MFA: най-евтината защита, която повечето фирми пропускат

Многофакторната автентикация (MFA) изисква при вход в система освен парола и второ потвърждение — код от приложение на телефона, физически ключ или биометрия. Така открадната или изтекла парола сама по себе си не стига за достъп и по-голямата част от опитите за пробив спират още на вратата. За повечето бизнес системи включването отнема дни и не струва почти нищо — MFA обикновено е вградена и просто чака да бъде активирана.

Какво е многофакторна автентикация и как работи?

Сигурността на един вход се гради върху три вида фактори: нещо, което знаете (парола, ПИН), нещо, което притежавате (телефон, хардуерен ключ), и нещо, което сте (пръстов отпечатък, лице). Паролата покрива само първия. MFA комбинира поне два: въвеждате паролата, после потвърждавате с еднократен код или с едно докосване в приложение.

За служителя това са три секунди в повече при вход. За нападателя това е стена: дори да е откраднал паролата чрез фишинг или изтекла база данни, той няма телефона на служителя. Атаката, която иначе би минала незабелязано, просто не се случва.

Защо MFA спира повечето пробиви?

Огромната част от пробивите в малки и средни фирми не са дело на гениални хакери — те започват с компрометирана парола. Служител използва една и съща парола на десет места и едно от тях изтича; друг я въвежда в убедителна фалшива страница. Как се разпознават такива писма, разглеждаме в статията „Фишинг: как да обучите екипа си да го разпознава“ — но обучението никога не хваща всичко. MFA е предпазната мрежа за случаите, в които човекът сгреши.

Има и регулаторен аргумент: ако през пробит имейл изтекат лични данни на клиенти или служители, отговорността е на фирмата. Какво изисква регламентът на практика, сме описали в „GDPR и защита на данните за МСП — практично, без юридически жаргон“. MFA е една от най-евидентните „подходящи технически мерки“, които един проверяващ би очаквал да види.

Ключово

MFA не замества добрите пароли — допълва ги. Слаба парола плюс MFA е по-добре от слаба парола без MFA, но правилната комбинация е мениджър на пароли плюс MFA навсякъде, където има бизнес данни.

Как да въведете MFA за дни — практичен план

1. Опишете системите. Имейл, счетоводен софтуер, CRM, облачни хранилища, онлайн банкиране, отдалечен достъп. 2. Подредете по риск. Първо имейлът — през него се възстановяват паролите на всичко останало — после администраторските акаунти и финансовите системи. 3. Изберете метод. Приложение за еднократни кодове или push потвърждение; SMS е по-добре от нищо, но е най-слабият вариант. 4. Пилот с малка група. Изчистете въпросите, напишете кратка инструкция от една страница. 5. Включете за всички и раздайте резервни кодове. 6. Опишете процедурата при загубен телефон — кой възстановява достъпа и как проверява, че искането е истинско.

Стъпка 3 върви ръка за ръка с реда в паролите — ако още няма такъв, започнете от статията „Пароли и мениджъри на пароли за фирми“: двете мерки се внедряват отлично заедно.

Къде фирмите грешат при въвеждането?

Три грешки се повтарят постоянно. Първата — изключения „за удобство“: собственикът и счетоводителят остават без MFA, а точно техните акаунти са най-ценната мишена. Втората — MFA само на имейла, докато CRM със всички клиентски данни стои само с парола. Третата — никой не е помислил за резервен достъп и първият загубен телефон блокира работата за половин ден. И трите се избягват с половин час планиране предварително.

Ако предпочитате някой да мине през целия процес с вас — от инвентаризацията до политиката за възстановяване — това е част от услугата Киберсигурност, с която покриваме и останалите базови защити на фирмата.

Често задавани въпроси

Каква е разликата между двуфакторна (2FA) и многофакторна (MFA) автентикация?

Двуфакторната автентикация е частен случай на многофакторната — точно два фактора, например парола и код от приложение. На практика термините се използват взаимозаменяемо; важното е достъпът да не зависи само от парола.

Кои акаунти във фирмата трябва да се защитят с MFA първи?

Започнете с фирмения имейл, администраторските акаунти и системите с чувствителни данни — счетоводство, CRM, онлайн банкиране. Те са най-честата входна точка при пробив и възстановяването им е най-скъпо.

Multi-factor authentication (MFA) requires a second confirmation at sign-in on top of the password — a code from an app on your phone, a physical key or biometrics. A stolen or leaked password is then no longer enough on its own, and the majority of break-in attempts stop right at the door. For most business systems, switching it on takes days and costs next to nothing — MFA is usually built in and simply waiting to be enabled.

What is multi-factor authentication and how does it work?

The security of a sign-in rests on three kinds of factors: something you know (a password, a PIN), something you have (a phone, a hardware key) and something you are (a fingerprint, your face). A password covers only the first. MFA combines at least two: you enter the password, then confirm with a one-time code or a single tap in an app.

For the employee this adds three seconds to a sign-in. For the attacker it is a wall: even having stolen the password through phishing or a leaked database, they do not have the employee's phone. The attack that would otherwise have gone unnoticed simply never happens.

Why does MFA stop most breaches?

The vast majority of breaches at small and mid-sized companies are not the work of genius hackers — they start with a compromised password. One employee reuses the same password in ten places and one of them leaks; another types it into a convincing fake page. We cover how to recognise such emails in "Phishing: training your team to spot it" — but training never catches everything. MFA is the safety net for the moments when a person slips.

There is a regulatory argument too: if personal data of customers or staff leaks through a breached mailbox, the liability sits with the company. What the regulation demands in practice is laid out in "GDPR and data protection for SMEs — practical, no legalese". MFA is one of the most obvious "appropriate technical measures" an inspector would expect to see.

Key point

MFA does not replace good passwords — it complements them. A weak password plus MFA beats a weak password without MFA, but the right combination is a password manager plus MFA everywhere business data lives.

How to roll out MFA in days — a practical plan

1. List your systems. Email, accounting software, CRM, cloud storage, online banking, remote access. 2. Rank them by risk. Email first — it is where the passwords of everything else get reset — then administrator accounts and financial systems. 3. Pick a method. An authenticator app for one-time codes or push confirmation; SMS is better than nothing but is the weakest option. 4. Pilot with a small group. Iron out the questions and write a one-page instruction sheet. 5. Switch it on for everyone and hand out backup codes. 6. Define the lost-phone procedure — who restores access and how they verify the request is genuine.

Step 3 goes hand in hand with getting your passwords in order — if that is still missing, start with "Passwords and password managers for companies": the two measures roll out beautifully together.

Where do companies get the rollout wrong?

Three mistakes come up again and again. First — exceptions "for convenience": the owner and the accountant stay without MFA, yet their accounts are exactly the most valuable targets. Second — MFA on email only, while the CRM holding all customer data sits behind a lone password. Third — nobody has thought about backup access, and the first lost phone blocks work for half a day. All three are avoided with half an hour of planning up front.

If you would rather have someone walk the whole path with you — from the inventory to the recovery policy — that is part of our cybersecurity service, which also covers the rest of a company's baseline protections.

Frequently asked questions

What is the difference between two-factor (2FA) and multi-factor (MFA) authentication?

Two-factor authentication is a special case of multi-factor — exactly two factors, for example a password plus an app code. In practice the terms are used interchangeably; what matters is that access never depends on a password alone.

Which company accounts should get MFA first?

Start with company email, administrator accounts and systems holding sensitive data — accounting, CRM, online banking. They are the most common entry point in a breach and the most expensive to recover.