłaci ani złotówki - i odwrotnie, sama karta bez PIN-u też nic nie da. Te dwa elementy razem tworzą zabezpieczenie, które od lat uważamy za oczywiste przy pieniądzach. Uwierzytelnianie wieloskładnikowe przenosi dokładnie tę samą logikę na logowanie do kont online, gdzie przez większość czasu wciąż wystarczy jeden element: hasło.
MFA, od angielskiego multi-factor authentication, oznacza potwierdzenie tożsamości więcej niż jednym sposobem naraz. Te sposoby dzielą się na trzy kategorie: coś, co wiesz (hasło, PIN), coś, co masz (telefon, klucz sprzętowy, karta) oraz coś, czym jesteś (odcisk palca, twarz). Logowanie samym hasłem korzysta tylko z pierwszej kategorii. MFA wymaga dodatkowo elementu z co najmniej jednej z pozostałych dwóch.
W praktyce wygląda to tak, że po wpisaniu poprawnego hasła system prosi jeszcze o kod z aplikacji w telefonie, zatwierdzenie powiadomienia albo dotknięcie klucza sprzętowego. Dopiero po przejściu obu kroków konto się otwiera.
Hasła zawodzą z kilku niezależnych powodów naraz, i żaden z nich nie wynika z tego, że ludzie są nieostrożni - to po prostu słaby mechanizm sam w sobie.
Mogę Ci jakoś pomóc?
Żaden z tych trzech scenariuszy nie wymaga, żeby atakujący był wybitnie zdolny. Wystarczy, że hasło - jedyna linia obrony - w którymkolwiek momencie trafi w niepowołane ręce.
Wróćmy do bankomatu. Ktoś podpatrzył Twój PIN albo znalazł go zapisany na kartce. Bez fizycznej karty w portfelu i tak nic nie wypłaci. MFA działa identycznie z kontem online - nawet jeśli atakujący zdobędzie hasło przez phishing czy wyciek, wciąż brakuje mu drugiego elementu, który zwykle znajduje się w telefonie właściciela konta, poza jego zasięgiem.
To właśnie dlatego MFA jest jednym z pojedynczych zabezpieczeń o największym realnym wpływie na bezpieczeństwo konta - nie eliminuje ryzyka wycieku hasła, ale sprawia, że samo wycieknięte hasło przestaje wystarczać do przejęcia konta.
Drugi składnik może przyjąć kilka form, a różnice między nimi są spore.
To najczęstszy opór, jaki słyszymy - dodatkowy krok kojarzy się z dodatkowym utrudnieniem w codziennej pracy. W praktyce większość systemów pozwala oznaczyć zaufane urządzenie i nie prosić o drugi składnik przy każdym logowaniu, tylko np. raz na kilkanaście czy trzydzieści dni albo przy logowaniu z nowego urządzenia. Realny koszt to kilka sekund raz na jakiś czas. Realny zysk to konto, którego nie da się przejąć samym wykradzionym hasłem - te proporcje w praktyce nie budzą wątpliwości.
Mogę Ci jakoś pomóc?
Wdrożenie nie wymaga rewolucji, tylko konsekwencji.
Najczęstszy błąd to poprzestanie na SMS-ie jako jedynej formie MFA, mimo że to najsłabszy z dostępnych wariantów.
Drugi to włączenie MFA tylko dla części kont, np. pracowników, przy pominięciu kont administracyjnych, które w razie przejęcia dają atakującemu dostęp do wszystkiego naraz.
Trzeci to brak przygotowanej procedury odzyskania dostępu, przez co zgubiony telefon zamienia się w kilka godzin przestoju, zanim ktoś odblokuje konto ręcznie.
Mogę Ci jakoś pomóc?
Hasło samo w sobie przestało być wystarczającym zabezpieczeniem, bo zbyt wiele niezależnych od pracownika czynników - wycieki, phishing, boty - może sprawić, że trafi w niepowołane ręce. MFA nie eliminuje tego ryzyka, ale odbiera mu największą siłę: samo hasło przestaje wystarczać do przejęcia konta. To jedno z tych zabezpieczeń, które kosztują kilka sekund dziennie, a realnie zatrzymują większość prób włamania, zanim jeszcze się na dobre zaczną.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA wpisała podatność CVE-2026-60137 do katalogu luk wykorzystywanych w atakach. Błąd w rdzeniu WordPressa umożliwia wstrzyknięcie SQL, a według opisu agencji w połączeniu z drugą luką pozwala przejąć serwis bez logowania. Poniżej fakty, zagrożone wersje i lista działań.
Czytaj artykułMicrosoft potwierdził wykorzystywanie podatności CVE-2026-58644 w serwerach SharePoint, a CISA wyznaczyła trzy dni na reakcję. Tekst wyjaśnia, które wersje są zagrożone, na czym polega atak przez deserializację i jakie pytania zadać działowi IT.
Czytaj artykułTen wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.