/>Hasło było przez lata jedyną granicą między firmowymi danymi a resztą świata. W obecnych czasach ta granica dawno przestała być szczelna. Bazy wykradzionych haseł krążą po sieci, ludzie używają tego samego hasła w kilku miejscach, a atakujący nie muszą go nawet zgadywać — wystarczy, że kupią gotowe. W Microsoft 365, gdzie za jednym loginem stoi poczta, pliki, Teams i dostęp do całej firmy, samo hasło to już nie zabezpieczenie, tylko formalność. 

MFA, czyli uwierzytelnianie wieloskładnikowe, jest odpowiedzią na ten problem – i to skuteczną. Ale wokół niego narosło kilka nieporozumień: że wystarczy je włączyć raz i zapomnieć, że każda metoda daje ten sam poziom ochrony, że skoro jest MFA, to konto jest nie do ruszenia. Poniżej rozkładamy to na części. 

Skala problemu — dlaczego samo hasło przegrywa 

Microsoft podaje, że jego usługi tożsamościowe odpierają ponad 600 milionów ataków na konta dziennie – to około 7 tysięcy prób złamania hasła na sekundę. Znakomita większość to ataki automatyczne: boty przepuszczają przez logowanie miliony wykradzionych par login-hasło, licząc, że część wciąż działa (tzw. credential stuffing i password spray). Przy takiej skali pojedyncze hasło nie ma szans – jeśli gdziekolwiek wyciekło albo się powtarza, prędzej czy później trafi na kombinację, która otworzy konto. 

I tu pojawia się liczba, którą Microsoft powtarza od lat: włączenie MFA blokuje ponad 99% ataków na konta. W oficjalnej dokumentacji mandatory MFA Microsoft mówi obecnie o ponad 99,2% zablokowanych prób kompromitacji konta. Innymi słowy – samo dołożenie drugiego składnika zdejmuje z firmy przytłaczającą większość ryzyka, praktycznie za darmo.

Microsoft już nie pyta — MFA jest wymuszane 

Do niedawna MFA było zaleceniem. Teraz staje się warunkiem dostępu. Microsoft wprowadza obowiązkowe MFA dla logowania do swoich portali administracyjnych i robi to etapami. Od lutego 2025 wymóg zaczął obowiązywać przy logowaniu do centrum administracyjnego Microsoft 365, a pełne wymuszenie dla wszystkich ról administracyjnych – Global Admin, Exchange Admin, SharePoint Admin i pozostałych – ruszyło na początku 2026 roku. Równolegle obowiązkowe MFA objęło Azure, Entra admin center i Intune. 

Dla firmy oznacza to prostą rzecz: pytanie „czy włączać MFA” jest już nieaktualne. MFA i tak wejdzie – pytanie brzmi, czy firma wdroży je świadomie i po swojemu, czy zostanie zaskoczona wymuszeniem w najmniej wygodnym momencie, na przykład gdy administrator próbuje się zalogować, żeby ugasić inny pożar.

Włączone MFA to nie to samo co bezpieczne konto 

Tu dochodzimy do najważniejszej i najczęściej pomijanej części. MFA rozbraja ataki automatyczne, ale nie jest nietykalne – zwłaszcza wobec ataku wymierzonego w konkretną osobę. W ostatnich latach napastnicy nauczyli się je omijać, i to bez łamania samego mechanizmu. 

Najczęstsza technika to atak „adversary-in-the-middle”: ofiara dostaje link do strony łudząco podobnej do logowania Microsoftu, wpisuje login, hasło i kod MFA a wszystko to przechodzi przez serwer atakującego, który w tle przechwytuje gotową, uwierzytelnioną sesję. Kod MFA został użyty poprawnie, tyle że nie tam, gdzie trzeba. Podobnie działa kradzież tzw. ciasteczka sesji przez złośliwe oprogramowanie – atakujący przejmuje już zalogowaną sesję i w ogóle nie musi przechodzić przez MFA. Dane z 2025 roku pokazują, że to nie teoria: w części analizowanych przejęć kont MFA było włączone, a mimo to nie powstrzymało ataku. 

Nie znaczy to, że MFA nie działa – znaczy, że nie każde MFA chroni tak samo. SMS-owy kod można wyłudzić na fałszywej stronie albo przejąć przez podmianę karty SIM. Kod z aplikacji jest lepszy, ale wciąż da się go wprowadzić na podstawionej stronie. Odporne na phishing (Phishing-resistant MFA methods) są dopiero metody, w których logowanie jest kryptograficznie związane z prawdziwym adresem usługi – passkey, klucz FIDO2, klucz sprzętowy. Fałszywa strona się nie uda, bo klucz rozpoznaje, że domena się nie zgadza. Dlatego sam Microsoft rekomenduje passkey/FIDO2 jako metodę docelową, między innymi dla kont administracyjnych i awaryjnych. 

Nie każda metoda MFA jest równa 

Gdybyśmy polecali zapamiętać jedyną rzecz z artykułu, wskazalibyśmy tą tabelę. Wszystkie te metody to „MFA”, ale różnica w realnej ochronie między pierwszym a ostatnim wierszem jest ogromna. 

Kiedy sam kod nie wystarcza — przykład z życia 

W styczniu 2024 roku przejęto oficjalne konto amerykańskiej Komisji Papierów Wartościowych (SEC) w serwisie X. Atakujący opublikował fałszywą informację o zatwierdzeniu funduszu Bitcoin ETF, co na moment poruszyło rynek. Mechanizm nie był wyrafinowany: napastnik przeprowadził podmianę karty SIM, przejął numer telefonu powiązany z kontem i tą drogą je odzyskał. Istotny szczegół: na koncie SEC przez kilka miesięcy przed atakiem MFA było wyłączone, a odzyskiwanie oparte na numerze telefonu wystarczyło do przejęcia. Brak MFA był tu zaproszeniem, ale morał sięga dalej – samo powiązanie konta z numerem telefonu jest słabym punktem, więc MFA oparte wyłącznie na SMS-ie dziedziczy dokładnie tę podatność. 

Jak skutecznie wdrożyć MFA w Microsoft 365 w firmie?

Praktyczny plan dla firmy na Microsoft 365 sprowadza się do kilku kroków, które warto ułożyć w tej kolejności. 

Po pierwsze — włączyć MFA dla wszystkich, bez wyjątków „dla wygody”. Konto bez MFA w firmie, gdzie reszta je ma, staje się najsłabszym ogniwem i pierwszym celem. Po drugie — odejść od SMS-a tam, gdzie się da, na rzecz aplikacji z dopasowaniem numeru, a dla administratorów i kont o krytycznym dostępie wdrożyć metody odporne na phishing (passkey/FIDO2). Po trzecie — nie zostawiać tego konfiguracją domyślną, tylko oprzeć na regułach dostępu warunkowego (Conditional Access): wymuszać silniejsze uwierzytelnianie dla wrażliwych ról i nietypowych logowań. Po czwarte — zabezpieczyć konto awaryjne (break-glass) osobną, mocną metodą, żeby wymuszenie MFA nigdy nie zamknęło firmie drzwi do własnego środowiska. 

I znowu powtarzamy ten sam watek ciągłej kontroli: MFA nie jest przełącznikiem, który raz się ustawia i o nim zapomina. Dochodzą nowi pracownicy, których trzeba objąć polityką. Ktoś zmienia telefon i musi przerejestrować metodę. Pojawiają się nowe, odporniejsze mechanizmy, po które warto sięgać. Ktoś w pośpiechu robi wyjątek „na chwilę” i ten wyjątek zostaje na rok. Dlatego MFA, podobnie jak backup czy zarządzanie uprawnieniami, jest elementem bieżącej administracji środowiskiem — czymś, co się utrzymuje i przegląda, a nie odhacza raz na liście wdrożeniowej. Konto z włączonym, ale zapomnianym MFA potrafi dawać złudne poczucie bezpieczeństwa aż do dnia, w którym ktoś to sprawdzi w praktyce.

Podsumowanie 

Samo hasło przegrało z rzeczywistością — przy setkach milionów ataków dziennie pojedynczy sekret nie chroni już niczego, co warto chronić. MFA zdejmuje z firmy przytłaczającą większość tego ryzyka i z zalecenia staje się właśnie obowiązkiem, który Microsoft egzekwuje w kolejnych portalach. Ale włączenie MFA to początek, nie koniec: liczy się, jaką metodą, dla których kont i czy ktoś tego pilnuje w czasie. Najsłabsze warianty (SMS) da się obejść, najmocniejsze (passkey/FIDO2) są odporne na phishing — i to właśnie w stronę tych drugich zmierza cały ekosystem. Dla małej i średniej firmy sensowne MFA to nie jednorazowy przełącznik, lecz stały element administracji środowiskiem, tak samo jak kopia zapasowa i porządek w uprawnieniach.

FAQ 

Czy MFA naprawdę tak dużo zmienia? 

Tak. Według danych Microsoftu włączenie MFA blokuje ponad 99% ataków na konta, głównie tych zautomatyzowanych, które stanowią większość zagrożeń. To najtańszy sposób na zdjęcie największej części ryzyka. 

Czy muszę włączać MFA? 

W praktyce to już nie wybór. Microsoft wymusza MFA przy logowaniu do portali administracyjnych Microsoft 365 i Azure, etapami od 2024–2025 roku, bez możliwości trwałej rezygnacji. Lepiej wdrożyć je świadomie niż zostać zaskoczonym wymuszeniem. 

Od czego zacząć w małej firmie? 

Od włączenia MFA dla wszystkich, odejścia od SMS-a na rzecz aplikacji lub kluczy, zabezpieczenia kont administracyjnych metodą odporną na phishing i ustawienia reguł dostępu warunkowego. Należy również potraktować to jako proces, który się utrzymuje, a nie jako jednorazowe ustawienie.