Contul de e-mail al administratorului unei firme mici a fost spart într-o dimineață de luni, fără ca cineva să fi ghicit parola: aceasta apăruse într-o scurgere de date de la un alt serviciu, iar omul o folosise peste tot. Autentificarea în doi pași ar fi oprit atacul, pentru că ar fi cerut un al doilea element pe care hoțul nu-l avea.
Autentificarea în doi pași, numită uneori verificare în doi factori, înseamnă că accesul într-un cont cere două dovezi diferite: ceva ce știi (parola) și ceva ce ai (telefonul, o cheie fizică) sau ceva ce ești (amprenta). Dacă un atacator află parola, tot nu poate intra.
De ce nu mai este suficientă doar parola?
Parolele se pierd în multe feluri. Oamenii le refolosesc, le notează pe bilețele, le trimit colegilor în mesaje sau le introduc, fără să știe, pe pagini false. Serviciile online sunt, la rândul lor, sparte din când în când, iar listele cu adrese și parole circulă apoi ani la rând.
Al doilea pas schimbă situația: chiar dacă parola este cunoscută, atacatorul se oprește la ecranul care cere codul. Pentru o firmă, miza este mare, pentru că un cont de e-mail compromis permite resetarea parolelor din alte servicii, trimiterea de facturi false în numele tău și accesul la documentele clienților.
Costul introducerii este mic în comparație cu pagubele posibile. O aplicație de coduri este gratuită, iar activarea durează aproximativ două minute pe cont. Un incident, în schimb, poate însemna zile de muncă pierdute, clienți informați despre o scurgere de date și, uneori, o plată trimisă către un cont străin. Mulți antreprenori recunosc că au amânat măsura tocmai pentru că părea un detaliu tehnic, nu o chestiune de bani.
Ce metode de al doilea pas există?
Nu toate metodele au aceeași putere. Le poți compara simplu:
| Metodă | Cum funcționează | Nivel de protecție |
|---|---|---|
| Cod prin SMS | primești un cod pe telefon | acceptabil, dar vulnerabil la preluarea numărului |
| Aplicație de coduri | codul se generează în aplicație și se schimbă la 30 de secunde | bun pentru majoritatea firmelor |
| Notificare de confirmare | apeși „Aprob” în aplicație | bun, dar atenție la aprobări făcute din reflex |
| Cheie fizică de securitate | o mică cheie USB sau NFC | foarte bun, rezistent la pagini false |
Dacă ai de ales, pornește de la o aplicație de coduri și rezervă cheile fizice pentru conturile cu putere mare: administratorul site-ului, contul bancar, panoul domeniului.
Cum o introduci în firmă fără să-ți enervezi echipa?
Nu activa totul într-o singură zi. O ordine care funcționează bine în practică:
- începi cu conturile de administrator și cu cele financiare;
- continui cu e-mailul tuturor angajaților;
- treci apoi la programele de facturare, stocare online și rețele sociale ale firmei;
- la final, rămân serviciile mai puțin sensibile.
Explică de ce faci schimbarea, în două propoziții, nu printr-un regulament lung. Oamenii acceptă mai ușor o regulă când înțeleg ce risc evită. Lecția este aceeași ca la orice schimbare din companie; despre cum o duci la capăt fără rezistență vezi și transformarea digitală fără să alienezi echipa.
Ce faci dacă îți pierzi telefonul?
Aici se împiedică multe firme. În momentul în care activezi autentificarea în doi pași, serviciul îți oferă de obicei o listă de coduri de rezervă. Tipărește-le sau salvează-le într-un seif de parole și păstrează-le într-un loc sigur, nu în aceeași agendă cu parola. Fără ele, o recuperare a contului poate dura zile.
Stabilește și o procedură internă: cine poate reseta accesul unui angajat care și-a schimbat telefonul și cum verifică identitatea omului. Un telefon la care răspunde chiar persoana respectivă sau o confirmare față în față sunt mai sigure decât un mesaj scris.
Păstrează o evidență simplă: o foaie cu serviciile importante ale firmei, cine are acces la fiecare și ce metodă de al doilea pas este activă. O dată pe trimestru, parcurge lista și scoate persoanele care nu mai au nevoie de acces. Aceeași foaie te ajută enorm în ziua în care cineva pleacă din firmă și trebuie să știi repede ce conturi se închid.
Ce rămâne vulnerabil chiar și cu doi pași?
Nicio măsură nu este perfectă. Atacatorii creează pagini care imită ecranul de autentificare și cer, pe rând, parola și codul, pe care le folosesc pe loc. Alții bombardează telefonul cu cereri de aprobare, în speranța că cineva va apăsa „Da” doar ca să scape de notificări. Regula simplă: aprobi doar autentificările pe care tu le-ai început.
La fel de important este ca fiecare angajat să aibă un cont propriu. Un cont comun, cu parola scrisă pe un bilet, face imposibilă atât protecția, cât și urmărirea cine a făcut ce. Aceeași disciplină apare și în cultura organizațională sănătoasă, unde regulile se aplică la fel tuturor, de la director la stagiar.
Întrebări frecvente
Încetinește munca de zi cu zi?
Foarte puțin. Pe dispozitivele de încredere, serviciile pot reține confirmarea pentru câteva zile, deci codul se cere rar.
Trebuie activat pe toate conturile?
Ideal da, dar începe cu cele care pot face cel mai mult rău dacă sunt preluate: e-mailul, banca, domeniul și stocarea documentelor.
Este mai sigur codul din aplicație decât SMS-ul?
Da, în general. Numărul de telefon poate fi preluat de un atacator care păcălește operatorul, în timp ce aplicația rămâne pe dispozitivul tău.
