Statystycznie największym zagrożeniem dla firmowych plików nie jest wyrafinowany atak, tylko przejęte hasło pracownika. Najczęściej to samo hasło, którego używał w serwisie, z którego wyciekła baza. Dwuskładnikowe uwierzytelnianie zamyka tę drogę praktycznie całkowicie, a wdrożenie zajmuje jedno popołudnie.

Dlaczego hasło samo w sobie już nie wystarcza

Napastnik nie musi łamać Twojego hasła. Wystarczy, że kupi gotową listę par adres i hasło z wycieków, a potem sprawdzi je automatem w setkach serwisów. To metoda nazywana upychaniem poświadczeń i działa dlatego, że ludzie powtarzają hasła. Drugi scenariusz to phishing: pracownik wpisuje dane na stronie łudząco podobnej do prawdziwej.

W obu przypadkach drugi składnik logowania przerywa atak, bo napastnik ma hasło, ale nie ma Twojego telefonu ani klucza.

Metody 2FA od najsłabszej do najmocniejszej

Kod SMS

Lepszy niż nic, ale najsłabszy z dostępnych. Podatny na przejęcie numeru przez duplikat karty SIM oraz na przekazanie kodu napastnikowi podczas phishingu. Jeśli to jedyna opcja, którą zespół zaakceptuje, wdrażaj, ale traktuj jako rozwiązanie przejściowe.

Aplikacja uwierzytelniająca

Kod generowany co 30 sekund w aplikacji na telefonie. Działa bez zasięgu, nie da się przejąć przez duplikat karty SIM, jest darmowy. To rozsądny domyślny wybór dla większości małych firm, a wdrożenie polega na zeskanowaniu kodu QR przy pierwszym logowaniu.

Klucz sprzętowy

Fizyczne urządzenie podłączane do portu USB lub przykładane do telefonu. Odporne na phishing, ponieważ klucz weryfikuje adres strony i po prostu nie zadziała na podrobionej witrynie. Najmocniejsza opcja, warta rozważenia dla kont administracyjnych i osób z dostępem do danych wrażliwych, na przykład kadr czy dokumentacji medycznej.

Hasła nadal mają znaczenie

Drugi składnik nie zwalnia z porządku w hasłach. Trzy zasady, które faktycznie działają:

• długość ponad złożoność: fraza z czterech przypadkowych słów jest mocniejsza i łatwiejsza do zapamiętania niż osiem znaków z gwiazdką,
• hasło unikalne dla każdego serwisu, co w praktyce wymaga menedżera haseł,
• koniec z wymuszaną zmianą co 30 dni, bo prowadzi do haseł typu Lato2026, potem Jesien2026; wymieniaj hasło po incydencie, a nie z kalendarza.

Plan wdrożenia w małej firmie

1. Zacznij od siebie i od administratorów, bo to konta o największych uprawnieniach.
2. Włącz 2FA dla kont z dostępem do danych wrażliwych: kadry, księgowość, dokumentacja klientów.
3. Przeprowadź krótkie szkolenie, dosłownie kwadrans, pokazując na ekranie proces logowania. Większość oporu bierze się z niepewności, nie z niechęci.
4. Zaplanuj procedurę na zgubiony telefon, w tym kody zapasowe. To najczęstszy powód, dla którego firmy wyłączają 2FA po miesiącu.
5. Rozszerz na cały zespół, gdy pierwsza grupa działa bez problemów.

Najczęstsze błędy

• kody zapasowe zapisane w pliku obok hasła, co niweczy cały mechanizm,
• 2FA tylko dla szeregowych pracowników, a szef bez, bo mu niewygodnie,
• współdzielone konto z jednym telefonem zamiast kont imiennych,
• brak procedury na odejście pracownika; blokada konta powinna być natychmiastowa, o czym piszemy w tekście Uprawnienia do plików w firmie.

Jak to działa w eDysko

W eDysko włączysz dwuskładnikowe logowanie w ustawieniach konta, wybierając kod z aplikacji uwierzytelniającej albo kod wysyłany na e-mail. Każdy pracownik ma osobne konto, więc drugi składnik działa indywidualnie, a nie na wspólny login. Administrator może w każdej chwili zablokować konto, co odcina dostęp natychmiast, niezależnie od tego, kto zna hasło. Sprawdź plany albo przetestuj 14 dni za darmo.

Najczęstsze pytania

Co gdy pracownik zgubi telefon z aplikacją?

Po to są kody zapasowe generowane przy włączaniu 2FA. Powinny być wydrukowane albo zapisane w menedżerze haseł, nigdy w pliku na tym samym komputerze. Administrator powinien też móc zresetować drugi składnik po potwierdzeniu tożsamości pracownika.

Czy mogę wymagać instalacji aplikacji na prywatnym telefonie?

To bywa sporne. Bezpieczniej dać wybór: aplikacja na telefonie służbowym, klucz sprzętowy finansowany przez firmę albo kod wysyłany na służbowy adres e-mail. Wybór eliminuje główny argument przeciwko wdrożeniu.

Czy 2FA wystarczy zamiast kopii zapasowej?

Nie, to zupełnie inne warstwy ochrony. 2FA chroni przed wejściem na konto, kopia zapasowa przed utratą danych. Ransomware potrafi zaszyfrować pliki bez przejmowania konta, dlatego potrzebujesz obu, plus historii wersji.