# 2FA: dlaczego SMS jest najgorszy z dobrych > Drugi składnik przez SMS jest znacznie lepszy niż żaden, a jednocześnie najsłabszy ze wszystkich. Powód nie jest kryptograficzny: chodzi o to, że w twojej sieci komórkowej ktoś odbiera telefon. 2026-05-07 · David Carrero · password.es Original: https://password.es/pl/blog/2fa-sms-najgorszy-z-dobrych/ --- Włączenie drugiego składnika uwierzytelniania przez SMS to jedna z najlepszych decyzji, jakie możesz dziś podjąć. To też pierwsza, którą będziesz musiał zrewidować. Jedno i drugie jest prawdą jednocześnie i na tym polega cała trudność. Dyskusja zwykle rozłazi się na dwa równie błędne obozy: tych, którzy traktują SMS jak prawdziwe zabezpieczenie, i tych, którzy traktują go jak teatr. **SMS jest nieporównanie lepszy niż nic, a zarazem najsłabszy z powszechnie używanych drugich składników.** Nie ma tu sprzeczności. Jest drabina, a SMS to jej pierwszy szczebel — i to znacznie powyżej podłogi. ## Co SMS robi dobrze Bez drugiego składnika twoje konto wisi na jednym sekrecie, który może od lat krążyć w cudzym wycieku, a ty nic o tym nie wiesz. Ktoś bierze taką listę, przepuszcza ją przez jeden serwis po drugim i, jeśli używałeś tego samego hasła w kilku miejscach, wchodzi. Nikt cię nie wybrał: po prostu twój wiersz wypadł w arkuszu kalkulacyjnym. SMS przecina to u korzenia. **Gdy tylko pojawia się drugi składnik, atak na ciebie przestaje być automatyczną formalnością, a staje się robotą wymierzoną konkretnie w ciebie.** Trzeba wiedzieć, kim jesteś, jakiego numeru używasz i kto ci go wydał. Wielu to się zwyczajnie nie opłaca: są łatwiejsze konta. Dlatego jeśli jakiś serwis oferuje wyłącznie SMS, odpowiedź brzmi tak, bez żadnych „ale”. Te „ale” przychodzą później. ## Awaria nie jest w twoim telefonie Człowiek wyobraża sobie, że złamanie SMS-a to przechwytywanie fal, klonowanie karty albo zainfekowanie telefonu. Nic z tych rzeczy nie jest potrzebne. Atak, który naprawdę zabiera ludziom konta i który wraca w kolejnych opisanych sprawach, to **SIM swapping**, a polega na czymś dużo nudniejszym: ktoś dzwoni do twojego operatora, mówi, że zgubił kartę SIM, odpowiada na kilka pytań weryfikacyjnych i prosi o duplikat. Od tej chwili twoje SMS-y trafiają do niego. Zwróć uwagę, czego tu nie było. Nie złamano żadnego szyfrowania. Nie tknięto twojego telefonu. Ty nie zrobiłeś nic źle — i nawet się nie zorientowałeś, poza tym, że twoja linia nagle zamilkła, a to, jeśli akurat śpisz, może chwilę potrwać, zanim zwróci twoją uwagę. **SIM swapping nie jest atakiem technicznym na ciebie: to socjotechnika wymierzona w twojego operatora.** Ogniwem, które puszcza, jest pracownik obsługi klienta, któremu płacą za szybkie zamykanie zgłoszeń i któremu właśnie opowiedziano całkowicie wiarygodną historię, bo zgubienie karty SIM to coś, co ludziom zdarza się codziennie. Przypadki są szeroko udokumentowane, a schemat powtarza się z monotonią, która już nikogo nie dziwi. Niewygodne jest to, że ty nie masz tu nic do powiedzenia: twoje bezpieczeństwo zależy od procedury weryfikacyjnej firmy, której nie wybierałeś pod tym kątem. I jest jeszcze druga wada, cichsza: **twój numer telefonu nie jest sekretem.** Podałeś go dentyście, dostawcy prądu i połowie kontaktów w kraju. Identyfikator, który rozdajesz na życzenie, pełni tu rolę poświadczenia. ## Drugi szczebel: aplikacja Kolejny stopień to **TOTP** — sześciocyfrowe kody rotujące co trzydzieści sekund w aplikacji takiej jak te od Google, Aegis, 1Password czy Bitwarden. Mechanizm jest elegancki: serwis i twoja aplikacja dzielą sekret jeden jedyny raz, przy konfiguracji, a od tej pory obie strony wyliczają ten sam kod z tego sekretu i z godziny. Nic nie jest wysyłane. I na tym polega cała różnica: **jeśli nic nie podróżuje, nie ma czego przekierować.** Nie ma operatora, nie ma numeru, nie ma nikogo, do kogo można zadzwonić po duplikat. SIM swapping nie ma tędy wejścia. To duży skok i kosztuje pięć minut. Ale to też nie koniec, bo TOTP zachowuje bardzo ludzki martwy punkt: **kod wpisujesz ty, temu, kto o niego poprosi.** Jeśli stukasz go na stronie, która wygląda jak twój bank, ale nim nie jest, atakujący go zbiera i przekazuje do prawdziwego serwisu w tych sekundach życia, które kodowi jeszcze zostały. Twoja aplikacja generuje liczbę; nie wie, gdzie ją wklejasz. ## Szczebel, którego nie da się nabrać Klucz sprzętowy — standard **FIDO/U2F**, klucz USB lub NFC, albo sam telefon w roli uwierzytelniacza — rozwiązuje dokładnie ten problem. Przy rejestracji tworzy parę kluczy przywiązaną do **origin**: do konkretnej domeny tego serwisu. Przy logowaniu przeglądarka mówi kluczowi, dla jakiej domeny żąda się podpisu, a klucz podpisuje wyzwanie, w którym ta domena siedzi w środku. Jeśli strona jest kopią postawioną gdzie indziej, domena się nie zgadza i nie powstaje podpis, który prawdziwy serwis by przyjął. Inaczej mówiąc: **klucz nie jest mądrzejszy od ciebie; on po prostu nie ufa twojemu osądowi.** Nie patrzy na kłódkę, nie czyta adresu, nie ocenia, czy mail wyglądał wiarygodnie. Porównuje jeden ciąg znaków z drugim. To jedyne ogniwo, którego nie przekonuje się dobrą historią — a w tym miejscu zauważyłeś już pewnie, że dobre historie są tu właśnie całym problemem. ## „Ograniczony” to nie „zakazany” **NIST** w publikacji **SP 800-63B** klasyfikuje uwierzytelnianie poza pasmem przez sieć telefoniczną — czyli SMS — jako **ograniczone**. Warto zatrzymać się przy tym słowie, bo w tym niuansie mieści się cały ten tekst. Ograniczony to nie zakazany: to kategoria pośrednia i celowa. Można go dalej używać, ale kto go używa, przyjmuje na siebie obowiązki: ocenić ryzyko, uprzedzić użytkowników, że ten kanał ma znaną słabość, i mieć plan migracji na coś lepszego. To stanowisko mądrzejsze niż zakaz i tłumaczy, dlaczego SMS wciąż stoi. **Mierny mechanizm, którego ludzie używają, chroni bardziej niż doskonały, którego nikt nie włącza.** Gdyby jutro zakazano go wszędzie, spora część tych kont nie awansowałaby o szczebel wyżej: zostałyby z samym hasłem, czyli na podłodze. ## Co robić, po kolei - **Jeśli serwis oferuje tylko SMS, włącz go.** Dziś. Pierwszy szczebel daje najwięcej wysokości. - **Jeśli oferuje TOTP, przejdź na TOTP** i wyłącz SMS jako zapasowy, o ile pozwoli. Twoje bezpieczeństwo jest na poziomie najsłabszej metody, jaką akceptujesz, bo to atakujący wybiera, którędy wejdzie. - **W tym, co naprawdę ważne — poczta, bank, menedżer haseł — postaw klucz sprzętowy.** Na poczcie wisi „nie pamiętam hasła” z całego twojego życia. - **Jeśli operator pozwala ustawić PIN albo blokadę przeniesienia numeru, ustaw to.** Nie naprawia sedna, ale utrudnia duplikat temu, kto dzwoni. - **I nie zapominaj o pierwszym składniku.** 2FA to drugi zamek, nie amnestia dla pierwszego: hasło długie, unikalne i prosto z [generatora](/pl/), a jeśli masz wątpliwości co do któregoś z tych, których już używasz, przepuść je przez [sprawdzanie](/pl/sprawdzanie/). Wniosek jest nudny i dlatego prawie nikt go nie wypowiada: SMS jest zły i powinieneś go używać, jeśli nie masz nic innego. Prawdziwe bezpieczeństwo prawie nigdy nie polega na wybraniu opcji doskonałej, tylko na tym, żeby wiedzieć, która jest najgorsza z dobrych, używać jej tak długo, jak trzeba, i nigdy nie pomylić tego z końcem roboty. --- *Źródła: NIST SP 800-63B, który klasyfikuje uwierzytelnianie poza pasmem przez publiczną sieć telefoniczną (SMS lub głos) jako metodę ograniczoną, wraz z obowiązkami oceny ryzyka, uprzedzenia użytkowników i planu migracji, jakie ta kategoria niesie · specyfikacje FIDO/U2F i WebAuthn oraz ich weryfikacja origin (domeny) w momencie podpisu · RFC 6238 (TOTP) · publiczne przypadki SIM swappingu szeroko udokumentowane w prasie i w postępowaniach sądowych.*