Logowanie dwuskładnikowe i klucze dostępu: 30 minut

Większość włamań na konta firmowe nie zaczyna się od zaawansowanego ataku. Zaczyna się od hasła, które wyciekło z innego serwisu albo zostało wyłudzone na fałszywej stronie. Gdy do hasła dochodzi drugi składnik, samo hasło przestaje wystarczać.

Poświęć 30 minut. Włączysz drugi składnik w najważniejszych kontach, zapiszesz kody zapasowe i ustalisz, co robić przy zmianie telefonu albo odejściu pracownika. Przy okazji dowiesz się, czym są klucze dostępu i kiedy warto kupić klucz sprzętowy.

Co to jest drugi składnik i które są najlepsze

Logowanie dwuskładnikowe (2FA) znaczy, że poza hasłem potrzebujesz czegoś, co masz: telefonu, aplikacji albo klucza. Bez tego włamywacz ze znanym hasłem nie wejdzie na konto.

Metody różnią się siłą:

Zasada na dziś: aplikacja zamiast SMS-a, a tam, gdzie to możliwe, klucz dostępu. SMS zostaw jako ostatnią rezerwę.

Zanim zaczniesz: 5 minut przygotowania

Przygotuj trzy rzeczy, a reszta pójdzie szybko:

1. Aplikację do kodów na telefonie. Może to być aplikacja Google Authenticator, Microsoft Authenticator albo funkcja w Twoim menedżerze haseł.
2. Miejsce na kody zapasowe: menedżer haseł albo wydruk w zamkniętej szufladzie. Nie zdjęcie w galerii telefonu.
3. Listę kont w kolejności z następnej sekcji. Zapisz przy każdym, kto ma do niego dostęp.

Jeśli nie masz jeszcze menedżera haseł, zacznij od niego. Hasła unikalne dla każdego konta to podstawa, a drugi składnik jest dodatkiem.

Kolejność: od konta, które otwiera wszystkie inne

Nie zabezpieczaj kont losowo. Zacznij od tych, które pozwalają przejąć pozostałe, bo na pocztę przychodzą linki do resetu hasła.

1. Poczta firmowa i konto Google lub Microsoft
2. Bank firmowy
3. Profil Firmy w Google
4. Konto Meta (Facebook i Instagram)
5. Domena
6. Hosting
7. Panel strony (np. WordPress)

Przy każdym koncie robisz to samo: włączasz drugi składnik, zapisujesz kody zapasowe i sprawdzasz listę zalogowanych urządzeń.

Krok 1: poczta

Poczta to klucz do wszystkiego. Kto ją przejmie, może zresetować hasła do domeny, hostingu i wizytówki.

W Koncie Google wejdź w Zabezpieczenia i logowanie i włącz weryfikację dwuetapową. Potem dodaj klucz dostępu albo aplikację z kodami jako metodę główną. W Microsoft wejdź w ustawienia bezpieczeństwa konta i włącz weryfikację dwuetapową. Nazwy opcji bywają zmieniane, więc szukaj haseł „weryfikacja dwuetapowa” i „klucze dostępu”.

Po włączeniu pobierz kody zapasowe i zapisz je w bezpiecznym miejscu. Sprawdź też listę urządzeń i wyloguj te, których nie znasz.

Krok 2: bank

Banki w Polsce zwykle same wymuszają autoryzację w aplikacji mobilnej albo przez kod. Sprawdź tylko trzy rzeczy:

• czy potwierdzasz przelewy w aplikacji banku, a nie samym kodem SMS,
• czy limity przelewów są ustawione tak, jak potrzebujesz,
• kto z pracowników ma dostęp do konta firmowego i z jakimi uprawnieniami.

Bankowość to jedyne konto, w którym nie warto kombinować. Jeśli bank daje powiadomienia o każdej operacji, włącz je. Więcej o ochronie przed zmienionym numerem konta na fakturze znajdziesz w poradzie o podmienionym numerze konta na fakturze.

Krok 3: Profil Firmy w Google

Profil Firmy w Google jest powiązany z kontem Google, którym zarządzasz wizytówką. Dlatego zabezpieczone konto Google z kroku 1 chroni też wizytówkę.

Dodatkowo sprawdź w ustawieniach profilu listę właścicieli i menedżerów. Usuń osoby, które już u Ciebie nie pracują albo są dawnymi wykonawcami. Zostaw co najmniej dwóch właścicieli, żeby nie zablokować sobie dostępu, gdy jedno konto przestanie działać.

Krok 4: konto Meta

Przejęcie firmowej strony na Facebooku zwykle zaczyna się od konta prywatnego administratora. Zabezpiecz więc właśnie je. W ustawieniach Meta (Centrum kont, potem hasło i zabezpieczenia) włącz uwierzytelnianie dwuskładnikowe z aplikacją zamiast SMS-a.

Sprawdź też, kto jest administratorem strony i konta reklamowego. Zostaw tylko osoby, które naprawdę tego potrzebują. Co robić, gdy ktoś już przejął stronę, opisałem w poradzie o przejętym koncie firmowym na Facebooku.

Krok 5: domena

Domena to adres Twojej firmy w internecie i maili. Kto przejmie konto u rejestratora, może przekierować stronę i pocztę na własne serwery. Sprawdź:

• czy konto u rejestratora jest założone na adres e-mail Twojej firmy, a nie wykonawcy,
• czy jest tam włączony drugi składnik (u większości rejestratorów w ustawieniach konta),
• czy domena jest zabezpieczona blokadą transferu, jeśli rejestrator ją oferuje.

Jeśli nie wiesz, gdzie jest domena, sprawdź to dziś. Bez dostępu do niej nic innego nie ma znaczenia.

Krok 6: hosting

W panelu hostingu są pliki strony, bazy danych i poczta. Włącz tam drugi składnik, jeśli panel go oferuje, i ustaw unikalne hasło. Sprawdź listę kont użytkowników: czy nie ma starych dostępów po wykonawcach, którzy dawno skończyli pracę.

Zwróć uwagę na dostęp przez FTP. Jeśli nie korzystasz z niego, wyłącz konta FTP albo poproś hosting o ich usunięcie.

Krok 7: panel strony

Ostatni krok to logowanie do samej strony, na przykład do kokpitu WordPressa. WordPress w podstawowej wersji nie ma drugiego składnika, więc potrzebna jest do tego wtyczka. Włącz go dla wszystkich administratorów i redaktorów, nie tylko dla siebie.

Usuń konta, których nie rozpoznajesz, a konto o nazwie „admin”, jeśli jeszcze je masz, zastąp nowym kontem administratora, bo WordPress nie pozwala zmienić nazwy użytkownika w panelu. W ramach opieki technicznej co miesiąc aktualizuję stronę i przygotowuję raport z audytu.

Kody zapasowe, zmiana telefonu i odejście pracownika

Najwięcej problemów robi nie atak, tylko brak planu na zwykłe sytuacje.

Kody zapasowe

Większość kont z drugim składnikiem daje jednorazowe kody awaryjne. Zapisz je w menedżerze haseł albo wydrukuj i schowaj. Po użyciu kodu wygeneruj nowe.

Zmiana albo utrata telefonu

Zanim oddasz stary telefon, przenieś kody do nowej aplikacji, bo samo skopiowanie aplikacji często ich nie przenosi. Jeśli telefon zginął:

1. Zaloguj się na ważne konta z kodami zapasowymi.
2. Usuń stary telefon z listy urządzeń i metod logowania.
3. Dodaj nowy telefon jako drugi składnik.
4. Zablokuj kartę SIM u operatora.

Odejście pracownika

W dniu odejścia usuń jego dostęp do poczty, panelu strony, wizytówki i konta reklamowego. Zmień hasła do wspólnych kont i zresetuj drugi składnik. Sprawdź, czy nie ma on dostępu do domeny albo hostingu na swój prywatny adres. Najlepiej mieć wcześniej spisaną listę, kto do czego ma dostęp.

Klucze dostępu i klucze sprzętowe

Klucz dostępu (passkey) to logowanie bez hasła: potwierdzasz się odciskiem palca, twarzą albo kodem blokady telefonu. Jest przypisany do prawdziwej strony logowania, więc na fałszywej stronie po prostu nie zadziała. Dlatego jest odporny na wyłudzanie danych logowania.

Klucz sprzętowy to mały przedmiot, który wkładasz do portu USB albo przykładasz do telefonu (NFC). Warto go kupić do najważniejszych kont: poczty, banku i rejestratora domeny. Kup dwa klucze i jeden schowaj w innym miejscu, na wypadek zgubienia. Przy kluczach dostępu zostaw zawsze drugą metodę wejścia, żeby nie zablokować się przy utracie urządzenia.

Lista kontrolna na 30 minut

• [ ] Aplikacja do kodów zainstalowana na telefonie
• [ ] Menedżer haseł z unikalnym hasłem do każdego konta
• [ ] Poczta: drugi składnik włączony, kody zapasowe zapisane
• [ ] Bank: autoryzacja w aplikacji, powiadomienia włączone
• [ ] Profil Firmy w Google: co najmniej dwóch właścicieli, brak obcych osób
• [ ] Meta: drugi składnik w aplikacji, administratorzy sprawdzeni
• [ ] Domena: konto na firmę, drugi składnik, blokada transferu
• [ ] Hosting: drugi składnik, usunięte stare konta i FTP
• [ ] Panel strony: drugi składnik dla wszystkich administratorów
• [ ] Spisana lista, kto ma dostęp do czego
• [ ] Plan na zmianę telefonu i odejście pracownika

Podsumowanie

Drugi składnik w siedmiu miejscach zajmuje pół godziny, a zamyka drogę do większości przejęć kont. Zacznij od poczty, kończ na panelu strony i zapisz kody zapasowe, zanim będą potrzebne.

Jeśli chcesz, żebym sprawdził zabezpieczenia strony i logowania, zamów audyt bezpieczeństwa. Możesz też napisać do mnie: odpowiadam w 24 godziny, a nowi klienci dostają 20% rabatu na pierwsze zlecenie. Szybki wstępny test strony zrobisz samodzielnie w darmowym narzędziu Zbadaj stronę.