Uwierzytelnianie wieloskładnikowe (MFA) trafiło już na listę podstawowych wymogów bezpieczeństwa w niemal każdej organizacji. Problem w tym, że sam fakt jego wdrożenia niewiele mówi o rzeczywistym poziomie ochrony. Z badania CloudComp przeprowadzonego wśród polskich firm MŚP w 2026 roku wynika, że 46% z nich nie ma MFA dla wszystkich użytkowników – co oznacza, że ich systemy ochrony mają co najmniej jedno konto pozostawione bez zabezpieczenia drugim składnikiem.

Częściowe MFA to fałszywe poczucie bezpieczeństwa

W praktyce firm, które badaliśmy, MFA wdrożone tylko dla części kont dotyczy zwykle administratorów IT i zarządu. Brzmi rozsądnie, te konta mają najszersze uprawnienia, więc logicznie wydaje się, że to one wymagają najwyższego poziomu ochrony. Kłopot w tym, że ta logika nie odpowiada temu, jak działają współczesne ataki.

Atakujący rzadko próbuje forsować konto z najsilniejszym zabezpieczeniem. Znacznie efektywniej jest znaleźć to jedno konto w organizacji, które zostało pominięte – konto pracownika działu sprzedaży, recepcjonistki z dostępem do skrzynki mailowej, księgowej z dostępem do systemu ERP. Żadne z nich nie wygląda na priorytetowy cel z perspektywy zarządu układającego budżet bezpieczeństwa. Z perspektywy atakującego to dokładnie odwrotnie – to najsłabsze ogniwo, przez które można wejść do sieci firmowej bez większego wysiłku.

Jak wygląda atak na konto bez MFA

Mechanizm, który najczęściej wykorzystuje tę lukę, nazywa się credential stuffing. To zautomatyzowane testowanie par login-hasło pochodzących z wcześniejszych wycieków danych, a takich wycieków w internecie krąży już miliardy. Atakujący nie musi znać hasła konkretnego pracownika. Wystarczy, że pracownik użył tego samego hasła co na jakimś serwisie, który padł ofiarą naruszenia danych kilka lat temu.

Bez MFA jedno trafienie w takiej bazie wystarczy, żeby ktoś obcy znalazł się wewnątrz sieci firmowej, czytał korespondencję, miał dostęp do dokumentów, mógł podszywać się pod pracownika w komunikacji z kontrahentami. Z MFA ten sam wyciek hasła nic nie daje, bo brakuje drugiego składnika uwierzytelnienia.

Pełne wdrożenie MFA – od czego zacząć

Wdrożenie MFA dla wszystkich użytkowników nie wymaga dużego budżetu ani miesięcy pracy. Kilka konkretnych kroków:

• Zacznij od kont chmurowych i poczty – to najczęstszy wektor ataku typu Business Email Compromise. Microsoft 365 i Google Workspace mają wbudowaną obsługę MFA bez dodatkowych kosztów licencyjnych.
• Wykorzystaj darmowe aplikacje autoryzujące – Microsoft Authenticator lub Google Authenticator wystarczą dla większości kont pracowniczych.
• Rozważ klucze sprzętowe FIDO/U2F – obecnie klucze sprzętowe oferują najlepszą odporność na cyberataki.
• Zrób inwentaryzację kont bez MFA – to często pomijany krok. Bez listy wszystkich kont w organizacji łatwo przeoczyć konta serwisowe, współdzielone skrzynki czy dostępy zewnętrznych podwykonawców.
• Wprowadź MFA jako standard dla nowych kont – żeby luka nie odtwarzała się przy każdym kolejnym zatrudnieniu.

MFA a wymogi prawne

Dla podmiotów zakwalifikowanych jako kluczowe lub ważne w rozumieniu ustawy o KSC, pełne MFA dla wszystkich użytkowników to nie dobra praktyka do rozważenia, tylko element wymogów zarządzania dostępem wpisany wprost do przepisów implementujących dyrektywę NIS2. Częściowe wdrożenie, mimo że wygląda dobrze w raporcie dla zarządu, nie spełnia tego wymogu.

Bezpieczeństwo oparte na częściowych rozwiązaniach jest trudne do wykrycia z zewnątrz – dopóki nie dojdzie do incydentu albo kontroli.

Raport do pobrania

Pełne wyniki naszego badania cyberbezpieczeństwa w polskich MŚP dostępne są pod linkiem poniżej.