Procesy, które zabezpieczają biznes i użytkowników.

01 / Najpierw proces, potem narzędzie

Bezpieczeństwo jest relacją dwustronną.

W rozmowie telefonicznej firma może chcieć potwierdzić, że rozmawia z właściwym klientem. Klient z kolei chce wiedzieć, czy osoba przedstawiająca się jako pracownik firmy naprawdę nim jest. W logowaniu role są podobne: użytkownik przedstawia dowód dostępu, a system sprawdza, czy dowód pasuje do konta.

Te sytuacje łączy problem uwierzytelnienia. W języku technicznym chodzi o sprawdzenie, czy podmiot jest tym, za kogo się podaje. Autoryzacja to kolejny krok: określenie, co uwierzytelniony podmiot może zrobić – na przykład odczytać dane, zmienić adres dostawy albo zatwierdzić płatność. Poprawne rozróżnienie ma znaczenie: samo rozpoznanie osoby nie powinno automatycznie dawać jej dostępu do każdej operacji.

Numer na ekranie, logo w wiadomości i pewny ton głosu to sygnały. Nie są samodzielnym dowodem tożsamości.

Dobry proces nie opiera się wyłącznie na tym, że pracownik „brzmi wiarygodnie”, a klient pamięta kilka danych. Ustala wcześniej, jak obie strony mają się sprawdzić, jakie informacje wolno przekazać i kiedy należy przerwać rozmowę. Podobna logika powinna działać w sklepie internetowym, poczcie, panelu administratora i aplikacji do obsługi klientów.

02 / Po drugiej stronie słuchawki

Kto naprawdę dzwoni?

Podszywanie się pod numer telefonu lub instytucję może sprawić, że połączenie wygląda wiarygodnie. Numer wyświetlany na ekranie nie powinien być traktowany jako kryptograficzny dowód, że dzwoni właściciel numeru. Oszust może też używać prawdziwych danych firmy, jej logo, nazwisk pracowników i języka przypominającego procedury bezpieczeństwa.

Najbezpieczniejszy nawyk użytkownika jest prosty: nie musisz rozstrzygać autentyczności połączenia pod presją rozmówcy. Możesz się rozłączyć, samodzielnie otworzyć oficjalną aplikację lub stronę wpisaną ręcznie, a następnie skontaktować się z firmą przez znany, niezależnie znaleziony kanał. Nie oddzwaniaj automatycznie na numer podyktowany przez osobę, która wzbudziła wątpliwości.

Jeśli firma nie potrafi potwierdzić rozmowy – możesz sprawdzić ją samodzielnie. Zakończ połączenie i zadzwoń na numer opublikowany na oficjalnej stronie lub w aplikacji, z której korzystasz. Nie korzystaj z numeru przesłanego w SMS-ie ani podyktowanego przez rozmówcę. Poproś firmę o potwierdzenie, czy kontakt rzeczywiście został zainicjowany i czego dotyczy.

„Konto zaraz zostanie zablokowane”, „musisz natychmiast przelać środki” albo „podaj kod, żeby zatrzymać atak” – presja ma skrócić czas na sprawdzenie informacji.

Hasło, kod logowania, kod BLIK lub potwierdzenie operacji nie powinny być przekazywane rozmówcy tylko dlatego, że podaje się za pracownika.

Rozłącz się i rozpocznij kontakt od nowa przez oficjalną aplikację, adres strony lub numer znaleziony samodzielnie.

To nie oznacza, że każda rozmowa z nieznanego numeru jest oszustwem. Oznacza, że sam numer i opowieść rozmówcy nie wystarczają, by bezpiecznie wykonywać wrażliwe operacje.

03 / Weryfikacja wzajemna

Firma też musi umieć potwierdzić siebie.

Tradycyjna identyfikacja często działała tylko w jedną stronę: klient odpowiadał na pytania, a konsultant decydował, czy to wystarczy. To nie rozwiązuje problemu podszywania się pod konsultanta. W lepszym procesie obie strony dostają niezależny sygnał w kanale, którego nie kontroluje sam rozmówca.

Przykład konkretnego wdrożenia: mBank opisuje mechanizm, w którym podczas połączenia wychodzącego pracownik wysyła powiadomienie do aplikacji mobilnej. Klient loguje się do aplikacji, sprawdza wyświetlone dane pracownika i potwierdza je; bank informuje, że potwierdzenie jest dostępne dla rozmów dotyczących danych i produktów klienta. To opis funkcji jednego banku, a nie uniwersalna cecha wszystkich instytucji ani gwarancja, że każda rozmowa każdej firmy będzie tak potwierdzana ale jest dobrym przykładem, że da się.1

1. Rozmowa się zaczynaPracownik przedstawia cel kontaktu, ale nie żąda natychmiastowego zaufania.
2. Powiadomienie niezależnym kanałemUżytkownik otwiera oficjalną aplikację samodzielnie i sprawdza szczegóły potwierdzenia.
3. Sprawdzenie treściImię, nazwisko i kontekst muszą pasować do tego, co mówi rozmówca. Samo pojawienie się powiadomienia nie zwalnia z czytania.
4. Dopiero potem dalsze krokiJeśli sygnału brakuje lub dane się nie zgadzają, rozmowę należy przerwać i zweryfikować kontakt oficjalnym kanałem.

Wzajemna weryfikacja nie znaczy, że klient ma przekazać firmie wszystkie swoje sekrety. Przeciwnie: proces powinien ograniczać zakres danych potrzebnych do potwierdzenia kontaktu i nie wymagać podawania hasła, pełnych danych karty ani kodu autoryzacyjnego konsultantowi.

04 / Kod to nie tożsamość

SMS może potwierdzić dostęp do numeru. Nie dowodzi, kto dzwoni.

Wiadomość SMS z jednorazowym kodem może być jednym ze składników logowania lub potwierdzenia operacji. Jeśli kod wpisujesz samodzielnie w oficjalnym formularzu, pomaga to systemowi sprawdzić dostęp do zarejestrowanego numeru. Nie oznacza jednak, że osoba, która do Ciebie dzwoni, jest pracownikiem banku, sklepu czy urzędu.

To rozróżnienie jest kluczowe. Oszust może nakłonić ofiarę, by wpisała kod na fałszywej stronie albo odczytała go przez telefon. Wtedy kod może zatwierdzić działanie napastnika, mimo że użytkownik uważa, iż „weryfikuje konsultanta”. Nie przekazuj kodu logowania ani autoryzacji osobie, która do Ciebie zadzwoniła. Jeśli nie wiesz, jaką czynność potwierdza komunikat, nie zatwierdzaj jej.

Dlaczego SMS ma ograniczenia?

• Może zostać wyłudzony przez phishing lub manipulację rozmową.
• Ryzyka obejmują przejęcie numeru, wymianę karty SIM, przekierowanie wiadomości lub słabości infrastruktury telekomunikacyjnej.
• Kod potwierdza tylko konkretny etap procesu, nie intencję użytkownika ani tożsamość rozmówcy.
• SMS może być niedostępny, opóźniony albo trafić na urządzenie, do którego ktoś nieuprawniony uzyskał dostęp.

NIST klasyfikuje weryfikację przez publiczną sieć telefoniczną, w tym SMS i połączenia głosowe, jako metodę ograniczoną, wskazując m.in. ryzyko przejęcia numeru i przechwycenia sekretu. To nie znaczy, że każdy SMS jest bezużyteczny; znaczy, że nie powinien być domyślnie uznawany za najmocniejszą metodę ochrony.2

05 / Drugi kanał

Autoryzacja w aplikacji: przeczytaj, co naprawdę zatwierdzasz.

Powiadomienie w aplikacji może być lepsze od kodu SMS, gdy pokazuje użytkownikowi konkretny kontekst: kto kontaktuje się z klientem albo jaka operacja czeka na zatwierdzenie. Aplikacja może też wymagać zalogowania lub biometrii. Ważna jest jednak nie sama obecność przycisku „Potwierdź”, lecz treść, która go poprzedza.

W autoryzacji operacji finansowej należy sprawdzić kwotę, odbiorcę i rodzaj czynności. W potwierdzeniu rozmowy – dane pracownika i zgodność z aktualnym kontaktem. Nie wolno mieszać tych dwóch scenariuszy: potwierdzenie, że aplikacja rozpoznaje pracownika, nie powinno automatycznie oznaczać zgody na przelew lub zmianę danych.

mBank informuje, że potwierdzenie rozmowy z pracownikiem odbywa się w aplikacji, a nie w SMS-ie. To dobry przykład projektu procesu z niezależnym kanałem, ale szczegóły zależą od konkretnej instytucji. Zawsze sprawdzaj instrukcje oficjalnego dostawcy i nie instaluj aplikacji przesłanej przez osobę, która zadzwoniła.1

Dobre potwierdzenie odpowiada na pytanie: „Co dokładnie zatwierdzam?” – nie tylko: „Czy chcę kliknąć dalej?”.

06 / Ochrona konta

Hasło to początek. 2FA dodaje drugi dowód.

Hasło jest sekretem, który użytkownik zna. Jeśli ktoś je wyłudzi, odgadnie albo znajdzie w wycieku, może próbować użyć go do przejęcia konta. Uwierzytelnianie dwuskładnikowe (2FA) wymaga dwóch różnych rodzajów dowodu – hasła oraz czegoś, co użytkownik poda z innego źródła, może to być 30 sekundowe hasło z aplikacji jak np. Google Authenticator lub Microsoft Authenticator albo klucza dostępu, który łączy urządzenie z lokalnym odblokowaniem.

W praktyce warto zacząć od najważniejszych kont: poczty e-mail, konta administratora, bankowości, sklepu internetowego, menedżera haseł i kont, które mogą odzyskiwać inne konta. Przejęcie skrzynki pocztowej jest szczególnie groźne, bo poczta często służy do resetowania haseł w innych usługach.

Nie używaj tego samego hasła w wielu serwisach. Menedżer haseł ułatwia tworzenie i przechowywanie różnych haseł.

Włącz 2FA. Jeśli masz wybór, preferuj metodę odporniejszą na phishing, np. klucz bezpieczeństwa lub passkey, zamiast SMS.

Uaktualnij metody odzyskiwania, zapisz kody zapasowe w bezpiecznym miejscu i sprawdź, czy nadal masz dostęp do zaufanych urządzeń.

Kody jednorazowe wysyłane e-mailem

Niektóre serwisy po wpisaniu hasła wysyłają na zarejestrowany adres e-mail jednorazowy kod, który trzeba wpisać, aby dokończyć logowanie. To dodatkowa bariera: samo poznanie hasła może nie wystarczyć. Kod zwykle jest krótkotrwały i przeznaczony do jednego użycia, ale dokładne zasady zależą od usługi.

Jest tu ważne ograniczenie: kod wysłany na e-mail chroni konto tylko tak dobrze, jak chroniona jest sama skrzynka. Jeśli napastnik ma dostęp do poczty, może przechwycić kod, a często także uruchomić reset hasła. Dlatego konto e-mail należy zabezpieczyć mocnym, unikalnym hasłem i własnym drugim składnikiem – najlepiej metodą odporną na phishing, jeśli jest dostępna.

Traktuj kod e-mail podobnie jak kod SMS: wpisuj go wyłącznie na stronie lub w aplikacji, w której samodzielnie rozpocząłeś logowanie. Nie przekazuj go przez telefon, komunikator ani e-mail osobie, która twierdzi, że musi „zweryfikować konto”. Kod potwierdza określony krok w procesie logowania, a nie tożsamość osoby dzwoniącej.

Odzyskiwanie konta to część zabezpieczenia

Proces resetowania hasła nie może być słabszym wejściem niż normalne logowanie. Jeśli konto chroni 2FA, ale dostęp można odzyskać wyłącznie przez słabo zabezpieczoną skrzynkę e-mail, łatwe do przejęcia konto pomocnicze albo odpowiedzi na publicznie dostępne pytania, część ochrony może zostać ominięta.

Sprawdź wcześniej, jakie metody odzyskiwania oferuje usługa, czy wskazany adres i numer telefonu są aktualne oraz gdzie przechowujesz kody zapasowe. Kody zapasowe trzymaj poza kontem, do którego mają zapewniać dostęp. W firmie procedura odzyskiwania konta pracownika lub administratora powinna określać, jak potwierdza się jego tożsamość, kto zatwierdza reset i jak unieważnia się utracone sesje lub urządzenia – bez tworzenia „tajnego skrótu” omijającego standardowe zabezpieczenia.

Facebook opisuje uwierzytelnianie dwuskładnikowe, a Google udostępnia m.in. kody, monity, klucze bezpieczeństwa i passkeys. Dostępne metody oraz nazwy ustawień mogą zmieniać się zależnie od konta, urządzenia i aktualnej wersji usługi – w razie wątpliwości kieruj się oficjalną pomocą danej platformy.34

07 / Mocniejszy dowód

Klucz bezpieczeństwa to nie kolejny kod do przepisania.

Fizyczny klucz bezpieczeństwa – na przykład urządzenie zgodne z FIDO2/WebAuthn – podłączasz do komputera lub telefonu przez USB, NFC albo inny obsługiwany interfejs. Usługa rejestruje klucz wcześniej, a przy logowaniu przeglądarka i klucz wykonują kryptograficzne potwierdzenie. W typowym użyciu klucz jest powiązany z właściwą domeną, co utrudnia wykorzystanie go na stronie podszywającej się pod prawdziwy serwis.

YubiKey to jedna z rodzin sprzętowych kluczy bezpieczeństwa, nie jedyna. Przed zakupem sprawdź zgodność z urządzeniami, przeglądarką i kontami, których używasz. Samo posiadanie klucza niczego nie zmienia, dopóki nie dodasz go w ustawieniach konta i nie przetestujesz logowania.

Warto rozważyć drugi zapasowy klucz przechowywany osobno. Jeśli podstawowy zginie, zapasowy ułatwi odzyskanie dostępu. Z drugiej strony, odzyskiwanie konta powinno być równie przemyślane jak samo logowanie: zbyt łatwa procedura awaryjna może stać się słabszym wejściem do konta.

Google wskazuje klucze bezpieczeństwa jako jeden z mocniejszych sposobów drugiego etapu weryfikacji i opisuje możliwość używania kluczy FIDO2 również do passkeys. Facebook publikuje instrukcję dodania klucza do konta. To potwierdza obsługę tych metod przez wskazane platformy, ale nie oznacza identycznego interfejsu ani dostępności we wszystkich konfiguracjach.35

08 / Bez fałszywej pewności

Żadne pojedyncze zabezpieczenie nie daje 100% gwarancji.

2FA nie ochroni przed każdym scenariuszem. Użytkownik może zatwierdzić nie tę operację, co trzeba; urządzenie może być zainfekowane; napastnik może przejąć sesję po zalogowaniu; pracownik może mieć nadmierne uprawnienia; a procedura odzyskiwania konta może być słabsza niż standardowe logowanie. Klucz sprzętowy także nie zastąpi aktualizacji urządzeń, rozsądnych uprawnień i procesu reagowania na incydenty.

Bezpieczeństwo jest sumą warstw. Dla firmy oznacza to także rozdzielenie ról, ograniczenie dostępu do niezbędnego minimum, rejestrowanie ważnych zdarzeń, aktualizacje i sprawdzony plan postępowania po incydencie. Dla użytkownika – krytyczne podejście do niespodziewanych kontaktów, ochronę urządzenia, unikalne hasła i świadome korzystanie z 2FA.

Warto też pamiętać o socjotechnice: technologia nie zastąpi procesu, jeśli człowiek jest przekonany, że musi natychmiast wykonać polecenie. Bezpieczny system daje możliwość zatrzymania czynności, sprawdzenia jej innym kanałem i zgłoszenia wątpliwości bez karania użytkownika za ostrożność.

Ten sam nawyk rozdzielania faktów od deklaracji przydaje się po incydencie. Zobacz analizę incydentu MyDr na blogu PIANO – jako przykład tego, dlaczego skala naruszenia i potwierdzone ustalenia powinny być opisywane osobno.

09 / Do wdrożenia

Dwie checklisty. Wspólna zasada: sprawdzaj przed działaniem.

Dla firmy i zespołu

• Ustal oficjalny sposób potwierdzania rozmów wychodzących i opublikuj go w łatwo dostępnym miejscu.
• Nie opieraj weryfikacji pracownika wyłącznie na numerze telefonu, nazwisku lub informacjach, które może znać oszust.
• Jeśli to możliwe, użyj niezależnego kanału – np. aplikacji, w której klient widzi dane kontaktu lub szczegóły operacji.
• Wyraźnie oddziel potwierdzenie tożsamości od zgody na płatność, zmianę danych lub inne działanie.
• Włącz 2FA dla kont administracyjnych, poczty, e-commerce i usług przechowujących dane klientów.
• Ogranicz uprawnienia pracowników do potrzebnych zadań; odbieraj dostęp po zmianie roli lub odejściu z firmy.
• Przygotuj proces zgłaszania podejrzanych kontaktów, blokowania sesji i odzyskiwania konta.
• Przetestuj procedurę z pracownikami i klientami – także scenariusz, w którym powiadomienie nie przychodzi albo dane się nie zgadzają.

Dla użytkownika

• Nie ufaj samemu numerowi, logo, nazwisku ani tonowi głosu.
• Jeśli masz wątpliwości, rozłącz się i skontaktuj z instytucją przez oficjalną aplikację lub numer znaleziony samodzielnie.
• Nigdy nie podawaj rozmówcy kodu logowania, kodu autoryzacyjnego ani hasła.
• Przed zatwierdzeniem powiadomienia przeczytaj, co dokładnie potwierdzasz.
• Używaj unikalnych haseł i włącz 2FA, zaczynając od poczty i kont najważniejszych.
• Jeśli usługa obsługuje klucze bezpieczeństwa lub passkeys, rozważ ich użycie zamiast kodów SMS.
• Sprawdź aktualne metody odzyskiwania konta i przechowuj kody zapasowe poza skrzynką, którą mają chronić.
• Sprawdź, czy procedura odzyskiwania konta nie jest słabsza niż samo logowanie; zabezpiecz też skrzynkę e-mail używaną do resetowania haseł.
• Aktualizuj system i blokuj ekran urządzenia.

To lista podstawowa, nie audyt bezpieczeństwa. W firmie obsługującej płatności, dane wrażliwe lub krytyczne procesy dobór zabezpieczeń powinien wynikać z analizy ryzyka, architektury systemu i obowiązujących wymagań.

10 / Wniosek

Zaufanie trzeba zaprojektować – po obu stronach.

Firma nie powinna oczekiwać, że klient uwierzy jej tylko dlatego, że połączenie wygląda profesjonalnie. Użytkownik nie powinien też traktować kodu SMS jako dowodu, że rozmawia z prawdziwym pracownikiem. Dobry proces tworzy niezależną możliwość sprawdzenia kontaktu, ogranicza skutki pomyłki i jasno pokazuje, co zostaje zatwierdzone.

Przy kontach internetowych zasada jest podobna: unikalne hasło ogranicza skutki wycieku, 2FA dodaje drugi dowód, a klucz bezpieczeństwa może utrudnić phishing. Jednak procedury odzyskiwania, uprawnienia, urządzenia i zachowanie ludzi nadal mają znaczenie.

Jeśli interesuje Cię szerszy kontekst tego, co dzieje się z danymi po incydencie, przeczytaj również materiał „Green Market: rynek modeli AI z kradzionymi danymi” – to dalsza lektura o ryzykach związanych z ujawnionymi danymi.

Nie projektujmy zabezpieczeń wyłącznie na dzień, w którym wszystko działa. Projektujmy je także na chwilę, w której ktoś się pomyli, straci telefon albo odbierze przekonujący telefon od oszusta.

11 / Materiał weryfikacyjny

Źródła i status ustaleń

1. mBank – „Potwierdzenie tożsamości pracownika”. Oficjalny opis mobilnego powiadomienia przy połączeniu wychodzącym, weryfikacji danych pracownika i zakresu działania funkcji. Przykład wdrożenia, nie standard wszystkich instytucji.
2. NIST – Digital Identity Guidelines, SP 800-63. Wytyczne dotyczące uwierzytelniania; materiały NIST opisują ograniczenia dostarczania sekretów przez SMS i połączenia głosowe, m.in. ryzyko przejęcia numeru oraz przechwycenia kodu.
3. Google Account Help – „Włącz weryfikację dwuetapową”. Oficjalne objaśnienie 2FA, monitów, kodów, kluczy bezpieczeństwa i passkeys.
4. Centrum pomocy Facebooka – „Account Security”. Informacje o alertach logowania, uwierzytelnianiu dwuskładnikowym i zabezpieczaniu konta.
5. Google Account Help – „Używanie klucza bezpieczeństwa do weryfikacji dwuetapowej” oraz Facebook Help – „Add a security key to your Facebook account”. Oficjalne instrukcje konfiguracji kluczy; dostępność zależy od platformy, urządzenia i konfiguracji konta.