MFA vždy nestačí, jaké způsoby ověřování lépe odolávají phishingu

Uživatelské jméno a heslo už při ochraně důležitých firemních systémů představují slabý základ. Heslo lze odhalit při úniku dat, opakovaně použít u více služeb nebo získat phishingem.

Vícefaktorová autentizace přidává další krok. Samotná znalost hesla proto útočníkovi nemusí stačit. To však ještě neznamená, že všechny formy MFA poskytují stejnou ochranu. Jednorázový kód lze vylákat na podvodné stránce. Push notifikaci může uživatel pod tlakem potvrdit. A při sofistikovanějším phishingu může útočník pracovat i s autentizační relací.

Otázka proto už nezní pouze: Je MFA zapnuté? Důležitější otázka zní: Jakému způsobu útoku dokáže konkrétní autentizace zabránit?

Co vlastně znamená MFA

MFA, multi-factor authentication, tedy vícefaktorová autentizace, kombinuje při ověřování identity více než jeden typ autentizačního faktoru.

Typicky jde o:

Faktor	Příklad
Něco, co uživatel ví	Heslo nebo PIN
Něco, co uživatel má	Telefon, token, bezpečnostní klíč
Něco, čím uživatel je	Otisk prstu nebo biometrie obličeje

 

Smyslem není provést stejnou kontrolu dvakrát. Bezpečnost vzniká kombinací nezávislých faktorů. Pokud dojde ke kompromitaci hesla, útočník stále musí překonat další autentizační mechanismus.

Právě proto je MFA důležitou součástí ochrany firemní infrastruktury. ANASOFT se jí věnuje také v širším kontextu ochrany identity, řízení přístupů a modelu Zero Trust v článku Jak si nenechat hacknout firemní infrastrukturu. Problém vzniká tehdy, když se všechny způsoby MFA začnou vnímat jako rovnocenné.

SMS: lepší než samotné heslo, ale ne bez slabin

Jednou z nejznámějších forem MFA je jednorázový kód doručený prostřednictvím SMS. Postup je jednoduchý:

1. uživatel zadá heslo,
2. na telefon přijde jednorázový kód,
3. kód se přepíše do přihlašovacího formuláře.

Výhodou je dostupnost. Není potřeba samostatná autentizační aplikace ani speciální hardware. Při phishingu však zůstává zásadní slabina: kód je údaj, který lze přepsat. Podvodná stránka může od uživatele získat heslo a následně požádat také o SMS kód. Pokud útočník údaje průběžně použije vůči legitimní službě, uživatel může ve skutečnosti autorizovat přihlášení útočníka.

SMS zároveň závisí na mobilní síti a telefonním čísle, takže existují i další rizika spojená s telekomunikačním kanálem. To neznamená, že SMS MFA nemá hodnotu. Ve srovnání se samotným heslem představuje další bezpečnostní bariéru. Není však vhodné zaměňovat ji za metodu navrženou tak, aby samotnému phishingu technicky zabránila.

OTP aplikace: silnější kanál, podobný problém s phishingem

Dalším rozšířeným způsobem jsou jednorázové kódy generované autentizační aplikací. OTP, one-time password, platí pouze krátkou dobu a nepřenáší se přes SMS. Tím se odstraňuje část slabin spojených s mobilní sítí.

Z pohledu phishingu však zůstává podobný problém jako u SMS: uživatel může kód zobrazený v aplikaci zadat i na podvodné stránce. Útočník tedy nemusí prolomit matematiku, která kód vytváří. Stačí přesvědčit člověka, aby platný kód předal nesprávné stránce. To dobře ukazuje rozdíl mezi silným druhým faktorem a autentizací odolnou vůči phishingu.

OTP může výrazně zvýšit bezpečnost proti útokům založeným pouze na ukradeném hesle. Samotný autentizační protokol však nezabrání tomu, aby uživatel jednorázový údaj předal phishingové stránce.

Push notifikace: pohodlí vytvořilo nový typ problému

Mobilní autentizační aplikace mohou namísto přepisování kódu zobrazit push notifikaci: Povolit přihlášení? Uživatel stiskne tlačítko a autentizace pokračuje. Je to pohodlné, ale vzniká nový způsob sociálního inženýrství, únava z MFA, označovaná také jako push bombing.

Útočník už zná heslo a opakovaně se pokouší přihlásit. Uživateli začnou přicházet autentizační požadavky. Jedna. Další. A další. Cílem je dosáhnout toho, aby uživatel jednu z nich:

• potvrdil omylem,
• schválil ze zvyku,
• nebo potvrdil jen proto, aby upozornění přestala přicházet.

Takový útok opět neprolamuje samotnou technologii. Využívá způsob interakce člověka s autentizačním procesem. Proto se u push autentizace používají další mechanismy, například zobrazení kontextu přihlášení nebo párování čísla mezi přihlašovací obrazovkou a autentizační aplikací. Ani to však nemění základní princip: výsledek autentizace stále závisí na tom, zda uživatel správně rozpozná legitimní požadavek.

Ne všechny metody MFA chrání před tím samým

Rozdíly lze zjednodušeně shrnout takto:

Metoda	Hlavní výhoda	Riziko phishingu
SMS kód	Jednoduché nasazení	Kód lze vylákat
OTP aplikace	Kód nezávisí na SMS	Kód lze vylákat
Push potvrzení	Pohodlné používání	Falešné nebo opakované požadavky
Passkey	Kryptografické ověření služby	Navrženo pro odolnost vůči phishingu
Bezpečnostní klíč FIDO2	Silné kryptografické ověření	Navrženo pro odolnost vůči phishingu

 

Tabulka neznamená, že první tři možnosti jsou zbytečné. Všechny mohou představovat významné zlepšení oproti samotnému heslu. Rozdíl spočívá v tom, zda ochrana stále předpokládá, že člověk správně rozpozná, komu autentizační údaj předává nebo jaké přihlášení schvaluje.

Co znamená autentizace odolná vůči phishingu

Autentizace odolná vůči phishingu má zabránit tomu, aby autentizační tajemství nebo použitelný autentizační výstup získala falešná služba vydávající se za legitimní. Důležitý rozdíl spočívá v tom, že bezpečnost už nestojí pouze na pozornosti uživatele.

Aktuální pokyny NIST SP 800-63B-4 definují odolnost vůči phishingu právě jako vlastnost autentizačního protokolu, který brání předání použitelných autentizačních údajů podvodnému ověřovateli, aniž by se spoléhal na ostražitost uživatele. Na úrovni AAL2 má být dostupná alespoň jedna možnost autentizace odolné vůči phishingu.

To je podstatný posun. U OTP může bezpečnostní mechanismus skončit větou: Kód se nesmí zadat na podvodné stránce. U autentizace odolné vůči phishingu má samotný technický mechanismus znemožnit, aby autentizace fungovala vůči nesprávné službě.

Passkeys: uživatel už nepřepisuje tajný údaj

Passkey používá namísto hesla nebo jednorázového kódu kryptografické klíče. Zjednodušeně:

• služba zná veřejnou část klíče,
• soukromá část zůstává chráněná v zařízení nebo v bezpečném ekosystému,
• uživatel přihlášení odemkne například biometrií nebo PINem zařízení,
• autentizace se kryptograficky váže na konkrétní službu.

Na rozdíl od hesla či OTP zde není kód, který by bylo možné zkopírovat z legitimní aplikace a zadat do phishingového formuláře. FIDO Alliance uvádí, že passkeys jsou založeny na standardech FIDO a používají kryptografické páry klíčů. Passkey je kryptograficky propojen s konkrétní službou. Na podvodné stránce, která pouze napodobuje legitimní přihlášení, jej proto nelze použít stejným způsobem jako heslo nebo jednorázový kód. Právě tato vazba je jedním ze základů odolnosti vůči phishingu.

Passkeys přitom už nejsou pouze experimentální technologií. Podle průzkumu FIDO Alliance z května 2026 je v pracovním prostředí nasazovalo nebo zavádělo 68 % z 1 400 oslovených manažerů v organizacích s více než 500 zaměstnanci v deseti zemích. Jde o údaje z průzkumu, nikoli o univerzální míru adopce ve všech firmách, ale ukazují posun technologie směrem k širšímu využití.

A kam do toho patří FIDO2

Passkey a FIDO2 nejsou dva konkurenční způsoby autentizace. FIDO2 označuje soubor standardů, který kombinuje WebAuthn a Client to Authenticator Protocol (CTAP). Na těchto standardech jsou postaveny moderní přihlašovací údaje FIDO včetně passkeys. V praxi může autentizátor existovat například:

• přímo v počítači nebo telefonu,
• ve spravovaném zařízení,
• jako samostatný hardwarový bezpečnostní klíč.

Všechny tyto možnosti nemají automaticky stejný provozní model. Pro firmu může být důležité například to, zda se passkey synchronizuje mezi zařízeními, nebo zůstává vázán na konkrétní zařízení, jak se řeší jeho obnova a jaké požadavky platí pro administrátorské účty. Proto samotná věta „používáme passkeys“ ještě nenahrazuje bezpečnostní politiku.

Biometrie není heslo odeslané na server

U passkeys může uživatel přihlášení potvrdit otiskem prstu nebo rozpoznáním obličeje. To může vytvářet dojem, že biometrický údaj putuje do webové služby. U autentizace FIDO však biometrie obvykle slouží k lokálnímu odemknutí autentizátoru. FIDO Alliance uvádí, že biometrické informace při tomto modelu neopouštějí zařízení uživatele.

Služba dostává kryptografický důkaz, nikoli fotografii obličeje nebo databázi otisků. Toto rozlišení je důležité i při komunikaci se zaměstnanci, protože biometrické odemknutí zařízení a centrální ukládání biometrických údajů jsou dvě odlišné věci.

Se silnějším MFA je třeba začít tam, kde má kompromitace největší dopad

Ne všechny firemní účty představují stejné riziko. Kompromitace uživatele s přístupem k jednomu internímu nástroji má jiný potenciální dopad než kompromitace účtu, který dokáže:

• vytvářet další uživatele,
• resetovat hesla,
• měnit bezpečnostní politiky,
• přistupovat k zálohám,
• spravovat cloudovou infrastrukturu,
• měnit konfiguraci identity,
• nebo deaktivovat bezpečnostní kontroly.

Proto jsou privilegované a administrátorské účty přirozenou prioritou při zavádění silnější autentizace.

Typ účtu	Potenciální dopad kompromitace
Běžný uživatel	Přístup k jeho datům a aplikacím
Finanční role	Platby, fakturace, finanční data
HR	Osobní a personální údaje
IT administrátor	Široká systémová oprávnění
Administrátor identit	Účty, MFA a přístupové politiky
Administrátor záloh	Obnova a zálohy
Cloudový administrátor	Infrastruktura a služby

 

Tabulka neurčuje univerzální hierarchii. Konkrétní riziko závisí na firemní architektuře a oprávněních. Ukazuje však, proč nemusí být vhodné zavádět autentizační metody pouze podle pohodlí nebo jednotně pro každého uživatele. Citlivější role může vyžadovat vyšší úroveň jistoty.

MFA je třeba kombinovat s minimálními oprávněními

Ani autentizace odolná vůči phishingu nevyřeší všechny problémy identity. Pokud legitimní účet disponuje zbytečně širokými oprávněními, silné ověření sice snižuje pravděpodobnost jeho převzetí, ale nemění rozsah škody v případě, že ke kompromitaci přesto dojde. Ochrana identity proto zahrnuje dvě odlišné otázky: Je to skutečně oprávněný uživatel? A co tento uživatel smí udělat?

Na tento princip navazuje také koncept Zero Trust, který nestaví důvěru pouze na tom, že uživatel jednou úspěšně prošel přihlášením. ANASOFT se širšímu principu ověřování identity, zařízení a oprávnění věnuje v článku o bezpečnosti Zero Trust. MFA je tedy součástí řízení přístupu, nikoli jeho náhradou.

Útok může pokračovat i po úspěšném přihlášení

Silnější autentizace řeší významnou část problému, ale bezpečnostní model nemůže končit u přihlašovací obrazovky. Po kompromitaci identity nebo relace mohou vzniknout události jako:

• neobvyklé přihlášení,
• přístup k novému systému,
• nestandardní množství stahovaných dat,
• změna oprávnění,
• vytvoření nového autentizačního mechanismu,
• nebo aktivita v čase a kontextu, který neodpovídá uživateli.

Proto se autentizace doplňuje monitoringem a schopností vyhodnocovat kontext. Širší problematice této vícevrstvé ochrany se věnuje článek 5 nejčastějších chyb v IT bezpečnosti, kterých se firmy dopouštějí, který upozorňuje na problém spoléhání se na izolovaná opatření namísto systematické bezpečnosti.

Silnější autentizace nesmí vytvářet slabší obnovu účtu

Při přechodu na passkeys nebo hardwarové bezpečnostní klíče je snadné soustředit se pouze na hlavní přihlašovací proces. Účet však musí řešit i situace, kdy:

• se zařízení ztratí,
• autentizátor přestane fungovat,
• zaměstnanec změní telefon,
• nový pracovník získá první přístup,
• administrátor potřebuje obnovit účet,
• nebo uživatel odchází z firmy.

Pokud je primární přihlášení odolné vůči phishingu, ale účet lze obnovit prostřednictvím výrazně slabšího mechanismu, útočník se může pokusit obejít silnou autentizaci přes proces obnovy.

FIDO Alliance na cestě k prostředí odolnému vůči phishingu výslovně upozorňuje, že nestačí zavést novou přihlašovací metodu; bezpečně je třeba řešit celý životní cyklus včetně obnovy. Pro firmu je proto autentizace proces, nikoli pouze přihlašovací obrazovka.

Jakou strategii MFA tedy zvolit

Neexistuje jedno pravidlo, které by bylo optimální pro každou organizaci a každý systém. Rozhodování by mělo vycházet z rizika. Důležité otázky jsou například:

• jaká data nebo systémy účet chrání,
• jaká oprávnění uživatel má,
• zda je systém dostupný z internetu,
• jaké následky by mělo převzetí účtu,
• zda autentizační metoda odolává phishingu,
• jak se řeší obnova účtu,
• a jak se bude autentizace spravovat během celého životního cyklu uživatele.

U běžného účtu může být i tradiční MFA výrazným zlepšením oproti heslu. U účtu s přístupem k citlivým systémům nebo s administrátorskými oprávněními dává smysl požadovat silnější autentizaci odolnější vůči phishingu.

NIST dnes na úrovni AAL2 vyžaduje, aby ověřovatelé nabízeli alespoň jednu možnost odolnou vůči phishingu, a při přístupu pracovníků amerických federálních organizací ji již vyžaduje. Přestože tento rámec není automaticky povinný pro slovenské nebo české soukromé firmy, dobře ilustruje směr, kterým se moderní doporučení pro autentizaci posouvají.

„Máme MFA“ je začátek, nikoli výsledek bezpečnostní analýzy

Nasazení MFA je důležitý krok. Není však vhodné posuzovat bezpečnost jen podle toho, zda je u účtu zobrazena informace „MFA povoleno“.

Rozhoduje:

• použitá autentizační metoda,
• způsob její implementace,
• riziko konkrétního účtu,
• proces obnovy,
• rozsah oprávnění,
• a schopnost zaznamenat neobvyklé chování.

Rozdíl mezi SMS kódem a autentizací FIDO2 proto není pouze uživatelský. Jde o rozdíl v tom, na jaký typ útoku je mechanismus připraven. Článek ANASOFT Heslo jako první možnost ochrany vysvětluje základní princip vícefaktorového ověřování.

Dnešní vývoj autentizace tuto myšlenku posouvá dále: cílem už není pouze přidat druhý faktor, ale u citlivých přístupů používat mechanismus, který dokáže lépe odolávat i samotnému phishingu.

Od MFA k ochraně identity

Phishing ukazuje, proč už samotné heslo nestačí. Dnešní phishingové techniky zároveň ukazují, proč nestačí automaticky považovat každé MFA za rovnocenné. Silnější ochrana identity vzniká kombinací:

1. vhodné autentizační metody,
2. přiměřených oprávnění,
3. bezpečného životního cyklu účtu,
4. monitorování neobvyklého chování.

U administrátorských a dalších kritických účtů má právě autentizační metoda zásadní význam, protože úspěšný phishing může útočníkovi poskytnout nepřiměřeně rozsáhlý přístup k firemnímu prostředí. Cílem proto není nasadit co nejvíce autentizačních kroků. Cílem je použít takovou úroveň ověření, která odpovídá riziku konkrétního přístupu.

Silná autentizace začíná posouzením rizikových účtů

Přechod na odolnější ověřování nemusí znamenat okamžitou změnu každého účtu a každé aplikace. Prvním krokem může být identifikace účtů a systémů, u nichž by kompromitace způsobila největší dopad – administrátorských rolí, cloudových služeb, kritických aplikací nebo přístupů externích uživatelů.

Následně lze vyhodnotit, kde je současná MFA přiměřená a kde je vhodné přejít na autentizační mechanismy s vyšší odolností vůči phishingu. Silnější autentizace nemá uživatelům přidávat další překážky. Má snižovat pravděpodobnost, že kompromitované heslo nebo přesvědčivý phishing povedou ke kompromitaci firemního účtu.

Nejčastější dotazy