# Kétfaktoros azonosítás és jelszókezelő kkv-knak

URL: https://casterconsulting.hu/ketfaktoros-azonositas-jelszokezeles/
Published: 2026-10-15
Updated: 2026-10-15
Author: Caster Consulting

> A többfaktoros azonosítás a legolcsóbb és leghatékonyabb védelem, amit egy kkv bevezethet: a Microsoft mérései szerint 99%-nál nagyobb mértékben csökkenti a fiókfeltörés kockázatát. A sorrend: levelezés és irodai fiókok, adminisztrátorok, távoli hozzáférés, majd egy céges jelszókezelő.

**Rövid válasz: a többfaktoros azonosítás (MFA, köznyelvben kétfaktoros azonosítás) a legolcsóbb és leghatékonyabb védelem, amit egy kkv bevezethet.** A Microsoft kutatása szerint 99%-nál nagyobb mértékben csökkenti a fiókfeltörés kockázatát, és a legtöbb irodai csomagban külön díj nélkül benne van. A sorrend egyszerű: először a levelezés és az irodai fiókok, aztán az adminisztrátorok, a távoli hozzáférés és a pénzügyi rendszerek, végül egy céges jelszókezelő mindenkinek.

Ha egy kkv csak egyetlen kiberbiztonsági lépést tehet idén, ez legyen az. Nem kell hozzá új eszköz, nem kell hozzá nagy projekt, és a hatása azonnali. Ráadásul a munkatársak a magánéletükben, a netbankban és a közösségi oldalakon már ismerik, így ritkán ütközik komoly ellenállásba.

## Miért ennyire fontos?

A legtöbb támadás nem a tűzfalon tör át, hanem egy ellopott jelszóval besétál.

- A **Microsoft 2025-ös Digital Defense Report**ja szerint az identitás elleni támadások több mint 97%-a jelszótámadás, és az ilyen támadások száma 2025 első félévében kb. 32%-kal nőtt. Ugyanez a jelentés szerint az adathalászat-álló MFA az ilyen támadások több mint 99%-át megállítja.
- A **Sophos 2026-os zsarolóvírus-felmérése** szerint a támadások 23%-ában a kiváltó ok egy feltört hozzáférési adat volt.
- A **Verizon 2026-os jelentése** szerint ma már a sérülékenységek kihasználása a leggyakoribb belépési pont (31%), de az ellopott jelszavak továbbra is a fő útvonalak között vannak.

A Microsoft Research 2023-as vizsgálata pedig azt mérte, mennyit számít az MFA: a fiókfeltörés kockázata 99,22%-kal volt alacsonyabb MFA-val, és még akkor is 98,56%-kal, ha a jelszó már kiszivárgott. A két Microsoft-szám két külön vizsgálatból származik, de ugyanazt mondja: **egy második faktor szinte minden jelszóalapú támadást megállít.**

## Melyik második faktor a jó?

Nem minden második faktor egyformán erős. Az amerikai kiberbiztonsági ügynökség (CISA) erősorrendje és a magyar Nemzeti Kibervédelmi Intézet (NKI) 2025-ös ajánlása szerint:

1. **Biztonsági kulcs vagy passkey (FIDO2/WebAuthn):** a CISA szerint ez az „aranystandard”, mert adathalász oldalon sem működik. Az NKI is ezt ajánlja a legkritikusabb fiókokhoz.
2. **Hitelesítő alkalmazás, egyszer használatos kóddal (TOTP):** jó választás a legtöbb felhasználónak. Az NKI kifejezetten ezt javasolja az SMS helyett.
3. **Push-értesítés egy alkalmazásban:** kényelmes, de a CISA szerint sebezhető az úgynevezett push-bombázással, amikor a támadó addig küldi a jóváhagyási kéréseket, amíg a felhasználó tévedésből el nem fogadja. Számegyeztetéssel (number matching) ez a kockázat csökken.
4. **SMS vagy hanghívás:** a leggyengébb, mert a telefonszám eltéríthető (SIM-csere). Az NKI szerint az SMS-alapú kétfaktoros azonosítás ma már elavultnak tekinthető.

A CISA szerint azonban bármilyen MFA jobb a semminél. Ha egy rendszer csak SMS-t tud, kapcsold be azt, és tervezd a váltást.

## Jelszókezelő: a második fele a megoldásnak

Az MFA mellett a jelszavakat is rendbe kell tenni. A probléma nem az, hogy a munkatársak gyenge jelszót választanak, hanem hogy egy ember nem tud fejben tartani ötven erős, egyedi jelszót. Ezért újrahasznosítják őket, és egy kiszivárgott jelszó több fiókot is nyit.

Az Egyesült Királyság kiberbiztonsági központja (NCSC) és az NKI is jelszókezelőt javasol. Egy céges jelszókezelő:

- minden fiókhoz erős, egyedi jelszót generál és tárol;
- lehetővé teszi a közös fiókok biztonságos megosztását a csapaton belül;
- kilépéskor egy helyen visszavonható a hozzáférés.

Fontos: magát a jelszókezelőt is többfaktoros azonosítással kell védeni, ezt mindkét szervezet kiemeli.

Mire figyelj a céges jelszókezelő kiválasztásánál?

- **Központi adminisztráció:** felhasználók hozzáadása és eltávolítása egy helyen, kilépéskor azonnali visszavonással.
- **Közös trezorok:** csapatonként vagy projektenként megosztható jelszavak, jogosultságokkal.
- **Többfaktoros védelem és egyszeri bejelentkezés (SSO)** a céges fiókkal.
- **Napló:** ki, mikor, melyik jelszóhoz fért hozzá.
- **Vészhozzáférés:** ha egy kulcsember elérhetetlen, a cég ne zárja ki magát a saját fiókjaiból.

## Passkey: a jelszó utáni világ

A passkey a jelszó helyett egy, az eszközön tárolt kriptográfiai kulccsal azonosít, amelyet ujjlenyomat, arcfelismerés vagy PIN-kód old fel. Nem lehet ellopni egy adathalász oldalon, és nem lehet elfelejteni. Az NCSC szerint a passkey-s belépés gyakran nyolcszor gyorsabb, mint a jelszavas.

Egyre több szolgáltatás támogatja, és egy kkv-nál a vezetői és az adminisztrátori fiókoknál érdemes már most bevezetni. A Microsoft 365 és a Google Workspace is támogatja, így a legfontosabb céges fiókoknál nincs technikai akadálya. Érdemes minden fiókhoz legalább két passkey-t vagy kulcsot regisztrálni, hogy egy elveszett eszköz ne zárja ki a felhasználót.

## Bevezetési sorrend egy kkv-nál

1. **Levelezés és irodai fiókok** (Microsoft 365 vagy Google Workspace): ide fut be minden jelszó-visszaállítás, ezért ez a legfontosabb. Mindkét csomagban külön díj nélkül bekapcsolható.
2. **Adminisztrátori fiókok:** biztonsági kulccsal vagy passkey-vel, és külön adminisztrátori fiókkal, amelyet nem használnak napi munkára.
3. **Távoli hozzáférés:** VPN, távoli asztal, felhős konzolok.
4. **Pénzügyi rendszerek:** netbank, könyvelőprogram, számlázó.
5. **Minden egyéb üzleti alkalmazás,** ahol elérhető.
6. **Céges jelszókezelő** mindenkinek, MFA-val védve.

## A gyakorlati akadályok

**„Elveszett a telefonom.”** Előre kell lennie egy visszaállítási folyamatnak: ki ellenőrzi a munkatárs személyazonosságát, és hogyan kap új hozzáférést. Erre ne e-mailben kérj új kódot, mert pont ezt használja ki a támadó.

**Közös fiókok.** Ha több ember használ egy fiókot (például egy közös postafiókot vagy egy szolgáltatói portált), a jelszókezelő közös trezorja és egy közös hitelesítő megoldás segít. A legjobb, ha minden embernek saját fiókja van, és a közös erőforrást jogosultsággal érik el.

**Ellenállás.** Az első hét kényelmetlen, utána megszokás. Ha elmagyarázod, miért fontos, és megmutatod, hogy egy hitelesítő alkalmazás vagy egy passkey alig lassítja a belépést, a legtöbben elfogadják.

**Régi rendszerek.** Néhány régi szoftver nem tud MFA-t. Ezeket érdemes listázni, és vagy egy másik védelmi réteg mögé tenni, például csak VPN-ről legyenek elérhetők, vagy cserét tervezni.

## Egy egyhónapos bevezetési terv

- **1. hét:** felmérés. Milyen fiókok vannak, kinél van már MFA, mely rendszerek nem támogatják. Közben egy rövid tájékoztató a csapatnak: miért, mikor, hogyan.
- **2. hét:** a levelezés és az irodai fiókok. Először a vezetés és az adminisztrátorok, utána mindenki, egy kijelölt napon, segítséggel.
- **3. hét:** távoli hozzáférés és pénzügyi rendszerek, valamint a visszaállítási folyamat kipróbálása egy „elveszett telefonos” próbával.
- **4. hét:** a jelszókezelő bevezetése, a közös fiókok átvitele a közös trezorba, és a régi, mindenki által ismert jelszavak lecserélése.

Egy hónap alatt egy kkv a fiókjai nagy részét jóval biztonságosabbá teheti, különösebb beruházás nélkül.

## Gyakori hibák

**Csak az új fiókokra kötelező.** A régi, még MFA nélküli fiókok maradnak a leggyengébb pontok. Az MFA-t mindenkire be kell kapcsolni, határidővel.

**Kivételek „ideiglenesen”.** A vezetői fiók, amelyiknél „most nem érünk rá”, pont a legértékesebb célpont. Kivétel csak dokumentáltan, határidővel legyen.

**A visszaállítás a gyenge pont.** Ha egy telefonhívásra bárki új kódot kap, a támadó is kap. A személyazonosság ellenőrzését előre meg kell határozni.

**A szolgáltatói portálok kimaradnak.** A bankszámla, a domain-regisztrátor, a tárhely, a könyvelőprogram fiókjai gyakran a legkritikusabbak, mégis kimaradnak az első körből.

## Mennyibe kerül?

Szinte semmibe. A Microsoft 365 és a Google Workspace beépített MFA-ja külön díj nélkül használható, a hitelesítő alkalmazások ingyenesek. A céges jelszókezelők felhasználónkénti havidíjasak, a biztonsági kulcsok pedig darabonként egyszeri tételt jelentenek. Egy feltört levelezési fiók vagy egy zsarolóvírus-támadás költségéhez képest ez elhanyagolható.

## Hogyan kommunikáld a csapatnak?

A bevezetés sikere azon múlik, hogy a munkatársak értik-e, miért kell. Egy rövid, közérthető üzenet elég: a jelszavakat rendszeresen ellopják, és egy második lépés a belépésnél ezt a kockázatot szinte teljesen megszünteti. Mutasd meg élőben, mennyi ideig tart egy belépés hitelesítő alkalmazással vagy passkey-vel, és jelölj ki valakit, akihez az első napokban segítségért lehet fordulni. A legtöbb ellenállás abból fakad, hogy az emberek attól tartanak, kizárják magukat. Ha tudják, hogy van gyors segítség, nyugodtabban vágnak bele.

## NIS2 és megfelelés

Az NKI 2025-ös anyaga szerint a többfaktoros azonosítás a GDPR, a NIS2 és a kártyaadat-biztonsági (PCI DSS) követelmények között is megjelenik. A NIS2 kockázatkezelési intézkedései között kifejezetten szerepel a többfaktoros hitelesítés. Ha a céged a NIS2 hatálya alá tartozik, vagy egy érintett cég beszállítója, az MFA ma már nem ajánlás, hanem elvárás.

## Mit tegyél most?

1. **Kapcsold be az MFA-t a levelezésen és az irodai fiókokon** mindenkinek, ezen a héten.
2. **Válts hitelesítő alkalmazásra** ott, ahol most SMS-t használtok.
3. **Védd biztonsági kulccsal vagy passkey-vel** az adminisztrátori és a vezetői fiókokat.
4. **Kapcsold be a távoli hozzáféréseken és a pénzügyi rendszereken** is.
5. **Vezess be céges jelszókezelőt,** MFA-val védve, és vidd át bele a közös fiókokat.
6. **Írd le a visszaállítási folyamatot** elveszett telefon esetére, és egyszer próbáljátok is ki.

Ha szeretnéd, hogy a bevezetést a fiókok átnézésétől a munkatársak betanításáig valaki végigvigye, nézd meg az [infrastruktúra és üzemeltetés](/infrastruktura/) és a [modern munkahely és felhő](/modern-munkahely/) szolgáltatásunkat.

## GYIK

### Mennyire hatékony a kétfaktoros azonosítás?

A Microsoft Research 2023-as vizsgálata szerint 99,22%-kal csökkenti a fiókfeltörés kockázatát, és még kiszivárgott jelszó esetén is 98,56%-kal. A Microsoft 2025-ös jelentése szerint az adathalászat-álló MFA a jelszótámadások több mint 99%-át megállítja.

### Elég az SMS-ben kapott kód?

Jobb a semminél, de a leggyengébb megoldás, mert a telefonszám eltéríthető. Az NKI szerint az SMS-alapú kétfaktoros azonosítás elavultnak tekinthető. Hitelesítő alkalmazás vagy biztonsági kulcs ajánlott.

### Mi az a passkey?

Jelszó helyetti azonosítás egy eszközön tárolt kriptográfiai kulccsal, amelyet ujjlenyomat, arcfelismerés vagy PIN-kód old fel. Adathalász oldalon nem működik, és az NCSC szerint gyakran nyolcszor gyorsabb a jelszavas belépésnél.

### Kell-e jelszókezelő, ha van MFA?

Igen. Az MFA a második faktort adja, a jelszókezelő pedig biztosítja, hogy minden fióknak erős, egyedi jelszava legyen. A kettő együtt véd igazán, és magát a jelszókezelőt is MFA-val kell védeni.

### Mennyibe kerül az MFA bevezetése?

A Microsoft 365-ben és a Google Workspace-ben külön díj nélkül bekapcsolható, a hitelesítő alkalmazások ingyenesek. Egy céges jelszókezelő és néhány biztonsági kulcs a fő költség, és ez egy feltört fiók kárához képest elhanyagolható.

## Sources

- [Microsoft Research – How effective is multifactor authentication at deterring cyberattacks?](https://www.microsoft.com/en-us/research/publication/how-effective-is-multifactor-authentication-at-deterring-cyberattacks/)
- [Microsoft – Digital Defense Report 2025 (On the Issues)](https://blogs.microsoft.com/on-the-issues/2025/10/16/mddr-2025/)
- [CISA – Implementing Phishing-Resistant MFA (fact sheet)](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf)
- [CISA – More than a Password](https://www.cisa.gov/MFA)
- [NCSC UK – Trusting the tech: using password managers and passkeys to help you stay secure online](https://www.ncsc.gov.uk/blog-post/trust-the-tech-using-password-managers-passkeys-to-help-you-stay-secure-online)
- [NBSZ NKI – A 2FA jelentősége a kiberbiztonságban](https://nki.gov.hu/wp-content/uploads/2025/06/2FA-jelentosege-a-kiberbiztonsagban.pdf)
- [Sophos – The State of Ransomware 2026](https://www.sophos.com/en-us/blog/sophos-state-of-ransomware-2026)
- [Verizon – 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/reports/dbir/)