Z czego składa się MFA

• coś, co wiesz: hasło, PIN, odpowiedź na pytanie pomocnicze,
• coś, co masz: telefon z aplikacją, klucz sprzętowy, karta,
• coś, czym jesteś: odcisk palca, geometria twarzy.

Najważniejsze jest tu słowo “różnych”. Hasło plus pytanie o nazwisko panieńskie matki nie jest żadnym MFA: oba składniki mieszczą się w pierwszej kategorii i oba mogą wyciec z tej samej bazy danych.

A 2FA?

2FA to uwierzytelnianie z dokładnie dwoma składnikami z różnych kategorii, czyli szczególny przypadek MFA. Samo dokładanie kolejnych etapów logowania nie gwarantuje większego bezpieczeństwa. Ważne jest również to, jak działają poszczególne składniki i czy można je wyłudzić.

Hasło da się skopiować

Nie chodzi o to, że ludzie wymyślają słabe hasła (choć wymyślają). Chodzi o to, że hasło można skopiować bez Twojej wiedzy i bez żadnego śladu w Twojej infrastrukturze.

Wycieka z serwisu, w którym pracownik użył go po raz drugi, wycieka z prywatnego laptopa zainfekowanego programem, który zbiera dane zapisane w przeglądarce. Wycieka z fałszywej strony logowania, nie do odróżnienia od prawdziwej. Żaden z tych trzech scenariuszy nie wymaga przełamania czegokolwiek u Ciebie i żaden nie wywoła alertu: z punktu widzenia Twoich systemów nic się nie wydarzyło.

Przestępcy kradną zresztą nie tylko hasła. W raporcie za 2025 rok SpyCloud opisuje 8,6 miliarda skradzionych ciasteczek i innych danych sesji, które firma odzyskała z przestępczego obiegu. W 40% analizowanych infekcji na urządzeniach był zainstalowany EDR lub antywirus.

Nie zrozum mnie źle, hasło jest potrzebne i nic go na razie nie zastąpi. Nawet przy kluczu sprzętowym coś musi potwierdzić, że używa go właściciel, a nie ktoś, kto go ukradł, więc wchodzi PIN albo odcisk palca. Hasło przestaje wystarczać dopiero wtedy, gdy jest jedynym dowodem.

Trzy wersje tego samego poniedziałku

Załóżmy, że hasło administratora firmowej chmury trafiło w ręce napastnika. Nieważne którą drogą, wybierz dowolną z trzech powyższych.

W firmie bez MFA napastnik loguje się o 9:40 i… tyle. Nic więcej się nie dzieje. Poprawne hasło, konto z uprawnieniami, logowanie udane. Nie zadziało się nic, co mogłoby wywołać alert.

W firmie z MFA opartym na kodzie samo skradzione hasło już nie wystarczy. Napastnik musi jeszcze skłonić administratora do potwierdzenia logowania. Wysyła mu więc wiadomość z linkiem do strony logowania. Strona jest podstawiona i stoi na cudzej domenie, tylko nie jest zwykłą kopią: wszystko, co administrator na niej widzi, przychodzi na żywo z prawdziwego serwera. Adres bywa myląco podobny: podmienia się w nim jeden znak, na przykład „rn” czyta się na pasku jak „m”. Pośrednik przekazuje w czasie rzeczywistym wszystko, co administrator wpisze, do prawdziwego serwera, i wszystko, co prawdziwy serwer odpowie, z powrotem do administratora. Hasło przechodzi. Prośba o kod przechodzi. Administrator przepisuje sześć cyfr z aplikacji, pośrednik podaje je dalej, serwer wystawia ciasteczko sesji, a ciasteczko zostaje u napastnika. Nie przełamał MFA. Poczekał, aż ktoś przejdzie je za niego.

W firmie wymagającej logowania kluczem sprzętowym w trybie FIDO2 administrator robi dokładnie to samo. Ta sama wiadomość, ta sama fałszywa strona, to samo hasło. Próba potwierdzenia logowania kluczem jednak się nie powiedzie: przeglądarka nie pozwoli użyć poświadczenia prawdziwej usługi na obcej domenie. Administrator może nawet nie rozpoznać podstępu, ale napastnik nie uzyska w ten sposób sesji. Ujawnione hasło nadal wymaga reakcji.

Trzy scenariusze, w których jest ten sam punkt wyjścia: ktoś dał się nabrać. Różne są tylko zakończenia.

Zmiana hasła nie unieważnia sesji

Zmiana hasła jest po takim incydencie pierwszym odruchem i w większości przypadków słusznym. Kiedy napastnik przejął już sesję, nie daje jednak nic. Trzyma w przeglądarce ciasteczko mówiące systemowi „ten użytkownik przeszedł już całą procedurę” i będzie je miał tak długo, aż ktoś świadomie unieważni sesję.

Nie każde MFA jest tak samo mocne

Utarło się mówić, że SMS jest słaby, aplikacja lepsza, a klucz najlepszy. Ta hierarchia jest mniej więcej trafna, ale myli co do tego, gdzie przebiega istotna granica.

Kod w SMS to wariant najsłabszy. Podatny na przeniesienie numeru na obcą kartę SIM, na przechwycenie wiadomości, na wyłudzenie przez telefon. Oddajesz przy okazji bezpieczeństwo logowania w ręce operatora i jego obsługi klienta.

Kod z aplikacji, czyli TOTP, jest wyraźnie lepszy. Działa bez zasięgu, nie zależy od operatora, nie wędruje razem z numerem. Eliminuje ryzyka związane z przejęciem numeru telefonu, ale sam kod nadal można wyłudzić.

Powiadomienie push z przyciskiem :zatwierdź” jest wygodne i dlatego niebezpieczne. Napastnik z hasłem wysyła żądania logowania co minutę, aż użytkownik kliknie zatwierdzenie, żeby mieć spokój. Działa to zaskakująco dobrze o drugiej w nocy.

Push z dopasowaniem numeru wymaga wpisania w aplikacji liczby widocznej na ekranie logowania. To ogranicza przypadkowe zatwierdzanie powiadomień. Nie blokuje jednak phishingu z pośrednikiem: fałszywa strona może pokazać numer z prawdziwego logowania, a użytkownik zatwierdzi wtedy sesję, do której dostęp uzyska napastnik.

Klucz sprzętowy albo klucz dostępu w standardzie FIDO2 działa na innej zasadzie i dlatego ma tu osobną sekcję.

Pierwsze cztery metody różnią się odpornością na podsłuch, na podmianę karty SIM i na kliknięcie z rozpędu. Padają jednak na ten sam rodzaj ataku. We wszystkich czterech użytkownik oddaje coś, co natychmiast wędruje dalej. Wdrożenie TOTP zamiast SMS jest dobrą decyzją i naprawdę zamyka kilka dróg wejścia. Nie zamyka jednak tej, którą dziś chodzi się najczęściej.

Pośrednik, czyli jak obchodzi się kod

Metoda nazywa się adversary in the middle i w katalogu MITRE ATT&CK figuruje jako T1557, w parze z T1539, czyli kradzieżą ciasteczka sesji.

Takie narzędzia oferuje się w abonamencie. Przykładem jest Tycoon2FA. W analizie opublikowanej w marcu 2026 roku Microsoft opisał kampanie wymierzone w ponad pół miliona organizacji miesięcznie. Dostęp do panelu oferowano od 120 $ za 10 dni albo 350 $ za miesiąc.

Tyle co kilka licencji na pakiet biurowy.

W tym samym miesiącu Microsoft i partnerzy ogłosili zakłócenie działania infrastruktury Tycoon2FA. To przykład skali i dostępności takich usług, a nie aktualny cennik.

Dlaczego klucz jest inny

FIDO2 wiąże potwierdzenie logowania z konkretną usługą. Dlatego nie da się go po prostu przekazać z fałszywej strony do prawdziwej.

Przy rejestracji klucz tworzy parę kluczy kryptograficznych i wiąże ją z konkretnym adresem strony. Klucz prywatny nigdy nie opuszcza urządzenia. Przy logowaniu serwer wysyła wyzwanie, a klucz podpisuje je razem z informacją, dla jakiej domeny ten podpis powstał.

Fałszywa strona ma inny adres, więc klucz nie znajdzie dla niej poświadczenia i podpisu nie będzie. Pośrednik nie ma czego przechwycić. Użytkownik nie musi niczego rozpoznawać, bo adres weryfikuje kryptografia, a nie jego czujność o 7:50 rano.

Google wdrożyło klucze sprzętowe dla wszystkich pracowników w 2017 roku i od tej pory nie odnotowało ani jednego skutecznego phishingu na kontach ponad 85 tysięcy osób. Cloudflare trafiło w lipcu 2022 roku na tę samą kampanię, która przewróciła Twilio i ponad 130 innych firm. Trzech pracowników wpisało hasła na podstawionej stronie Okta. Konta nikt nie przejął, bo bez klucza logowanie nie przechodziło.

W obu firmach pozostałe metody logowania były wyłączone.

Pozorne MFA

Klucz sprzętowy chroni dokładnie do chwili, w której zostawisz obok niego metodę zapasową. Napastnik nie atakuje najmocniejszej dostępnej ścieżki, tylko najsłabszą, która wciąż działa. Jeżeli na ekranie logowania widnieje „nie mam klucza, wyślij kod”, to MFA odporne na phishing jest u Ciebie opcją. Tak samo działa procedura odzyskiwania dostępu. Konto, do którego da się wrócić po rozmowie telefonicznej ze wsparciem, jest zabezpieczone na poziomie tej rozmowy. Socjotechnika wobec helpdesku nie wymaga dziś żadnego narzędzia i w dużych organizacjach bywa najskuteczniejsza.

Trzeci wyłom to systemy, które nowoczesnego uwierzytelniania nie obsługują: stare protokoły pocztowe, aplikacje wewnętrzne sprzed dekady, interfejsy zarządzania urządzeniami sieciowymi. Wystarczy jeden taki system, żeby reszta wdrożenia przestała mieć znaczenie.

FIDO2 zabezpiecza moment logowania, nie całe życie sesji. Jeżeli komputer pracownika jest już zainfekowany, ciasteczko można z niego wykraść także po zalogowaniu kluczem. Przed tym broni krótszy czas życia sesji, polityki dostępu warunkowego i powiązanie sesji z urządzeniem. Dlatego MFA to element podejścia Zero Trust, a nie jego zamiennik.

MFA, NIS2 i ustawa o KSC

Dyrektywa NIS2 wymienia uwierzytelnianie wieloskładnikowe wprost. Artykuł 21 ustęp 2 j mówi o stosowaniu uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych, w stosownych przypadkach. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przenosi ten katalog na obowiązki podmiotów kluczowych i ważnych w ramach systemu zarządzania bezpieczeństwem informacji.

Zwróć uwagę na trzy słowa: „w stosownych przypadkach”. Wiele firm czyta je jako furtkę. My czytamy odwrotnie: te trzy słowa przenoszą ciężar dowodu. Przepis nie daje listy systemów, w których MFA jest obowiązkowe, więc to Ty wskazujesz, gdzie go nie ma, i to Ty uzasadniasz tę decyzję analizą ryzyka. Konto administratora bez MFA nie jest luką w przepisie. Jest decyzją, którą ktoś w Twojej firmie podjął, choćby przez zaniechanie.

Po incydencie pytanie „dlaczego dostęp administracyjny nie był objęty MFA” pada zawsze i zawsze wymaga odpowiedzi. Jak rozłożyć całość przygotowań na etapy, opisaliśmy we wpisie o przygotowaniu organizacji do NIS2.

Od czego zacząć

Wdrożenie MFA wszędzie naraz nie udaje się prawie nigdy.

Zacznij od kont uprzywilejowanych i od dostępu zdalnego, bo ryzyko jest tam najwyższe, a kont relatywnie niewiele. Klucze sprzętowe to zresztą jeden z nielicznych wydatków w bezpieczeństwie, który da się policzyć z góry: liczba kont razy cena klucza, plus zapasowy na każdą osobę. Dalej poczta i aplikacje chmurowe, czyli to, przez co wchodzi się do firmy najczęściej. Reszta użytkowników na końcu.

Osobno zrób listę wyjątków, bo to one zdecydują o wyniku. Konta serwisowe, z których korzystają programy, a nie ludzie. Dostępy firm zewnętrznych. Stare protokoły uwierzytelniania, wciąż włączone. Konta awaryjne. Żadna z tych kategorii nie pokaże się w raporcie z postępu wdrożenia, a każda potrafi przekreślić poprawne wdrożenie u wszystkich pozostałych. Jak je wyłapać i uporządkować, rozpisaliśmy przy okazji kont widm i offboardingu.

MFA ogranicza wejście, nie ogranicza tego, co napastnik zrobi już w środku. Za to drugie odpowiada segmentacja sieci i minimalne uprawnienia. Oba projekty warto prowadzić równolegle, bo dotykają tych samych systemów.

Jak to robimy

Zaczynamy od zestawienia, które zwykle jest pierwszą niespodzianką: gdzie MFA obowiązuje, gdzie jest włączone opcjonalnie, a gdzie nie ma go wcale. Różnica między pierwszą a drugą kolumną bywa większa, niż wynika z dokumentacji.

Potem klucze sprzętowe na konta uprzywilejowane, wyłączenie metod zapasowych tam, gdzie da się je wyłączyć, i procedura odzyskiwania dostępu, której nie da się zagadać przez telefon. Na końcu to, co zwykle zostaje na później, a nie powinno: konta serwisowe, dostępy dostawców oraz systemy, które nowoczesnego uwierzytelniania nie obsługują i wymagają osobnego rozwiązania.

Prowadzimy to w ramach bezpiecznego zarządzania tożsamością, zwykle razem z uporządkowaniem kont i uprawnień. Samo zabezpieczenie logowania nie usunie przecież niepotrzebnych kont ani nadmiarowych dostępów.

Jedno pytanie na koniec

Czy do Twoich kont administracyjnych można dostać się metodą podatną na wyłudzenie?

Sprawdź przy tym nie tylko zwykłe logowanie, ale również metody zapasowe i odzyskiwanie konta. To tam może pozostać możliwość ominięcia mocniejszej ochrony.

Chcesz sprawdzić, jak to wygląda u Ciebie? Umów bezpłatną konsultację z naszym inżynierem na devology.pl/kontakt albo zadzwoń: +48 12 210 02 82.