Samo hasło, nawet silne, nie chroni już dziś wystarczająco przed przejęciem konta — wycieki haseł zdarzają się regularnie na różnych serwisach. Uwierzytelnianie wieloskładnikowe dodaje warstwę ochrony, której sam wyciek hasła nie jest w stanie ominąć.

Na czym polega ta usługa

Wdrożenie obejmuje skonfigurowanie wymogu dodatkowej weryfikacji przy logowaniu — kodem z aplikacji, powiadomieniem push lub SMS-em — dla wszystkich kont pracowników w Microsoft 365, oraz przeszkolenie zespołu z korzystania z nowego sposobu logowania.

Dla kogo ma sens

Usługa jest zalecana dla każdej firmy korzystającej z Microsoft 365, niezależnie od wielkości — konta pocztowe i dokumenty firmowe są częstym celem prób przejęcia, a MFA znacząco podnosi poprzeczkę dla potencjalnego atakującego.

Ile to trwa

Wdrożenie MFA mieści się z reguły w standardowym czasie do 3 dni, w zależności od liczby kont do skonfigurowania.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Metody weryfikacji tożsamości stosowane w ramach wdrożenia

Podczas konfiguracji środowiska Microsoft 365 dobiera się odpowiednie metody uwierzytelniania wieloskładnikowego w zależności od specyfiki pracy oraz posiadanych przez firmę urządzeń. Standardowo wykorzystuje się kilka uzupełniających się rozwiązań:

Aplikacja Microsoft Authenticator z dopasowywaniem liczb (number matching): Jest to obecnie rekomendowana przez firmę Microsoft metoda weryfikacji tożsamości. Podczas próby logowania na ekranie komputera pojawia się dwucyfrowa liczba, którą pracownik musi przepisać do powiadomienia wyświetlonego na swoim telefonie. Eliminuje to ryzyko przypadkowego kliknięcia przycisku akceptacji w pośpiechu.
Jednorazowe kody czasowe TOTP (Time-based One-Time Password): Rozwiązanie polegające na generowaniu sześciocyfrowego kodu w aplikacji uwierzytelniającej, który zmienia się automatycznie co 30 sekund. Kod jest obliczany na podstawie wspólnego klucza i aktualnego czasu, dzięki czemu telefon nie musi mieć aktywnego połączenia z internetem ani zasięgu sieci komórkowej w momencie logowania.
Sprzętowe klucze bezpieczeństwa FIDO2 (Fast Identity Online): Fizyczne urządzenia podłączane do portu USB lub komunikujące się bezprzewodowo. Uwierzytelnienie następuje poprzez dotknięcie klucza. Jest to metoda całkowicie odporna na próby wyłudzenia danych (phishing), ponieważ klucz sprzętowy wymienia dane kryptograficzne wyłącznie z autentyczną domeną logowania.
Weryfikacja przez wiadomość SMS lub połączenie telefoniczne: Metoda polegająca na wysłaniu jednorazowego kodu tekstowego na numer telefonu komórkowego pracownika. Ze względu na podatność sieci komórkowych na ataki polegające na duplikacji karty SIM (SIM swap) oraz możliwość przechwycenia wiadomości przez złośliwe oprogramowanie, SMS jest traktowany jako metoda zapasowa, a nie podstawowa.

Mechanizmy techniczne w usłudze Microsoft Entra ID

Wdrożenie uwierzytelniania wieloskładnikowego w chmurze Microsoft opiera się na usłudze katalogowej Microsoft Entra ID (dawniej znanej pod nazwą Azure Active Directory). W zależności od posiadanych licencji konfiguracja jest realizowana za pomocą jednego z dwóch głównych mechanizmów:

Domyślne ustawienia zabezpieczeń (Security Defaults): Zestaw podstawowych reguł bezpieczeństwa dostępny bezpłatnie w każdej subskrypcji Microsoft 365. Wymusza on rejestrację MFA dla wszystkich użytkowników i administratorów w ciągu 14 dni od włączenia, wymaga dodatkowej weryfikacji przy ryzykownych operacjach oraz całkowicie blokuje starsze protokoły logowania.
Zasady dostępu warunkowego (Conditional Access): Zaawansowany mechanizm dostępny w licencjach Microsoft 365 Business Premium oraz Microsoft Entra ID P1 i P2. Pozwala na precyzyjne definiowanie reguł typu „jeżeli-to”. Możliwe jest na przykład wymuszenie MFA tylko wtedy, gdy pracownik loguje się spoza zaufanej sieci biurowej w firmie, łączy się z nietypowej lokalizacji geograficznej lub korzysta z urządzenia niezarządzanego przez firmę.
Blokada starszych protokołów (Legacy Authentication): Starsze protokoły pocztowe, takie jak POP3, IMAP czy SMTP AUTH, nie obsługują interaktywnego okna logowania wieloskładnikowego. Pozostawienie ich aktywnych pozwala cyberprzestępcom na ominięcie zabezpieczeń MFA poprzez bezpośrednie wysyłanie zapytań o hasło. Prawidłowe wdrożenie zawsze obejmuje wyłączenie tych protokołów w całej organizacji.

Zagrożenia wynikające z braku uwierzytelniania wieloskładnikowego

Poleganie wyłącznie na tradycyjnym haśle w środowisku chmurowym niesie ze sobą wysokie ryzyko przejęcia tożsamości cyfrowej przedsiębiorstwa. Do najczęściej spotykanych wektorów ataków należą:

Ataki typu password spraying (rozpylanie haseł): Atakujący nie próbuje odgadnąć hasła jednego pracownika, lecz sprawdza kilka najpopularniejszych haseł (na przykład związanych z aktualną porą roku lub nazwą miasta) na setkach kont w danej domenie. Pozwala to uniknąć automatycznej blokady konta z powodu zbyt wielu nieudanych prób logowania.
Wykorzystanie wycieków z innych portali (credential stuffing): Pracownicy nierzadko używają tego samego hasła w skrzynce służbowej oraz w prywatnych sklepach internetowych czy forach. Po wycieku danych z zewnętrznego portalu przestępcy automatycznie sprawdzają skradzione pary login-hasło w usłudze Microsoft 365.
Przejęcie korespondencji biznesowej (Business Email Compromise - BEC): Po uzyskaniu dostępu do skrzynki pocztowej atakujący nie blokuje konta, lecz zakłada reguły przekazywania wiadomości i analizuje korespondencję. W odpowiednim momencie wysyła do kontrahenta informację o rzekomej zmianie numeru konta bankowego do opłacenia faktury, co prowadzi do bezpośrednich strat finansowych.
Wymuszenie zgody poprzez zmęczenie powiadomieniami (MFA fatigue / prompt bombing): W przypadku gdy przestępca zna już hasło, może wielokrotnie wysyłać żądania autoryzacji push na telefon użytkownika w godzinach nocnych. Zmęczony lub zdezorientowany pracownik klika przycisk akceptacji, aby wyciszyć powiadomienia. Właściwa konfiguracja number matching zapobiega temu scenariuszowi.

Typowe błędy popełniane przy samodzielnej konfiguracji

Samodzielne włączanie MFA bez wcześniejszego przygotowania procedur i środowiska często prowadzi do problemów operacyjnych oraz przestojów w pracy firmy:

Brak konta awaryjnego (konta break-glass): Niezwykle częsty błąd polegający na objęciu politykami MFA wszystkich kont administratorów bez wyjątku. W sytuacji awarii infrastruktury uwierzytelniania, utraty telefonu przez głównego administratora lub błędnej konfiguracji zasad dostępu warunkowego, firma traci możliwość zarządzania całą swoją subskrypcją. Prawidłowa architektura wymaga utworzenia co najmniej dwóch wyizolowanych kont awaryjnych z bardzo długimi, losowymi hasłami przechowywanymi w bezpieczny sposób.
Uruchomienie blokad bez okresu wdrożeniowego: Wymuszenie logowania MFA z dnia na dzień bez wcześniejszego przeprowadzenia użytkowników przez proces rejestracji metod uwierzytelniania skutkuje jednoczesnym zablokowaniem dostępu do poczty dla wielu pracowników i paraliżem bieżącej działalności.
Pominięcie urządzeń wielofunkcyjnych i aplikacji zewnętrznych: Skanery biurowe, systemy ERP wysyłające faktury czy centrale telefoniczne często korzystają z kont pocztowych w Microsoft 365 do wysyłki powiadomień. Włączenie MFA bez uprzedniego skonfigurowania łączników SMTP (SMTP Relay) lub dedykowanych kont usługowych uniemożliwia tym urządzeniom dalszą pracę.
Niewłaściwa konfiguracja rejestracji łączonej: Brak włączenia łączonej rejestracji informacji zabezpieczających (Combined Security Information Registration) sprawia, że użytkownicy muszą oddzielnie konfigurować metody dla MFA i samodzielnego resetowania haseł (SSPR), co wywołuje chaos informacyjny.

Kiedy samo MFA nie wystarcza do pełnej ochrony

Chociaż uwierzytelnianie wieloskładnikowe stanowi podstawę bezpieczeństwa tożsamości, istnieją zaawansowane techniki ataków, które wymagają wdrożenia dodatkowych warstw ochronnych:

Kradzież ciasteczek sesyjnych (Session Token Theft): Złośliwe oprogramowanie typu infostealer działające na komputerze użytkownika może skopiować z pamięci przeglądarki aktywne tokeny uwierzytelniające. Atakujący może wówczas wkleić taki token do własnej przeglądarki i uzyskać dostęp do poczty oraz plików bez konieczności ponownego logowania i podawania kodu MFA.
Phishing typu pośrednik w ataku (Adversary-in-the-Middle - AiTM): Zaawansowana fałszywa strona logowania pośredniczy w czasie rzeczywistym między użytkownikiem a prawdziwymi serwerami Microsoft. Użytkownik wpisuje login, hasło oraz kod MFA na stronie atakującego, która natychmiast przekazuje te dane do systemu Microsoft, przejmuje zwrócony token sesyjny i loguje przestępcę. Ochronę przed tym wektorem zapewniają wyłącznie klucze sprzętowe FIDO2 lub uwierzytelnianie oparte na certyfikatach urządzeń.
Brak ochrony stacji roboczych: Uwierzytelnianie MFA chroni punkt styku z chmurą, ale nie zabezpiecza przed zainfekowaniem samego systemu operacyjnego. Z tego względu wdrożenie tożsamości powinno iść w parze z aktualnym oprogramowaniem antywirusowym, szyfrowaniem dysków (BitLocker) oraz zarządzaniem uprawnieniami użytkowników na komputerach.

Etapy realizacji usługi wdrożenia i konfiguracji

Usługa wdrożenia MFA w organizacji realizowana jest w ustrukturyzowany sposób, minimalizujący ryzyko przestojów:

Audyt stanu początkowego: Identyfikacja wszystkich kont użytkowników, kont administracyjnych, przypisanych licencji Microsoft 365, a także używanych systemów pocztowych, urządzeń skanujących i aplikacji firm trzecich zintegrowanych z tenantem.
Projekt polityki bezpieczeństwa: Dobór optymalnych metod weryfikacji tożsamości, utworzenie i zabezpieczenie kont awaryjnych break-glass, a także zdefiniowanie reguł dostępu warunkowego oraz zaufanych lokalizacji sieciowych (Named Locations).
Konfiguracja techniczna w portalu administracyjnym: Wprowadzenie zasad w Microsoft Entra ID, wyłączenie starszych protokołów uwierzytelniania oraz skonfigurowanie parametrów ochrony przed atakami MFA fatigue.
Wdrożenie pilotażowe: Uruchomienie wymogu dodatkowej weryfikacji dla wybranej grupy pracowników technicznych lub zarządu w celu przetestowania procedur i wyeliminowania potencjalnych niespójności.
Wdrożenie globalne i wsparcie: Objęcie zasadami wszystkich kont w firmie, udostępnienie jasnych instrukcji rejestracji dla użytkowników oraz asysta przy konfiguracji aplikacji uwierzytelniających na telefonach pracowników podczas wizyty u klienta.

Często zadawane pytania

Czy pracownik musi potwierdzać logowanie kodem przy każdym uruchomieniu komputera?

Nie. System Microsoft 365 oraz aplikacje pakietu Office (takie jak Outlook, Teams czy Word) zapamiętują bezpieczny token sesyjny na zaufanym urządzeniu służbowym. Ponowna prośba o autoryzację pojawia się zazwyczaj dopiero przy logowaniu na nowym komputerze, w nowej przeglądarce internetowej, po zmianie hasła, po upływie określonego czasu ważności sesji lub w przypadku wykrycia nietypowej lokalizacji sieciowej.

Co należy zrobić w sytuacji, gdy pracownik zgubi lub zmieni telefon?

W takiej sytuacji administrator organizacji ma możliwość zresetowania metod uwierzytelniania dla danego konta w portalu Microsoft Entra ID oraz wygenerowania tymczasowego kodu dostępu (Temporary Access Pass - TAP). Pozwala to pracownikowi na jednorazowe zalogowanie się i zarejestrowanie nowej aplikacji uwierzytelniającej na nowym urządzeniu. Skradziony lub zagubiony telefon zostaje natychmiast odłączony od konta firmowego.

Czy wdrożenie MFA wymaga zakupu droższych licencji Microsoft 365?

Podstawowe wdrożenie MFA jest możliwe w ramach każdej subskrypcji Microsoft 365 (w tym Business Basic czy Exchange Online) dzięki mechanizmowi domyślnych ustawień zabezpieczeń (Security Defaults). Wyższe pakiety licencyjne, takie jak Microsoft 365 Business Premium, dają natomiast dostęp do zaawansowanych zasad dostępu warunkowego (Conditional Access), co pozwala na bardziej elastyczne dopasowanie wymogów bezpieczeństwa do struktury firmy.

Dlaczego aplikacja Microsoft Authenticator jest bezpieczniejsza od kodów SMS?

Wiadomości SMS są przesyłane w sieci komórkowej otwartym tekstem i mogą zostać przechwycone przez złośliwe aplikacje na telefonie lub w wyniku ataku na operatora telekomunikacyjnego (duplikacja karty SIM). Aplikacja Microsoft Authenticator korzysta z szyfrowanego połączenia internetowego, wykorzystuje biometrię telefonu (odcisk palca lub rozpoznawanie twarzy) do odblokowania oraz obsługuje funkcję dopasowywania liczb, która uniemożliwia przypadkową autoryzację ataku.

Czy włączenie MFA zakłóci działanie drukarek sieciowych i systemów ERP?

Jeżeli urządzenia wielofunkcyjne lub programy sprzedażowo-magazynowe wysyłają wiadomości e-mail przy użyciu zwykłego loginu i hasła, włączenie MFA bez odpowiednich zmian spowodowałoby zablokowanie tej funkcji. W ramach usługi konfigurujemy właściwe metody przesyłania poczty, takie jak dedykowany przekaźnik pocztowy (SMTP Relay) z autoryzacją po adresie IP lub nowoczesne uwierzytelnianie oparte na certyfikatach i tożsamościach aplikacji w Microsoft Entra ID.

Trwała ochrona tożsamości cyfrowej w środowisku Microsoft 365

Prawidłowe wdrożenie uwierzytelniania wieloskładnikowego eliminuje zdecydowaną większość zautomatyzowanych ataków na konta pocztowe i dyski sieciowe w chmurze. Połączenie odpowiednio dobranych reguł technicznych w Microsoft Entra ID, wyłączenia przestarzałych protokołów oraz przygotowania kont awaryjnych zapewnia wysoki poziom bezpieczeństwa danych firmowych bez utrudniania codziennej pracy zespołu.

22 378 48 09

Konfiguracja uwierzytelniania wieloskładnikowego (MFA) w Microsoft 365