Metody odporne na phishing
Kody SMS i kody jednorazowe z aplikacji mogą zostać wyłudzone i użyte na prawdziwej stronie przez atakującego. Metody oparte na FIDO2/WebAuthn, np. odpowiednio wdrożone klucze bezpieczeństwa lub passkeys, wiążą uwierzytelnienie z właściwą usługą i zapewniają odporność na taki phishing. Nie eliminują wszystkich zagrożeń, np. przejęcia już zalogowanej sesji.
Zabezpiecz także metody zapasowe i proces odzyskiwania konta. Nie zatwierdzaj nieoczekiwanych próśb logowania; zgłoś je ustalonym kanałem.
Hasło nie powinno być jedyną ochroną
Uwierzytelnianie wieloskładnikowe, czyli MFA, wymaga potwierdzenia tożsamości w więcej niż jednej kategorii. Przykładem jest hasło i fizyczny klucz bezpieczeństwa. Dwa hasła nie dają takiego samego rozdzielenia. Metody MFA różnią się odpornością na podszywanie się pod stronę logowania.
Phishing wykorzystuje pośpiech i wiarygodny pretekst
Podejrzana wiadomość może udawać prośbę o zatwierdzenie płatności, zmianę hasła lub udostępnienie dokumentu. Nazwa wyświetlana nadawcy nie potwierdza jego tożsamości. Prośbę dotyczącą płatności lub zmiany danych kontrahenta warto potwierdzić znanym wcześniej kanałem, zamiast używać numeru z otrzymanej wiadomości.
Zaplanuj również odzyskanie konta
Wdrożenie MFA wymaga ustalenia, co stanie się po utracie telefonu lub klucza. Firma powinna wiedzieć, kto obsługuje odzyskiwanie i jak przechowuje się zapasowe metody. Dokumentacja musi być chroniona, ale dostępna dla upoważnionych osób w sytuacji awaryjnej.
Przykład procedury dla małego biura
Nowy pracownik otrzymuje imienne konto z uprawnieniami potrzebnymi do swojej pracy. Przy uruchomieniu dostępu poznaje kanał zgłaszania podejrzanych wiadomości i zasady potwierdzania nietypowych próśb. Firma zapisuje, kto zatwierdza dostęp do poczty, plików oraz aplikacji finansowej. Przy zmianie stanowiska lub zakończeniu współpracy uprawnienia są przeglądane.
Taką procedurę warto opisać w kilku czytelnych krokach. Jej skuteczność zależy od tego, czy pracownicy wiedzą, gdzie zgłosić wątpliwość i czy mogą to zrobić bez obawy przed obwinianiem. Sam zakup narzędzia nie zastąpi przydzielenia odpowiedzialności.
Co uwzględnić w obsłudze IT?
- Przegląd kont administracyjnych oraz dostępu do poczty.
- Ustalenie metod logowania i odzyskiwania kont.
- Obsługę zatrudniania, zmian ról i odejść pracowników.
- Instrukcję zgłaszania podejrzanej wiadomości.
Zakres zależy od używanych usług i licencji. W rozmowie o wycenie warto oddzielić uruchomienie zabezpieczeń od późniejszej administracji. Zobacz także krótkie objaśnienie MFA.