Hasło do firmowej poczty może przestać mieć znaczenie szybciej, niż się wydaje. Atakujący coraz częściej nie próbują go łamać. Zamiast tego wyłudzają prawdziwe logowanie, kod MFA albo przejmują gotową sesję. W efekcie osoba może mieć silne hasło i włączone MFA, a mimo to oddać dostęp do skrzynki na fałszywej stronie.
Passkeys są odpowiedzią na ten problem. To nie jest magiczna różdżka, ale dobrze wdrożone mogą mocno ograniczyć phishing, MFA fatigue i liczbę resetów haseł. Warunek jest jeden: firma musi potraktować poważnie odzyskiwanie dostępu.
Spis treści:
W środowiskach AWS, Microsoft Azure i Google Cloud największym problemem rzadko jest pojedynczy serwer. Ryzyko tworzy zwykle kombinacja kilku elementów: publicznie dostępna instancja, wrażliwe dane, znana podatność oraz zbyt szerokie uprawnienia. CrowdStrike Cloud Security pomaga połączyć te informacje w jeden kontekst i ustalić, co wymaga działania w pierwszej kolejności.
Czym są passkeys?
Passkey to logowanie bez hasła. Kluczem dostępu staje się urządzenie użytkownika oraz lokalne potwierdzenie tożsamości, na przykład twarz, odcisk palca albo PIN.
Ważne
PIN nie jest wysyłany do internetu ani przekazywany stronie logowania. Służy wyłącznie do odblokowania klucza na urządzeniu. To zasadnicza różnica względem hasła, które można wpisać na podstawionej stronie i oddać atakującemu.
Passkeys opierają się na standardach FIDO i FIDO2. Dzięki temu są uznawane za metodę phishing-resistant, czyli odporną na klasyczne wyłudzenie danych logowania.
Dlaczego passkeys są odporne na phishing?
Passkey jest powiązany z konkretną, prawidłową stroną logowania. Jeśli ktoś otrzyma wiadomość z linkiem do perfekcyjnie podrobionej domeny, klucz nie powinien zadziałać, ponieważ nie rozpozna tej witryny.
To ważne, bo współczesne kampanie phishingowe są coraz lepsze. Nie wyglądają już jak wiadomości pełne literówek. Są dopasowane do organizacji, podpisane wiarygodnie i często wykorzystują technikę Adversary in the Middle.
W takim ataku fałszywa strona pośredniczy między użytkownikiem a prawdziwą usługą. Ofiara wpisuje hasło, zatwierdza MFA lub podaje kod z aplikacji, a napastnik przechwytuje sesję. Hasło może być poprawne, kod również, lecz konto nadal zostaje przejęte.
Przykład: pilna faktura i przejęta skrzynka Microsoft 365
Jest piątek, 16:40. Dyrektor finansowy dostaje wiadomość o pilnej fakturze od dostawcy. Termin płatności jest dzisiaj. Mail wygląda czysto, podpis wydaje się prawidłowy, a link prowadzi rzekomo do podglądu dokumentu.
Po kliknięciu pojawia się strona logowania Microsoft 365. Dyrektor wpisuje hasło, dostaje prośbę o kod z aplikacji MFA, podaje go, ale faktura się nie otwiera.
W poniedziałek sytuacja wygląda już klasycznie:
- w skrzynce są reguły przekierowywania wiadomości,
- logowania pochodzą z innego kraju,
- do księgowości wysłano wiadomości z nowym numerem rachunku,
- atakujący podszywa się pod pracownika i zmienia dane płatności.
Nie chodziło o odgadnięcie hasła. Atakujący potrzebował prawdziwego logowania na fałszywej stronie i kodu MFA ważnego wystarczająco długo, by przejąć sesję.
Przy użyciu passkey logowanie na podrobionej domenie najprawdopodobniej nie doszłoby do skutku. Klucz jest związany z właściwą stroną, a nie z tym, co przypomina ją wizualnie.
TOP 5 różnic między passkeys a hasłami i zwykłym MFA
1. Odporność na phishing
Hasło można wpisać wszędzie. Kod z aplikacji można przepisać na fałszywej stronie. Powiadomienie push można zatwierdzić przez pomyłkę. Passkey rozpoznaje właściwą domenę i nie powinien potwierdzić logowania w podróbce.
2. Mniej resetów haseł
Hasła są zapominane, powtarzane i resetowane. Passkey korzysta z mechanizmów, których ludzie używają już codziennie do odblokowania telefonu lub komputera. Twarzy czy odcisku palca nie da się zapomnieć tak jak hasła.
3. Szybsze logowanie
Zamiast wpisywać długie hasło, szukać kodu i przepisywać go w przeglądarce, wystarczy spojrzenie, dotknięcie czujnika albo lokalny PIN. To skraca proces i zmniejsza frustrację.
4. Mniej bombardowania MFA
Powiadomienia push są wygodne, ale właśnie dlatego bywają ryzykowne. Atakujący może wysyłać wiele próśb o zatwierdzenie, aż ktoś kliknie „Akceptuj” dla świętego spokoju. Passkey nie opiera się na mechanicznym zatwierdzaniu powiadomień.
5. Inny problem operacyjny: odzyskiwanie dostępu
Hasło można zresetować, choć ten proces też bywa ryzykowny. Przy passkeys trzeba przemyśleć, co stanie się po zgubieniu telefonu, wymianie laptopa lub awarii urządzenia. To nie wada samej technologii, tylko obszar, który wymaga dojrzałej procedury.
Które MFA jest naprawdę phishing-resistant?
Nie każde MFA daje ten sam poziom ochrony. Stwierdzenie „mamy MFA, więc jest bezpiecznie” bez wskazania metody nie mówi praktycznie nic.
Najlepszą ochronę przed phishingiem zapewniają metody związane z właściwą domeną i urządzeniem.
Metody phishing-resistant
- Passkeys
- Klucze sprzętowe FIDO2
- Windows Hello for Business, pod warunkiem właściwej konfiguracji
Metody lepsze niż nic, ale podatne na wyłudzenie
- SMS z kodem
- kod wysłany e-mailem
- kod z aplikacji uwierzytelniającej
- powiadomienie push z opcją akceptacji lub odrzucenia
SMS może być przejęty przez przekierowanie numeru lub SIM swapping. Kod na e-mailu nic nie daje, gdy skrzynka została już przejęta. Aplikacja uwierzytelniająca jest lepsza od SMS-a, ale kod nadal można podać na fałszywej stronie.
Push MFA to wygoda, która potrafi obrócić się przeciw firmie. Użytkownik może zaakceptować próbę automatycznie albo po serii natarczywych powiadomień. Dlatego warto pytać nie „czy jest MFA?”, tylko jakie MFA chroni konto?
Minusy passkeys, których nie wolno ignorować
Jak wdrożyć passkeys w firmie bez tworzenia tylnych drzwi
1. Zacznij od kont o najwyższym ryzyku
Nie trzeba od razu zmieniać wszystkiego. Pierwsze w kolejce powinny być konta, których przejęcie może wyrządzić największą szkodę:
- administratorzy IT,
- finanse i osoby realizujące przelewy,
- zarząd,
- HR,
- użytkownicy z dostępem do krytycznych systemów.
2. Uruchom pilotaż na małej grupie
Dobry start to pilotaż trwający około dwóch tygodni z grupą od 10 do 30 osób. Celem nie jest wyłącznie sprawdzenie, czy logowanie działa. Chodzi o przejście całej ścieżki operacyjnej: rejestracji klucza, wymiany urządzenia, utraty dostępu i zgłoszenia do supportu.
Przed startem warto ustalić jedną listę scenariuszy „co robimy, gdy…”. Bez tego support będzie podejmował decyzje na bieżąco, a to w bezpieczeństwie niemal zawsze kończy się skrótami.
3. Zabezpiecz odzyskiwanie dostępu
To najważniejszy element wdrożenia. Najczęstszy błąd wygląda niewinnie: pracownik zgłasza, że nie ma telefonu, a pomocny helpdesk wyłącza MFA i pozwala zalogować się samym hasłem.
Właśnie w tym momencie firma buduje atakującemu autostradę do konta.
Bez twardej procedury odzyskiwania dostępu nawet dobre MFA można obejść przez support.
Bezpieczniejsza procedura powinna obejmować:
- co najmniej dwie formy weryfikacji tożsamości, na przykład rozmowę i potwierdzenie w systemie HR albo zgłoszenie z wcześniej ustalonego kanału,
- zakaz resetu wyłącznie na podstawie e-maila lub pilnej prośby,
- czasowe odblokowanie dostępu tylko dla konkretnego scenariusza zamiast trwałego zdejmowania zabezpieczeń,
- rejestrowanie każdej metody zapasowego logowania,
- drugi passkey, klucz sprzętowy przechowywany w bezpiecznym miejscu albo drugi zweryfikowany firmowy sprzęt.
Przydaje się również konto awaryjne typu Break Glass Account. Musi ono mieć restrykcyjne zasady, monitoring użycia i być wykorzystywane wyłącznie w wyjątkowych sytuacjach. Konto awaryjne nie może być codziennym skrótem na problemy z logowaniem.
4. Ustandaryzuj urządzenia
Passkeys wymagają kontroli nad środowiskiem, w którym działają. Firmowe telefony zarządzane przez MDM, wymagany PIN lub biometria, zasady wymiany urządzeń oraz kontrola instalowanych aplikacji dają znacznie lepszą podstawę do bezpiecznego wdrożenia.
Warto ustalić, kto może rejestrować nowe urządzenie, jak odbywa się migracja na nowy telefon i jakie warunki musi spełniać komputer służbowy.
5. Powiedz ludziom prostym językiem, co się zmienia
Najlepszy komunikat nie potrzebuje technicznego żargonu:
Nie wpisujesz już hasła. Odblokowujesz dostęp tak jak telefon. Jeśli strona prosi o hasło, zatrzymaj się, bo to wygląda podejrzanie.
To pomaga pracownikom zauważyć różnicę między prawidłowym procesem a próbą wyłudzenia. Komunikacja jest częścią zabezpieczenia, nie dodatkiem na końcu projektu.
Trzy rzeczy do sprawdzenia już teraz
- Oceń MFA: czy używana metoda jest phishing-resistant, czy tylko lepsza niż brak MFA?
- Przetestuj odzyskiwanie dostępu: czy support weryfikuje tożsamość, czy po prostu ufa pilnej prośbie?
- Sprawdź konta krytyczne: czy administratorzy, finanse, HR i zarząd mogą przejść na passkeys lub klucze FIDO2 już teraz?
Passkeys to realna zmiana w walce z phishingiem i przejmowaniem sesji. Jednak wdrożenie bez procedur odzyskiwania dostępu może zamienić nowoczesne logowanie w nowe opakowanie starego problemu. Najpierw zabezpiecza się krytyczne konta, potem proces supportowy, a dopiero później skaluje rozwiązanie na całą firmę.
FAQ
Czy passkeys całkowicie zastąpią hasła?
Passkeys mogą zastąpić hasła w usługach, które je obsługują, ale nie każda aplikacja firmowa jest na to gotowa. Starsze systemy, VPN-y i narzędzia zdalnego dostępu mogą nadal wymagać innych metod logowania.
Czy kod z aplikacji uwierzytelniającej jest phishing-resistant?
Nie. Jest bezpieczniejszy od SMS-a, ale użytkownik nadal może przepisać kod na fałszywej stronie logowania. Passkeys, klucze FIDO2 i dobrze skonfigurowane Windows Hello for Business lepiej chronią przed tym scenariuszem.
Co zrobić, gdy pracownik zgubi telefon z passkey?
Nie należy automatycznie zdejmować MFA ani przywracać dostępu tylko na podstawie wiadomości e-mail. Trzeba uruchomić procedurę z co najmniej dwiema weryfikacjami tożsamości i użyć zatwierdzonego zapasowego sposobu logowania.
Od których osób zacząć wdrożenie passkeys?
Najpierw warto objąć pilotażem administratorów IT, działy finansowe, zarząd, HR oraz osoby wykonujące przelewy lub mające dostęp do systemów krytycznych.
Czy powiadomienia push MFA są bezpieczne?
Push MFA podnosi poziom ochrony względem samego hasła, ale jest podatny na automatyczne zatwierdzanie i bombardowanie prośbami o akceptację. Nie należy traktować go jako metody odpornej na phishing.
