Dvoufázové ověření prakticky: jak ho zapnout u Googlu, Seznamu a v bance

Hesla unikají po milionech. Ne z vašeho počítače — z databází služeb, kterým jste je svěřili. Útočník pak zkouší uniklou kombinaci e-mail + heslo všude možně, a protože většina lidí používá stejné heslo na víc místech, dřív nebo později se trefí. Dvoufázové ověření tenhle scénář zastaví: i se správným heslem narazí na druhou zámkovou vložku, od které klíč nemá.

Zapnutí zabere u jednoho účtu deset minut. Tenhle článek vás jím provede u tří míst, na kterých v Česku záleží nejvíc: Google, Seznam a banka.

Odpověď hned: Začněte u hlavního e-mailu, ne u banky — banka druhý faktor vyžaduje ze zákona, e-mail často běží jen na heslo. U Googlu ho zapnete v Účtu Google v sekci Zabezpečení, u Seznamu na ucet.seznam.cz v sekci Zabezpečení. Kde to jde, zvolte aplikaci generující kódy nebo přístupový klíč místo SMS. A hned při zapnutí si vygenerujte záložní kódy a uložte je mimo telefon — jsou to vaše dveře do účtu, až telefon ztratíte.

Proč začít u e-mailu, a ne u banky

Zní to nelogicky, ale banka je z těch tří míst nejméně urgentní. Přihlášení do internetového bankovnictví musí být ze zákona ověřené dvěma faktory, takže tam už dávno potvrzujete platby v mobilní aplikaci.

Hlavní e-mail naproti tomu bývá chráněný jen heslem — a přitom je to generální klíč ke všemu ostatnímu. Kdo ovládne vaši schránku, nechá si do ní poslat odkazy pro reset hesla k e-shopům, sociálním sítím i cloudu s fotkami. Jak taková obnova napadeného účtu vypadá a kolik dní zabere, popisujeme v článku hacknutý e-mail: co dělat — a právě proto je lepší těch deset minut investovat dřív, než bude potřeba.

SMS, aplikace, nebo přístupový klíč?

Druhý faktor není jen jeden. Liší se pohodlím i odolností:

Praktické doporučení: pro většinu domácností je nejlepší poměr bezpečnosti a pohodlí aplikace na kódy nebo potvrzovací výzva, SMS nechte jako záložní cestu. Přístupový klíč přidejte tam, kde ho služba nabízí — je jediný, který obstojí i na dokonale napodobené podvodné stránce, protože na falešné adrese prostě nezafunguje.

Google krok za krokem

1. Na počítači otevřete myaccount.google.com a přihlaste se.
2. V levém menu zvolte Zabezpečení.
3. V části „Jak se přihlašujete ke Googlu” klepněte na Dvoufázové ověření a potvrďte heslem.
4. Google nejdřív nabídne výzvu na telefonech, kde jste přihlášení — po zapnutí se při každém novém přihlášení na telefonu objeví dotaz, který potvrdíte klepnutím.
5. Na stejné stránce přidejte druhou metodu: Aplikace Authenticator. V telefonu nainstalujte Google Authenticator (nebo jinou aplikaci na kódy), na počítači nechte zobrazit QR kód a v aplikaci ho naskenujte. Opsáním šestimístného kódu párování potvrdíte.
6. Sjeďte na Záložní kódy, nechte vygenerovat deset jednorázových kódů a vytiskněte je nebo opište na papír. Neukládejte je do poznámek v tom samém telefonu.
7. Pokud máte novější telefon nebo počítač s otiskem prstu či Windows Hello, přidejte v sekci zabezpečení i přístupový klíč — přihlášení pak potvrdíte otiskem, bez opisování čehokoliv.

Od té chvíle chce Google druhý faktor jen při přihlášení z nového zařízení či prohlížeče. Domácí počítač si můžete nechat zapamatovat; na cizích počítačích to nikdy nepotvrzujte.

Seznam krok za krokem

Seznam Email je v Česku pořád nejrozšířenější schránka — a útočníci to vědí.

1. Přihlaste se na ucet.seznam.cz.
2. Otevřete sekci Zabezpečení.
3. Zapněte dvoufázové ověření. Seznam nabízí kód přes SMS, nebo — pohodlněji — mobilní aplikaci Klíč od Seznamu: přihlášení pak jen potvrdíte klepnutím v telefonu, žádné opisování kódů.
4. Při zapnutí zkontrolujte, že u účtu máte aktuální telefonní číslo a záložní kontakt pro obnovu. Staré číslo, ke kterému už nemáte SIM, je častý důvod zamčeného účtu.
5. I tady platí: záložní přístup (kódy či ověřené číslo) si zajistěte hned, ne až telefon zmizí.

Když aplikaci Klíč používat nechcete, nechte aspoň SMS — u Seznamu je to pořád zásadní posun proti holému heslu, kterým se dnes přihlašuje většina schránek napadených přes uniklé databáze.

Banka: druhý faktor už máte, zkontrolujte ho

V bance dvoufázové ověření nezapínáte — máte ho povinně. Přesto se vyplatí pět minut kontroly:

• Potvrzování v aplikaci místo SMS. Většina bank nabízí vlastní potvrzovací aplikaci (George klíč, KB Klíč, ČSOB Smart klíč). Je bezpečnější i pohodlnější než opisování SMS kódů — pokud ještě jedete na SMS, přepněte se v nastavení bankovnictví.
• Limity plateb. Nastavte si denní limit tak, aby odpovídal reálnému utrácení. Když se něco pokazí, limit je poslední záchranná brzda.
• Potvrzujte jen to, co jste sami vyvolali. Když v aplikaci vyskočí žádost o potvrzení přihlášení nebo platby, kterou jste právě nezadali, je to útok — zamítněte ji.
• Kódy a potvrzení se nikomu nediktují. Ani „bankéři”, ani „policii”, ani „technikovi Microsoftu”. Přesně na tomhle stojí telefonické podvody, které rozebíráme v článku volají z banky? Podvod.

A ještě jedna věc: přes bankovní identitu se dnes přihlašujete i na Portál občana nebo do daňového portálu. Zabezpečení banky tedy chrání víc než peníze — je to zároveň váš úřední podpis. Chraňte telefon s bankovní aplikací PINem či otiskem a nikdy ho nepůjčujte odemčený.

Kde všude dál ho zapnout

Až budete mít e-mail a banku, projděte ještě čtyři skupiny účtů, kde krádež bolí:

• Sociální sítě (Facebook, Instagram, LinkedIn) — ukradený profil útočníci používají k podvodům na vaše přátele a vymáhat ho zpět bývá zdlouhavé.
• Cloud s fotkami a dokumenty (iCloud, OneDrive, Dropbox) — u Googlu jste ho vyřešili spolu se schránkou, ostatní mají vlastní nastavení zabezpečení.
• E-shopy s uloženou platební kartou a herní účty (Steam, PlayStation) — všude, kde jde jedním kliknutím utratit peníze.
• Datová schránka a státní portály — pokud se do nich nehlásíte bankovní identitou, zkontrolujte jejich vlastní ověření.

Postup je všude stejný: nastavení, sekce zabezpečení, dvoufázové ověření, aplikace na kódy, záložní kódy na papír.

Záložní kódy: pojistka na den, kdy telefon zmizí

Nejčastější obava zní: „A co když ten telefon ztratím? Zamknu se sám sobě.” Oprávněná otázka — a přesně proto se záložní kódy generují při zapínání ověření, ne až po ztrátě.

Zásady, které fungují:

• Vytiskněte je. Papír v šuplíku nebo v obálce s dokumenty přežije pád telefonu do vany i krádež batohu. Nefotit do galerie telefonu, který mají chránit.
• Každý kód platí jednou. Když nějaký použijete, škrtněte ho; když jich zbývá málo, vygenerujte novou sadu (stará tím přestane platit).
• Přidejte druhé zařízení. Aplikaci na kódy lze mít i na tabletu, přístupový klíč na počítači. Dvě nezávislé cesty znamenají, že výpadek jedné nebolí.

Když telefon skutečně zmizí: z počítače se přihlaste záložním kódem, v zabezpečení účtu odeberte ztracené zařízení a odhlaste všechna aktivní přihlášení. Při výměně za nový telefon si aplikaci na kódy přenesete — Google Authenticator umí export účtů QR kódem nebo synchronizaci přes účet Google.

Čemu se vyhnout

• Diktování kódů po telefonu. Jednorázový kód je jako PIN ke kartě. Žádná legitimní instituce ho nechce slyšet.
• Potvrzování cizích výzev. Když vám přijde potvrzovací notifikace „z ničeho nic”, někdo právě zkouší vaše heslo. Zamítnout a heslo změnit.
• Opisování kódu na stránce, kterou otevřel odkaz z e-mailu. Podvodná stránka umí heslo i kód přeposlat útočníkovi během vteřin. Adresu pište ručně nebo choďte přes záložky — jak falešné stránky poznat, ukazujeme v článku phishing: jak ho poznat.
• Záložní kódy ve fotkách nebo poznámkách telefonu. Padne-li telefon do cizích rukou, padly s ním.
• Jediná metoda bez zálohy. Samotná SMS na číslo, které za rok změníte, je past. Vždy aspoň dvě cesty.

Když se vám do toho nechce pouštět samotným

Nastavení tří účtů podle návodu zvládne trpělivý večer. Jenže často je situace zamotanější: staré obnovovací číslo, schránka po babičce, hesla stejná deset let, počítač plný lišt a doplňků. Pokud se vám do toho nechce, nebo jste se v půlce zasekli, objednejte si kontrolu a nastavení zabezpečení u vás doma — projdeme spolu e-mail, banku i hesla, zapneme ověření, vytiskneme záložní kódy a vysvětlíme, co se bude dít při ztrátě telefonu. Orientačně: nastavení a instalace od 600 Kč, servisní práce 1 200 Kč/h, výjezd po Brně 700 Kč — podrobnosti v ceníku.

Pro živnostníky a malé firmy je dvoufázové ověření jen jedna položka z většího seznamu — kdo má přístup kam, co se stane při odchodu zaměstnance, kde jsou zálohy. Na to je stavěný IT audit malé firmy (orientačně od 3 600 Kč) a přehledně to shrnuje i článek zabezpečení počítačů malé firmy v 7 krocích.

Deset minut dnes, nebo dva týdny obnovy účtu potom. Dvoufázové ověření je vzácný případ, kdy je bezpečnost skoro zadarmo — stačí ji zapnout dřív, než ji budete potřebovat.