Telefon prosi o zatwierdzenie logowania, którego nie zaczynałeś. Co zrobić?

Telefon wyświetla pytanie: „Czy zatwierdzasz logowanie?”. Tyle że właśnie nie logujesz się do poczty ani firmowego systemu. Po chwili przychodzi drugie powiadomienie, potem trzecie. Łatwo uznać, że aplikacja się zepsuła, i nacisnąć „zatwierdź”, żeby odzyskać spokój.

Właśnie na to liczy sprawca. Seria próśb o akceptację bywa nazywana zmęczeniem MFA albo „push bombing”. CISA opisuje ten mechanizm jako wielokrotne wysyłanie powiadomień, aż użytkownik zaakceptuje jedno przypadkiem lub z irytacji.

Najkrótsza poprawna reakcja

Jeżeli nie rozpoczynałeś logowania:

1. Odrzuć prośbę. Nie zatwierdzaj jej tylko po to, by zniknęła.
2. Zgłoś ją firmowemu IT lub zespołowi bezpieczeństwa znanym numerem albo adresem. Nie odpowiadaj na telefon osoby, która chwilę później twierdzi, że „musi dokończyć aktualizację”.
3. Zmień hasło przez oficjalną stronę lub aplikację, szczególnie gdy powiadomienia się powtarzają. Jeśli to samo hasło było użyte gdzie indziej, zmień je także tam — na inne.
4. Sprawdź ostatnie logowania i aktywne sesje, jeśli usługa udostępnia taki widok. Wyloguj nierozpoznane urządzenia.
5. Nie podawaj nikomu kodu jednorazowego ani liczby z ekranu. Pomoc techniczna nie potrzebuje ich do „anulowania ataku”.

Jedno przypadkowe powiadomienie może wynikać z czyjejś pomyłki. Nadal należy je odrzucić. Seria powiadomień albo towarzyszący im telefon są wyraźnym sygnałem do pilnego zgłoszenia.

Dlaczego samo „uważaj” nie wystarcza

W środku dnia ludzie zatwierdzają prawdziwe logowania do wielu usług. Aplikacja, która pokazuje jedynie dwa przyciski, wymaga podjęcia decyzji bez kontekstu. Zmęczenie i powtarzalność działają na korzyść napastnika.

Dlatego organizacja powinna ograniczyć możliwość takiej pomyłki. Microsoft wyjaśnia mechanizm dopasowania numeru: ekran logowania pokazuje liczbę, którą użytkownik musi wpisać w aplikacji uwierzytelniającej. Osoba, która nie widzi ekranu rozpoczętego przez siebie logowania, nie ma poprawnej liczby do przepisania. Microsoft wskazuje też, że rozwiązanie pomaga ograniczać przypadkowe akceptacje i ataki wykorzystujące zmęczenie powiadomieniami.

Jeszcze mocniejszą opcją są metody odporne na phishing, takie jak klucze bezpieczeństwa i odpowiednio wdrożone passkeys. Nie zwalnia to jednak firmy z jasnej procedury alarmowej. Pracownik musi wiedzieć, gdzie zgłosić nietypową prośbę, zanim zadzwoni do niego przekonujący „technik”.

Jeśli nacisnąłeś „zatwierdź”

Nie czekaj i nie próbuj ukrywać pomyłki. Zgłoś ją natychmiast, podając przybliżony czas oraz nazwę usługi. Z bezpiecznego urządzenia zmień hasło, zakończ obce sesje i sprawdź, czy nie zmieniono danych odzyskiwania konta, reguł przekazywania poczty lub ustawień uwierzytelniania. W środowisku firmowym dalsze sprawdzenie powinien przejąć zespół odpowiedzialny za konto.

Wczesne zgłoszenie może pozwolić przerwać aktywną sesję. Kara za pomyłkę osiąga odwrotny skutek: następnym razem człowiek będzie się zastanawiał, czy lepiej milczeć.

Fakty i wniosek Breachroad

Opis wielokrotnych powiadomień oraz zalecenie stosowania dopasowania numeru pochodzą z materiałów CISA i Microsoftu. Instrukcja odrzucenia nieoczekiwanej prośby, zgłoszenia jej i ochrony konta jest praktycznym rozwinięciem tego scenariusza przez Breachroad.

Nasza konkluzja: nie należy budować ochrony na idealnej koncentracji człowieka. System logowania powinien dawać mu kontekst, a firma — prostą drogę do zgłoszenia. Więcej o wyborze metod i wdrożeniu znajdziesz w poradniku MFA w firmie. Szkolenia cyberbezpieczeństwa dla pracowników pomagają zamienić „nie klikaj” w konkretną reakcję na prawdziwe powiadomienie i telefon.