Fiókbiztonság beállítási lépések vállalkozásoknak 2026-ban
TL;DR:
- Az online fiókbiztonság ma már alapvető vállalati követelmény, mivel több milliárd lopott fiók adat kering az interneten. A megfelelő védelem érdekében erős jelszavakat, kétlépcsős hitelesítést és rendszeres ellenőrzéseket kell alkalmazni, különösen a kritikus fiókokon. A tudatosság növelése és a profi segítség a legjobb módszerek a biztonság fenntartására.
Az online fiókbiztonság ma már nem opcionális plusz a vállalkozások számára. Jelenleg több mint 17 milliárd lopott fiók adata kering az interneten, ami azt jelenti, hogy egyetlen újrafelhasznált jelszó elég lehet ahhoz, hogy a céged Google Ads fiókját, banki hozzáféréseit vagy CRM rendszerét illetéktelenek vegyék át. Ez a cikk lépésről lépésre végigvezet azon a fiókbiztonság beállítási lépések sorozatán, amelyekkel a vállalkozásod megvédheti digitális fiókjait a jogosulatlan hozzáféréstől, az adatvesztéstől és a pénzügyi károktól.
Tartalomjegyzék
- Főbb tanulságok
- Fiókbiztonság beállítási lépések: az alapok
- Kétlépcsős hitelesítés beállítása
- Jelszókezelés és helyreállítási beállítások
- Tipikus hibák és támadási módszerek
- Fiókbiztonság ellenőrzése és karbantartása
- Személyes tapasztalataim a fiókbiztonságról
- Biztonságos kampánykezelés profi segítséggel
- GYIK
Főbb tanulságok
| Pont | Részletek |
|---|---|
| Erős jelszavak alkalmazása | Legalább 12 karakteres, vegyes összetételű jelszavak használata drasztikusan csökkenti a feltörés kockázatát. |
| Kétlépcsős hitelesítés bevezetése | A 2FA beállítása percek alatt elvégezhető és azonnal megduplázza a fiók védelmét. |
| Rendszeres biztonsági ellenőrzés | Negyedévente végezz fiók biztonsági ellenőrzést, hogy időben észleld a gyanús tevékenységeket. |
| Emberi tényező kezelése | A social engineering elleni tudatosságépítés legalább annyira fontos, mint a technikai védelem. |
| Értesítési beállítások aktiválása | Minden kritikus fiókon kapcsold be a bejelentkezési értesítőket a gyors reagálás érdekében. |
Fiókbiztonság beállítási lépések: az alapok
Mielőtt bármilyen speciális védelmi funkciót aktiválnál, az alapokat kell rendbe tenni. Az alapbeállítások percek alatt elvégezhetők, mégis a legtöbb vállalkozás kihagyja ezt a lépést, mert azt gondolja, hogy „majd ráér."
Az online fiókbiztonság első pillére az eszközszintű védelem. Minden számítógépen és mobilon, amelyen céges fiókokhoz férnek hozzá a munkatársak, legyen aktív képernyőzár és titkosítás. Ezt sokan triviálisnak tartják, de egy elveszett céges laptop lezáratlan képernyővel azonnal hozzáférést ad a Google Ads fiókodhoz, az email rendszerhez és a pénzügyi számlákhoz.
A fiók védelmi lépések második pillére a jelszókezelő alkalmazások bevezetése. Olyan eszközök, mint a Bitwarden vagy a 1Password, lehetővé teszik, hogy minden fiókhoz egyedi, erős jelszót generálj és tárols anélkül, hogy fejben kellene tartanod azokat. A csapat minden tagja kap egy saját fiókot a jelszókezelőben, és a megosztott céges hozzáféréseket is szervezetten, auditálható módon kezelheted.
Az előkészületek során nem szabad figyelmen kívül hagyni a hitelesítő alkalmazásokat és a fizikai biztonsági kulcsokat sem. A Google Authenticator, a Microsoft Authenticator vagy a nyílt forráskódú Aegis alkalmazás mind megfelelő választás. A YubiKey típusú fizikai kulcsok a legmagasabb szintű védelmet nyújtják, különösen adminisztrátori fiókok esetén.
A fiók biztonsági tippek közé tartozik az is, hogy a munkatársakat rendszeresen tájékoztatni kell a social engineering módszerekről. A digitális biztonság nem csak IT szakemberek feladata. Egy recepciós vagy könyvelő, aki nem ismeri fel az adathalász emailt, ugyanolyan veszélyt jelent, mint egy gyenge jelszó.
A legfontosabb alapkövetelmények egy listában:
- Egyedi jelszó minden egyes fiókhoz, jelszókezelő alkalmazáson keresztül tárolva
- Képernyőzár minden eszközön, amelyen céges fiókokhoz férnek hozzá
- Hitelesítő alkalmazás telepítve legalább az adminisztratív fiókokon
- Munkatársak tájékoztatása az adathalászat felismeréséről
- Céges eszközökön naprakész operációs rendszer és vírusvédelmi szoftver
Profi tipp: Ha most kezded a fiókvédelmi útmutató alapján rendszerbe szedni a cég biztonsági beállításait, kezdd a legkritikusabb fiókokkal: Google Ads, banki hozzáférések, email adminisztrátor. Ezek kompromittálása a legnagyobb azonnali kárt okozhatja.
Kétlépcsős hitelesítés beállítása
A kétfaktoros hitelesítés (2FA) az egyetlen olyan fiókbiztonsági intézkedés, amelyet szinte minden biztonsági szakértő egységesen javasol. A 2FA bevezetése drasztikusan megnehezíti a jogosulatlan belépést, még abban az esetben is, ha a jelszó már ismerttté vált egy adatszivárgás során.
Elérhető hitelesítési módszerek
Három fő típussal találkozhatsz a mindennapi használat során:
SMS alapú hitelesítés a legszélesebb körben elérhető, de a legkevésbé biztonságos megoldás. Az ún. SIM-csere támadásokkal megkerülhető, ezért önálló megoldásként nem ajánlott kritikus fiókoknál.
Hitelesítő alkalmazás (például Google Authenticator, Microsoft Authenticator) időalapú egyszeri kódokat generál, amelyek 30 másodpercenként változnak. Ez a jelenlegi legjobb kompromisszum a biztonság és a kényelem között a legtöbb vállalkozás számára.
Fizikai biztonsági kulcs (FIDO2 szabvány szerint, például YubiKey) a legmagasabb szintű védelem. A kulcs fizikai megléte szükséges a belépéshez, így még egy kompromittált hálózaton sem törhető fel a fiók távolról.
A kétfaktoros hitelesítés lépései Google fiókon
- Nyisd meg a myaccount.google.com oldalt és jelentkezz be a céges fiókba.
- Kattints a Biztonság menüpontra a bal oldali navigációban.
- Keresd meg a Kétlépéses megerősítés részt és kattints rá.
- Nyomd meg az Első lépések gombot, majd erősítsd meg a jelszavadat.
- Válaszd ki a hitelesítési módszert: hitelesítő alkalmazást ajánlott választani az SMS helyett.
- Kövesd a képernyőn megjelenő utasításokat a QR kód beolvasásához és az alkalmazás összekapcsolásához.
- Mentsd el a biztonsági tartalékkódokat egy titkosított fájlban vagy jelszókezelőben. Ezek a kódok segítenek, ha elveszíted a hitelesítő eszközödet.
- Aktiváld a funkciót és ellenőrizd, hogy a következő bejelentkezésnél valóban kéri a második faktort.
Profi tipp: Google Workspace vállalati fiókok esetén a rendszergazda kötelezővé teheti a 2FA használatát az összes felhasználóra. Ezt a Google Admin konzolban a Biztonság beállításai alatt találod. Ez egy percnyi beállítás, amely az egész szervezetet védi.
Az MFA fatigue, vagyis a „hitelesítési kimerültség" jelenségére is figyelni kell. Ez akkor következik be, amikor egy támadó folyamatosan hitelesítési kéréseket küld az áldozat telefonjára, abban reménykedve, hogy az illető végül elfogadja valamelyiket, csak hogy megszabaduljon az értesítésektől. A megoldás: olyan hitelesítési módszert válassz, ahol aktív interakció (számkód beírása) szükséges, ne csupán egy gomb megnyomása.
Jelszókezelés és helyreállítási beállítások
A jelszókezelés nem ér véget az erős jelszó kiválasztásával. A helyreállítási opciók helyes konfigurálása ugyanolyan kritikus, mint maga a jelszó erőssége.
A biztonságos jelszó ismérvei
Egy biztonságos jelszó legalább 12 karakterből áll és tartalmaz kis- és nagybetűket, számokat és speciális karaktereket egyaránt. Azonban a legújabb kutatások rámutatnak arra, hogy a jelszó hossza fontosabb, mint a komplexitása. Egy 15 20 karakteres, értelmes szavakból álló jelmondat (például: „KávéHáromSárkány2026!") sokkal nehezebben törhető fel, mint egy rövid, de bonyolult kombináció.
Az alábbi táblázat összefoglalja a jelszóerősség főbb szempontjait:
| Szempont | Minimális követelmény | Ajánlott |
|---|---|---|
| Hossz | 12 karakter | 16 20 karakter |
| Nagybetűk | Legalább 1 | Több helyen |
| Számok | Legalább 1 | Több helyen |
| Speciális karakter | Legalább 1 | Legalább 2 |
| Jelszó egyedisége | Minden fiókhoz más | Jelszókezelővel generált |
| Változtatás ideje | Gyanús esemény esetén | Évente, vagy adatszivárgáskor |
A helyreállítási beállítások terén a leggyakoribb hibák a következők:
- Régi, már nem használt email cím van megadva helyreállítási emailként
- A biztonsági kérdések nyilvánosan elérhető adatokon alapulnak (születési hely, anyja neve), amelyeket social engineering útján könnyen megszerezhetnek
- Nincs megadva telefonszám a fiók helyreállításához, így egy elveszített jelszó esetén az összes adat elérhetetlen marad
- A biztonsági tartalékkódokat nem mentik el, ezért 2FA eszköz elvesztése után a fiókhoz sem lehet hozzáférni
Értesítési beállítások aktiválása az egyik leggyorsabb fiókbiztonság beállítási lépés, amelyet azonnal meg tudsz tenni. Minden kritikus fiókon kapcsold be az email vagy push értesítést az ismeretlen eszközről való bejelentkezésre, jelszóváltoztatásra és 2FA módosítására vonatkozóan. Ha egyszer használatos bejelentkezési kódot tartalmazó emailt kapsz anélkül, hogy te kezdeményezted volna, az egyértelmű jele annak, hogy valaki ismeri a jelszavadat és megpróbál belépni.
Tipikus hibák és támadási módszerek
A vállalati fiókbiztonság gyenge pontjai ritkán tisztán technikai eredetűek. A sikeres behatolások 82 százalékában social engineering vagy ellopott hitelesítő adatok játszanak főszerepet, ami azt jelenti, hogy a legtöbb támadás megelőzhető lett volna megfelelő tudatossággal.
A leggyakoribb támadási módszerek és a védekezési lehetőségek:
- Adathalászat (phishing): Hamis bejelentkezési oldalak, amelyek lemásolják a valódi platformok kinézetét. Védekezés: ellenőrizd mindig a böngésző URL sávját bejelentkezés előtt, és soha ne kattints email-ben érkező bejelentkezési linkekre.
- Credential stuffing: A támadók ismert felhasználónév és jelszó párokat tesztelnek tömegesen más platformokon. Védekezés: minden fiókhoz egyedi jelszó, amit jelszókezelő tárol.
- Session hijacking: A támadó eltulajdonítja a bejelentkezési munkamenetet (session token-t), ezáltal jelszó nélkül is hozzáfér a fiókhoz. Védekezés: rendszeresen jelentkezz ki a nem használt eszközökről, és engedélyezd a munkamenet lejáratát.
- MFA fatigue: Folyamatos hitelesítési kérések küldése, amíg a felhasználó elfogadja valamelyiket. Védekezés: számkód alapú hitelesítő alkalmazás vagy fizikai kulcs használata push értesítés alapú 2FA helyett.
„A social engineering nem technológiai probléma. Emberi probléma. Egy jól megírt, hiteles hangvételű email elegendő ahhoz, hogy egy tapasztalt munkatárs is megadja a bejelentkezési adatait. A védelem kulcsa a rendszeres tudatosságépítés, nem az egyszer elvégzett tréning."
A dinamikus adwords kampányokat kezelő fiókokra különösen érdemes odafigyelni, mivel ezek egyenes kapcsolatban állnak a cég hirdetési büdzséjével. Egy kompromittált Google Ads fiókban a támadók percek alatt el tudnak költeni hatalmas összegeket érvénytelen forgalomra.
A jelszómentes hitelesítési megoldások (passkey technológia) egyre inkább elterjednek. Ezek biometrikus azonosítást (ujjlenyomat, arcfelismerés) alkalmaznak a jelszó helyett, és a FIDO2 szabványra épülnek. Ahol elérhető ez a lehetőség, ott érdemes megfontolni az áttérést, mivel teljesen kiküszöböli a jelszólopás kockázatát.
Fiókbiztonság ellenőrzése és karbantartása
A fiókbiztonság beállítása nem egyszeri feladat. A folyamatos karbantartás legalább annyira fontos, mint a kezdeti konfiguráció.
Kövesd ezt a negyedéves biztonsági ellenőrzési folyamatot:
- Aktív munkamenetek átvizsgálása: Minden kritikus fiókon (Google, email, banki felületek) ellenőrizd az aktív eszközök listáját. Az ismeretlen eszközökről távolítsd el a hozzáférést azonnal.
- Hozzáférési jogosultságok felülvizsgálata: Ellenőrizd, hogy mely harmadik féltől származó alkalmazásoknak van hozzáférési engedélye a fiókjaidhoz. Távolítsd el azokat, amelyeket már nem használsz.
- Jelszavak és 2FA beállítások ellenőrzése: Használj olyan eszközt, mint a Have I Been Pwned, hogy megtudd, szerepel e bármelyik email címed ismert adatszivárgásban. Ha igen, azonnal változtasd meg a jelszót.
- Értesítési beállítások ellenőrzése: Győződj meg arról, hogy az értesítések aktívak és a helyes email vagy telefonszámra érkeznek.
- Munkatársak hozzáférési listájának frissítése: Ha valaki elhagyta a céget, azonnal vonjátok vissza minden fiókhoz való hozzáférését és változtassátok meg a megosztott jelszavakat.
A fiók biztonsági ellenőrzés során különösen figyelj arra, hogy a biztonsági beállítások frissítésének van egy természetes ütemezése. Gyanús esemény esetén azonnal cselekedj: változtasd meg a jelszót, ellenőrizd az aktív munkameneteket, és vizsgáld meg a fiók aktivitási naplóját. Rendszeres körülmények között évente egyszer teljes felülvizsgálat javasolt, negyedévente pedig az aktív munkamenetek és hozzáférési jogosultságok ellenőrzése.
Személyes tapasztalataim a fiókbiztonságról
Több mint két évtized alatt, közel 468 millió euró értékű Google Ads kampány kezelése során azt tapasztaltam, hogy a vállalkozások többsége a fiókbiztonságot csak akkor veszi komolyan, amikor már megtörtént a baj. Egy kompromittált Google Ads fiók esetén a kár nem csupán pénzügyi: elveszítik a kampánystruktúrát, az összegyűjtött adatokat és a fiók előzményeit is, amelyekre az algoritmus épít.
Amit a leggyakrabban látok: a cégek bevezik a 2FA t az adminisztratív fiókon, de a munkatársak fiókjain nem. Ezért mondogatom, hogy a leggyengébb láncszem elvén érdemes gondolkodni. Ha egy editor szintű munkatárs fiókja nincs megfelelően védve, a teljes kampány veszélybe kerülhet.
A jelszómentes technológiák (passkey) bevezetése az a terület, amelyre a következő egy két évben érdemes figyelni. Nem azért, mert divatos, hanem mert valóban megszünteti a jelszólopás leggyakoribb formáját. Ahol már elérhető, ott azonnal érdemes aktiválni.
A legjobb tanácsom, amit 21 év tapasztalata alapján adni tudok: a biztonság ne legyen egyszeri projekt. Legyen rendszeres elem a cég működésében, ugyanolyan természetes, mint a számlák befizetése vagy a kampányok heti kiértékelése.
— Norbert
Biztonságos kampánykezelés profi segítséggel
Ha a vállalkozásod Google Ads fiókjait profi kezekben szeretnéd tudni, az Adwordshirdetes csapata nem csupán a kampányok teljesítményét kezeli, hanem a fiók biztonságának szempontjait is figyelembe veszi a napi munka során.
Az Adwordshirdetes 21 éves tapasztalattal és több száz aktív kampánnyal a háta mögött pontosan tudja, hogyan kell egy Google Ads fiókot nemcsak hatékonyan, hanem biztonságosan is kezelni. A teljes körű AdWords kampánykezelés keretében a fiók hozzáférési jogosultságait, a kétlépcsős hitelesítés meglétét és az aktív munkameneteket is rendszeresen ellenőrizzük. Ha remarketing kampányokat is futtatsz, különösen fontos, hogy a fiók biztonságát magas szinten tartsd, mivel ezek a kampányok közvetlen kapcsolatban állnak a weboldalad látogatóival és konverzióival. Vedd fel velünk a kapcsolatot, és gondoskodunk a biztonságos, eredményes digitális jelenlétedről.
GYIK
Mi az első lépés a fiókbiztonság beállításakor?
Az első lépés minden céges fiókon egy erős, egyedi jelszó beállítása jelszókezelő alkalmazás segítségével, majd a kétlépcsős hitelesítés azonnali aktiválása.
Miért nem elég egymagában az erős jelszó?
Az erős jelszó önmagában nem elegendő, mert adatszivárgások esetén a jelszó ismerté válhat. A kétfaktoros hitelesítés lépései biztosítják, hogy a jelszó önmagában ne legyen elég a belépéshez.
Milyen gyakran érdemes elvégezni a fiók biztonsági ellenőrzést?
Negyedévente javasolt az aktív munkamenetek és hozzáférési jogosultságok átvizsgálása, teljes körű felülvizsgálatot pedig évente egyszer érdemes elvégezni, illetve minden gyanús esemény után azonnal.
Mi az MFA fatigue és hogyan védekezhetünk ellene?
Az MFA fatigue az a jelenség, amikor a támadó folyamatosan hitelesítési kéréseket küld, és a felhasználó végül elfogadja valamelyiket. Ellene a legjobb védekezés a számkód alapú hitelesítő alkalmazás vagy fizikai biztonsági kulcs használata.
Mi a teendő, ha gyanús tevékenységet észlelünk a fiókon?
Azonnal változtasd meg a jelszót, távolítsd el az összes aktív munkamenetet, ellenőrizd a fiók aktivitási naplóját, és ha szükséges, értesítsd a platform ügyfélszolgálatát a fiók ideiglenes zárolása érdekében.
Ajánlott
- ÁSZF – AdWordsHirdetés.com – Google reklám, AdWords kampány
- Adatkezelési tájékoztató – AdWordsHirdetés.com – Google reklám, AdWords kampány
- Marketing tippek a Black Friday alkalmából – AdWordsHirdetés.com – Google reklám, AdWords kampány
- A GDPR és amit tudnod kell – AdWordsHirdetés.com – Google reklám, AdWords kampány
