Dlaczego uwierzytelnianie wieloskładnikowe oparte na SMS nie jest już bezpieczne w Microsoft 365

By Mirko Peters · 2026-10-26

Dowiedz się, dlaczego uwierzytelnianie wieloskładnikowe z kodami SMS naraża dzierżawy Microsoft 365 na przejęcie karty SIM i phishing oraz jakich metod warto zamiast tego używać.

Automatically translated with AI from the original post. Read the English original

Uwierzytelnianie wieloskładnikowe oparte na wiadomościach SMS od dawna jest domyślnym drugim krokiem zarówno dla administratorów IT, jak i dla użytkowników końcowych. Jednak poleganie na przestarzałej sieci telekomunikacyjnej sprawia, że jest ono niebezpiecznie podatne na nowoczesne cyberataki, takie jak SIM swapping i ukierunkowany phishing.

Najważniejsze wnioski

• Uwierzytelnianie wieloskładnikowe oparte na SMS korzysta z publicznej sieci telefonicznej, przez co jest podatne na przechwycenie i SIM swapping.
• Badania Google i Verizon pokazują, że kody SMS znacznie częściej zawodzą w przypadku ukierunkowanych ataków phishingowych niż nowoczesne powiadomienia push czy klucze dostępu (passkeys).
• Raporty Verizon dotyczące naruszeń bezpieczeństwa aktywnie odradzają używanie kodów SMS do weryfikacji logowania.
• Odejście od SMS wymaga zaplanowania równoległych metod weryfikacji, aby uniknąć przeciążenia działu pomocy technicznej i trwałych blokad kont.

Iluzja bezpieczeństwa kodów SMS

Gdy organizacje po raz pierwszy wdrażają uwierzytelnianie wieloskładnikowe, wiadomości tekstowe często wydają się sukcesem. Są powszechnie obsługiwane, nie wymagają instalacji oprogramowania i działają na niemal każdym urządzeniu mobilnym. Z perspektywy architektury bezpieczeństwa SMS jednak łamie podstawową zasadę solidnej weryfikacji tożsamości: sam sposób dostarczania jest zasadniczo wadliwy.

Wiadomość SMS przechodzi przez standardową sieć telekomunikacyjną, zanim dotrze do telefonu. Ponieważ infrastruktura ta została zaprojektowana dziesiątki lat temu z niewielkim naciskiem na bezpieczeństwo, można ją przechwycić, przekierować lub zmanipulować. Przestępcy regularnie wykorzystują tę lukę w technice znanej jako SIM swapping. Dzięki socjotechnice wobec pracowników pomocy technicznej operatora komórkowego atakujący mogą przenieść Twój numer telefonu na kartę SIM umieszczoną we własnym smartfonie. Gdy przeniesienie zostanie zakończone, każdy kod uwierzytelniający przeznaczony dla Twojego konta trafia bezpośrednio do atakującego.

Co mówią badania o uwierzytelnianiu wieloskładnikowym opartym na SMS

Dane dotyczące bezpieczeństwa jednoznacznie pokazują, jak skuteczna jest weryfikacja SMS. Kody tekstowe zapewniają odpowiednią ochronę przed zautomatyzowanymi, mało wyrafinowanymi atakami polegającymi na wypróbowywaniu skradzionych danych logowania, jednak ich skuteczność gwałtownie spada, gdy po drugiej stronie stoi prawdziwy, ludzki przeciwnik.

Przełomowe badania bezpieczeństwa przeprowadzone przez Google wykazały, że choć kody SMS blokowały około dziewięćdziesięciu sześciu procent masowych prób phishingu, ich skuteczność znacząco spadała w przypadku kampanii ukierunkowanych. Gdy atakujący koncentruje się na konkretnej osobie lub organizacji, kody tekstowe nie zapewniają niezawodnej ochrony. W konsekwencji główne ramy cyberbezpieczeństwa oraz coroczne analizy naruszeń bezpieczeństwa, w tym raporty Verizon, zalecają obecnie stopniowe wycofywanie wiadomości tekstowych i połączeń głosowych do weryfikacji logowania.

Ataki typu adversary-in-the-middle

Podstawowym ograniczeniem każdego kodu wpisywanego ręcznie jest to, że można go przekierować. W ataku typu adversary-in-the-middle złośliwy aktor wdraża wyrafinowany, idealnie odwzorowany klon strony logowania Microsoft 365. Kiedy wpisujesz hasło i kod SMS w tym fałszywym portalu, serwer pośredniczący natychmiast przekazuje Twoje dane logowania do prawdziwej usługi. System przyznaje dostęp, a atakujący przechwytuje aktywny token sesji, całkowicie omijając zabezpieczenia, mimo że wprowadziłeś poprawny kod.

Przejście z SMS-ów na nowoczesne alternatywy

Odejście od wiadomości tekstowych wymaga zrozumienia hierarchii dostępnych drugich czynników. Aby naprawdę chronić środowisko Microsoft 365, organizacje muszą przenieść użytkowników na metody, które eliminują sekrety wielokrotnego użytku i zależność od operatorów telekomunikacyjnych.

Aplikacje uwierzytelniające i dopasowywanie liczb

Aplikacje uwierzytelniające stanowią ogromny krok naprzód w porównaniu z SMS-ami. Generując lokalnie na urządzeniu jednorazowe hasła oparte na czasie, które zmieniają się co określony interwał, całkowicie omijają sieć telefoniczną. Ponadto w przypadku rozwiązań firmowych, takich jak aplikacja Microsoft Authenticator, funkcje takie jak dopasowywanie liczb neutralizują ataki polegające na zalewaniu użytkownika żądaniami (prompt bombing). Użytkownik musi spojrzeć na ekran logowania, odczytać losową liczbę i wpisać ją w aplikacji mobilnej, dzięki czemu świadomie zatwierdza próbę logowania, którą sam zainicjował.

Odporne na phishing klucze dostępu i klucze zabezpieczeń

Złotym standardem nowoczesnego uwierzytelniania są odporne na phishing sprzętowe klucze zabezpieczeń lub platformowe klucze dostępu (passkeys). Mechanizmy te opierają się na kryptografii klucza publicznego. Twoje urządzenie przechowuje klucz prywatny, który nigdy nie opuszcza sprzętu. Podczas uwierzytelniania strona wysyła kryptograficzne wyzwanie, które urządzenie podpisuje. Fałszywa strona phishingowa nie jest w stanie sfałszować tego podpisu, przez co ataki typu adversary-in-the-middle są całkowicie nieskuteczne. Własne dane Microsoftu pokazują, że logowania kluczami dostępu są znacznie szybsze niż tradycyjne hasło plus standardowe żądanie MFA, co dowodzi, że silniejsze zabezpieczenia nie muszą odbywać się kosztem wygody użytkownika.

Zarządzanie przejściem w organizacji

Wymuszenie zasad zakazujących uwierzytelniania SMS może wywołać opór, jeśli nie zostanie odpowiednio przeprowadzone. Administratorzy IT muszą strategicznie planować wdrożenia. Zacznij od kont wysokiego ryzyka, takich jak administratorzy globalni, pracownicy działów finansowych i użytkownicy mający dostęp do krytycznych portali infrastruktury. Zapewnij użytkownikom co najmniej dwie prawidłowe metody weryfikacji oraz jasne, przetestowane ścieżki odzyskiwania dostępu, aby uniknąć blokowania uprawnionych osób poza ich kontami, gdy telefon zostanie zgubiony lub wymieniony.

Podsumowanie i kolejne kroki

Choć każda forma uwierzytelniania wieloskładnikowego jest bezsprzecznie lepsza od samego hasła, pozostawanie przy kodach SMS naraża nowoczesne środowiska chmurowe na zagrożenia, którym można zapobiec. Przejście na aplikacje uwierzytelniające z dopasowywaniem liczb lub w pełni odporne na phishing klucze dostępu zmienia Twoje podejście do bezpieczeństwa z kruchego progu zwalniającego w odporną linię obrony.

Aby zgłębić mechanizmy ochrony tożsamości, konfiguracje zabezpieczeń chmury i nowoczesne strategie uwierzytelniania, koniecznie zajrzyj do powiązanej dyskusji w naszym podcaście. Posłuchaj całego odcinka i dołącz do nas, gdy omawiamy wszystko, czego potrzebujesz, aby zabezpieczyć środowiska Microsoft 365 i Azure.

Często zadawane pytania

Dlaczego SMS uchodzi za słabą metodę wieloskładnikowego uwierzytelniania?

Kody SMS przesyłane są przez sieć operatora telekomunikacyjnego, a nie przez szyfrowany kanał aplikacji. Dlatego są podatne na ataki polegające na podmianie karty SIM (SIM swapping), w których przestępcy nakłaniają operatora do przeniesienia numeru telefonu na urządzenie znajdujące się w ich posiadaniu.

Czy Microsoft 365 pozwala administratorom wyłączyć uwierzytelnianie SMS?

Tak, administratorzy Microsoft 365 mogą użyć kontroli zasad metod uwierzytelniania w usłudze Entra ID, aby ograniczyć lub wyłączyć opcje SMS i połączeń głosowych, kierując użytkowników ku bezpieczniejszym rozwiązaniom, takim jak aplikacja Microsoft Authenticator lub klucze FIDO2.

W jaki sposób dopasowywanie liczb w aplikacjach uwierzytelniających powstrzymuje phishing?

Dopasowywanie liczb wymaga, aby użytkownik wpisał w aplikacji uwierzytelniającej konkretną liczbę wyświetloną na ekranie logowania. Dzięki temu użytkownicy nie zatwierdzają bezmyślnie żądań w sytuacji zmęczenia powiadomieniami (prompt fatigue) ani podczas ataków typu adversary-in-the-middle.

Jaka jest najlepsza alternatywa dla kodów SMS w przypadku użytkowników w przedsiębiorstwach?

Klucze zabezpieczeń FIDO2 i nowoczesne klucze dostępu (passkeys) zapewniają najwyższy poziom bezpieczeństwa, ponieważ są w pełni odporne na phishing i opierają się na kryptografii klucza publicznego, a nie na wielokrotnie używanych kodach.