Az internet szinte minden szolgáltatása jelszóval nyit ajtót – a levelezéstől a könyvelőprogramig, a VPN-en át a webshopig. Éppen ez teszi a jelszót az egyik legkényelmesebb belépési ponttá azok számára is, akiknek semmi keresnivalójuk a cég rendszereiben: nem kell fizikailag betörni semmit, elég egyetlen felhasználónév-jelszó párost megszerezni.

Honnan kerül elő egy jelszó, ami sosem volt nyilvános?

A legtöbb cégvezető úgy gondolja, az ő jelszava biztonságban van, mert soha senkinek nem mondta el. Csakhogy nem is kell elmondania – elég, ha egy másik, teljesen független szolgáltatónál (egy régi fórum, egy webshop, egy hírlevél-szolgáltató) feltörik az adatbázist, amiben ugyanaz a jelszó szerepel, vagy egy adathalász e-mail áldozatává válik valaki a kollégák közül. Jelenleg több mint 24 milliárd ellopott felhasználónév-jelszó pár kering a feketepiaci adatbázisokban – nagyjából három pár minden egyes földlakóra. Ezeket automatizált programok próbálgatják végig más szolgáltatásokon is; ezt hívják credential stuffingnek, és ma ez a leggyakoribb belépési út egy vállalati rendszerbe, megelőzve a sebezhetőségek kihasználását is.

Ez azért ilyen hatékony, mert a felhasználók 94%-a újrahasznosítja a jelszavát legalább egy másik szolgáltatásnál. Ez olyan, mintha ugyanazzal a kulccsal zárnánk az irodát, az autót és a széfet – ha egy tolvaj bárhol hozzájut egy másolathoz, mindhárom ajtó nyitva áll előtte. Kíváncsi, hogy a saját e-mail-címe szerepel-e már egy ilyen listán? Ezt egy nyilvános, ingyenes adatbázisban (pl. haveibeenpwned.com) percek alatt le lehet ellenőrizni.

„De az én jelszavam bonyolult” – és ez pont nem számít

A bonyolultság a jelszó feltörése ellen véd, nem az ellopása ellen. Egy 16 karakteres, számot és speciális karaktert is tartalmazó jelszó ugyanolyan könnyen ellopható adathalász e-mailből vagy egy másik cég feltört adatbázisából, mint egy egyszerű. A támadó ilyenkor nem próbálgat – egyszerűen bemásolja a már ismert jelszót a bejelentkező mezőbe.

Ökölszabály: ha ugyanazt a jelszót két helyen használjuk, a gyengébbik szolgáltató biztonsága határozza meg a másik biztonságát is – mindegy, mennyire körültekintő az informatikai rendszerünk.

Mibe kerül valójában egy feltört fiók?

Egy kompromittált e-mail-fiók nem csak azért veszélyes, mert valaki elolvashatja a leveleinket. Onnan tovább lehet lépni: jelszó-visszaállítást lehet kérni a könyvelőprogramhoz, a bankinterfészhez, a webshophoz – mindegyik ugyanarra az e-mail-címre küldi a visszaállító linket. Egy hétvégén észrevétlenül eltéríthető egy számla, átirányítható egy utalás, vagy titokban továbbküldhető az ügyféllista. Ez az a pont is, ahonnan sok zsarolóvírus-támadás elindul: a támadó nem feltör semmit, csak belép egy már megszerzett jelszóval.

A kár ritkán áll meg egyetlen fióknál. Amíg a probléma kiderül – gyakran csak napok múlva, amikor egy ügyfél rákérdez egy furcsa e-mailre -, addig a támadó szabadon mozog a rendszerben. Ez az, amiért egy feltört fiók helyreállítása nem egy jelszócsere, hanem gyakran több napos vizsgálat: mihez fért hozzá, mit módosított, kiknek küldött levelet a nevünkben.

A kétfaktoros hitelesítés: mit ad hozzá pontosan?

A kétfaktoros hitelesítés (2FA) lényege egyszerű: a jelszó mellé egy második, a támadó számára nehezen megszerezhető elemet kér – egy telefonos alkalmazásban generált kódot, vagy egy fizikai biztonsági kulcsot. Ha a jelszó ki is szivárog egy másik szolgáltatásból, a támadónak emellett a második tényezőhöz is hozzá kellene férnie, ami a legtöbb esetben lehetetlenné teszi a belépést.

Ez nem elméleti védelem. A nagyvállalatok 90%-ánál ma már alapkövetelmény a 2FA – a kis- és középvállalkozásoknak viszont csak nagyjából harmada vezette be. A támadók pontosan ezt a különbséget használják ki: automatizált eszközeikkel nem a jól védett nagyvállalatot célozzák, hanem azt a beszállítót vagy partnert, ahol a jelszó önmagában még mindig elég a belépéshez.

2026-ra a felhős szolgáltatásoknál (Microsoft 365, Google Workspace, a legtöbb ERP-rendszer) a kétfaktoros hitelesítés gyakorlatilag alapkövetelménnyé vált – nem azért, mert divat, hanem mert enélkül egy egyszerű adathalász e-mail is elég a teljes fiókhoz.

Hogyan vezessük be zökkenőmentesen?

A bevezetés nem informatikai forradalom, inkább egy fél napos szervezési feladat. Érdemes egy hitelesítő alkalmazással (nem SMS-ben küldött kóddal) kezdeni a legfontosabb fiókoknál: e-mail, könyvelőrendszer, VPN, admin-jogosultságú felhasználók. Az SMS-alapú kód jobb, mint a semmi, de a mobilszám átirányítása (SIM-swap) miatt már nem számít a legerősebb megoldásnak.

A jelszavak kezelésére érdemes egy céges jelszókezelőt bevezetni – ez nem luxus, hanem az egyetlen módja annak, hogy minden szolgáltatáshoz valóban egyedi jelszó tartozzon anélkül, hogy azokat valaki felírja egy post-itre.

Tévhitek, amik miatt csúszik a bevezetés

„Ez csak nagyvállalatoknak fontos” – pont fordítva igaz: a nagyvállalatok már védettek, a kkv-k a célpontok.

„A kétfaktoros lassítja a munkát” – a valóságban egy plusz kód begépelése néhány másodperc, szemben egy feltört fiók helyreállításának több napjával.

„Ha erős a jelszavunk, nincs szükség rá” – lásd fentebb: a jelszó erőssége nem védi meg, ha az egy másik szolgáltatónál szivárgott ki.

Összegzés

A jelszó önmagában ma már csak az első, könnyen megkerülhető akadály. A kétfaktoros hitelesítés az, ami valódi különbséget tesz aközött, hogy egy kiszivárgott jelszó csak egy kellemetlen e-mail, vagy egy több napos, ügyfeleket is érintő incidens.

Ha szeretné tudni, mi a saját kockázata, kérjen IT auditot: abakusz.hu/itaudit