MFA, passkeys i niezamówione kody logowania

Drugi etap logowania utrudnia przejęcie konta, ale nie każde potwierdzenie należy zatwierdzać.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Wybór metody

Preferuj zatwierdzone passkeys lub klucze FIDO2 odporne na phishing. Gdy nie są dostępne, użyj aplikacji uwierzytelniającej; SMS może być rozwiązaniem przejściowym. Dwa hasła to nie dwa niezależne czynniki. Kodu nie podawaj osobie przedstawiającej się jako informatyk.

Nieoczekiwane powiadomienie

Nie zatwierdzaj. Zapisz czas i usługę, zgłoś do IT. Seria powiadomień może mieć zmęczyć użytkownika. Zgodność numeru na ekranie także nie uprawnia do akceptacji, jeśli nie rozpocząłeś logowania.

Utrata telefonu

Zgłoś natychmiast. IT odwołuje stare uwierzytelniacze i sesje oraz potwierdza tożsamość ustalonym kanałem. Przy planowanej wymianie najpierw dodaj i przetestuj nową metodę. Nie twórz wspólnego telefonu uwierzytelniającego wszystkich administratorów.

Sprawdź w praktyce

• Akceptuję wyłącznie własne logowania.
• Nie pokazuję kodu ani ekranu z kodem.
• Mam bezpieczną metodę odzyskania.

Sytuacja z pracy

„Proszę zaakceptować powiadomienie, testujemy system”. Odmawiasz i sam dzwonisz na znany numer IT.

Źródła i dalsza lektura

• NIST SP 800-63B-4
• ENISA — cyberhigiena

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Hasła, menedżer haseł i bezpieczna zmiana

Następny temat: Pendrive, dysk USB i obce akcesoria