W październiku 2026 roku pojawiła się Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa nr 2026-67a-9, która wprost mówi o uwierzytelnianiu wieloskładnikowym. Wiele sklepów i platform gamingowych od razu zadało sobie pytanie: czy to nas dotyczy i czy trzeba coś wdrożyć do poniedziałku? Krótka odpowiedź: nie do poniedziałku i nie zawsze. Poniżej rozdzielamy obowiązki od dobrych praktyk, pokazujemy różnicę między MFA w płatnościach online a MFA do panelu i dajemy plan wdrożenia, który nie zabije konwersji.
TL;DR
- Rekomendacja Pełnomocnika to dokument dobrowolny, skierowany do podmiotów kluczowych i ważnych KSC, a nie do każdego sklepu internetowego.
- Twarde wymogi dla płatności to PSD2/SCA oraz RTS 2018/389, a realizuje je operator płatności przez 3DS 2.x.
- Rekomendacja nie rozróżnia metod MFA, a różnica między SMS, TOTP i FIDO2 jest kluczowa dla realnego bezpieczeństwa.
- Warto myśleć o dwóch warstwach: MFA w płatności klienta oraz MFA do panelu merchanta i kont pracowniczych.
- Najprostszy start: FIDO2 w panelu dla administratorów, SMS i TOTP jako zapas.
1. MFA w płatnościach online — co naprawdę wymaga prawo, a co tylko rekomendacja
Zacznijmy od najczęstszego nieporozumienia. Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa (nr 2026-67a-9 z 15 października 2026 r.) wydana na podstawie art. 67a ustawy o KSC jest dokumentem dobrowolnym. Adresatami są podmioty kluczowe i ważne krajowego systemu cyberbezpieczeństwa, których po nowelizacji wdrażającej NIS2 jest ponad 70 tysięcy. Sklep internetowy czy platforma gamingowa trafia do tego grona tylko wtedy, gdy zostanie zakwalifikowana jako podmiot ważny lub kluczowy, na przykład jako dostawca usług cyfrowych.
Co ważniejsze, MFA w tej rekomendacji dotyczy dostępu zdalnego, poczty elektronicznej, systemów krytycznych i kont uprzywilejowanych. Nie dotyczy checkoutu. Nikt nie każe Ci dokładać drugiego kroku do koszyka na podstawie tego dokumentu.
Płatności rządzą się osobnymi przepisami. PSD2 w art. 97 wymaga silnego uwierzytelniania klienta (SCA), a RTS 2018/389 doprecyzowuje, jak to ma wyglądać: co najmniej dwie z trzech kategorii (wiedza, posiadanie, cecha biometryczna) plus dynamiczne powiązanie kodu z kwotą i odbiorcą. Dla merchanta oznacza to dobrą wiadomość: SCA realizuje operator płatności przez 3DS 2.x. Paymentic robi to po swojej stronie, więc nie musisz kodować tego sam.
| Warstwa | Kto odpowiada | Podstawa |
|---|---|---|
| Płatność klienta końcowego | Paymentic jako operator płatności (3DS 2.x, SCA) | PSD2 art. 97, RTS 2018/389 |
| Panel merchanta i konta pracowników | Ty, z pomocą dostawcy panelu | Rekomendacja 2026-67a-9 (dobrowolna), NIS2 jeśli jesteś w zakresie |
| Infrastruktura, poczta, dostęp zdalny | Ty lub Twój IT | Rekomendacja 2026-67a-9, NIS2 |
Czy musisz coś wdrożyć? Jeśli jesteś zwykłym sklepem, prawnie nic nowego Cię nie dopada. Ale jeśli masz pracowników z dostępem do wypłat, zwrotów i danych klientów, warto potraktować rekomendację jako listę dobrych praktyk. Kto odpowiada za SCA? Operator płatności, o ile korzystasz z gotowej integracji, a nie budujesz własnej bramki.
2. Dwie warstwy MFA: płatność klienta i panel merchanta
Najprościej myśleć o tym jak o dwóch różnych drzwiach. Za pierwszymi stoi klient, za drugimi Ty i Twój zespół.
Warstwa pierwsza: klient końcowy. Tu działa 3DS 2.x, BLIK potwierdzany w aplikacji banku, tokeny Apple Pay i Google Pay. W API Paymentic widać to wprost: pole authorization.type przyjmuje wartość MULTI_FACTOR między innymi dla kart i portfeli, obok REDIRECT czy APP_NOTIFICATION. To pokazuje, że wieloskładnikowość jest częścią modelu płatności, a nie dodatkiem, który merchant musi dopisać.
Warstwa druga: Ty i Twój zespół. Tu wchodzą SMS, TOTP z aplikacji Authenticator i klucze FIDO2 do panelu administracyjnego. I to jest miejsce, w którym rekomendacja realnie Cię dotyka, bo mówi o kontach uprzywilejowanych i dostępie zdalnym.
- Co widzi klient: ekran banku lub 3DS, potwierdzenie w aplikacji, czasem biometrię. Zwykle kilka sekund i zero wiedzy o tym, co dzieje się pod spodem.
- Co widzisz Ty: logowanie do panelu, listę urządzeń, historię operacji, wypłaty i zwroty. Tu każdy dodatkowy krok jest Twój, nie klienta.
Gdzie kończy się Twoja odpowiedzialność? Na płatności klienta kończy się tam, gdzie zaczyna się odpowiedzialność operatora. Za dostęp do panelu odpowiadasz Ty. Czy musisz kodować MFA sam? Nie, jeśli dostawca panelu ma to gotowe. Paymentic udostępnia FIDO2, SMS i TOTP w panelu klienta, więc włączasz to w ustawieniach, a nie w kodzie.
3. SMS, Authenticator czy FIDO2 — co wybrać w praktyce
Rekomendacja mówi "MFA" i na tym poprzestaje. Nie rozróżnia metod, a to duży problem, bo SMS i klucz sprzętowy to nie ta sama liga.
SMS jest najprostszy. Nie wymaga instalacji, działa na każdym telefonie i każdy go zrozumie. Ale kod da się przechwycić, a numer przenieść do innej karty (SIM swap). Do tego dochodzi phishing w czasie rzeczywistym, gdzie fałszywa strona prosi o kod i natychmiast go używa.
TOTP z aplikacji Authenticator jest lepszy, bo kod nie leci przez sieć komórkową. Ale nadal jest kodem, który można przepisać na fałszywej stronie. Push z kolei bywa męczący: seria powiadomień o logowaniu potrafi skłonić zmęczonego pracownika do kliknięcia "akceptuj" (MFA fatigue).
FIDO2 i passkeys to inna kategoria. Klucz prywatny nie opuszcza urządzenia, a podpis jest powiązany z domeną. Nie ma sekretu, który można przechwycić, więc phishing przestaje działać. Microsoft w Digital Defense Report 2025 wskazuje, że MFA odporny na phishing blokuje ponad 99% ataków na tożsamość. FIDO Passkey Index 2026 podaje z kolei 93% skutecznych logowań z passkey wobec 78% dla haseł i tradycyjnego MFA.
| Metoda | Odporność na phishing | Wysiłek wdrożenia | Kiedy wybrać |
|---|---|---|---|
| FIDO2 / passkeys (Paymentic) | Wysoka, klucz nie opuszcza urządzenia | Niski w panelu, średni przy kluczu sprzętowym | Administratorzy, wypłaty, dostawcy zewnętrzni |
| TOTP (Authenticator) | Średnia, kod da się przepisać | Niski | Pracownicy biurowi, codzienna praca |
| SMS OTP | Niska, podatna na SIM swap i phishing | Bardzo niski | Fallback i osoby bez smartfona |
Zasada jest prosta: FIDO2 dla adminów i osób z dostępem do wypłat, SMS i TOTP jako zapas. Lepsze gdy masz mały zespół i chcesz wdrożyć to dziś. Gorsze gdy ktoś z zespołu pracuje z publicznych sieci i często zmienia urządzenia.
Na co uważać przy step-up
- MFA fatigue: ogranicz liczbę powiadomień i blokuj konto po serii odrzuceń.
- Utrata urządzenia: przygotuj dwa niezależne sposoby odzyskania dostępu, zanim ktoś zgubi telefon.
- Współdzielone konta: jedno konto na kilka osób niweczy sens MFA. Zrób osobne konta z własnymi rolami.
4. Wdrożenie krok po kroku: sklep internetowy
W sklepie najważniejsze jest to, żeby nie dokładać tarć klientowi. MFA w płatnościach online po stronie klienta masz już zapewnione przez operatora, więc skupiasz się na sobie.
- Zrób inwentaryzację kont uprzywilejowanych: kto ma dostęp do wypłat, zwrotów, edycji cen i danych klientów.
- Włącz FIDO2 lub TOTP w panelu dla tych kont. W Paymentic to Ustawienia, potem Bezpieczeństwo.
- Ustaw dwie metody odzyskiwania dostępu, na przykład kody zapasowe i kontakt z administratorem.
- Wymuś reautoryzację przy zmianie hasła i dodaniu nowego urządzenia.
- Dodaj step-up przy nietypowych operacjach: duża wypłata, zmiana rachunku bankowego, masowy eksport danych.
- Włącz monitoring nowych urządzeń i powiadomienia o logowaniu z nieznanego miejsca.
Przykład z życia: sklep z odzieżą ma trzy osoby z dostępem do zwrotów. Wszystkie dostają klucze FIDO2, a księgowość zostaje przy TOTP. Klient nic nie zauważa, bo checkout się nie zmienia.
Pułapki? Porzucanie koszyka przy zbyt agresywnym step-up, wyłączenia SCA przy kwotach niskokwotowych i zaufanym beneficjencie oraz subskrypcje i płatności MIT, które rządzą się własnymi zasadami. Do tego chargebacki: MFA nie zastąpi dobrej weryfikacji zamówień, ale utrudnia przejęcie konta, z którego robi się zwroty.
5. Wdrożenie krok po kroku: platforma gamingowa
W gamingu MFA musi być tanie i rzadkie. Gracz nie będzie potwierdzał każdej mikrotransakcji, bo po prostu przestanie kupować.
- Mikrotransakcje: step-up tylko przy nietypowych kwotach, nowym urządzeniu lub zmianie danych płatniczych.
- Konta współdzielone i rotacja urządzeń: licz się z tym, że gracz loguje się z telefonu, konsoli i komputera. Zamiast blokować, pytaj o potwierdzenie przy nowym urządzeniu.
- Nieletni: potrzebna zgoda opiekuna i zgodność z RODO art. 8. Warto zaprojektować ścieżkę, w której opiekun widzi historię zakupów.
- Rynek kont i ATO: przejęte konto to nie tylko kradzież itemów, ale też zakupy na cudzą kartę. Tu pomaga MFA na koncie gracza i monitoring anomalii.
- Płatności bez SCA: DirectBilling i Paysafecard nie przechodzą klasycznego 3DS, więc większa waga spada na monitoring i obsługę chargebacków.
Paymentic obsługuje DirectBilling z weryfikacją telefoniczną i deklaruje poziom fraudów poniżej 1%. Dla platformy, która sprzedaje dużo drobnych pakietów, to często ważniejsze niż sam mechanizm MFA.
Kiedy wymagać step-up w gamingu
- Nowe urządzenie lub nowy kraj logowania: tak, potwierdź.
- Zakup do 20 zł na znanym urządzeniu: nie, puść bez tarcia.
- Zakup powyżej progu, który sam ustalisz: tak, potwierdź.
- Zmiana adresu e-mail lub hasła: tak, zawsze.
- Podejrzana seria transakcji w krótkim czasie: tak, plus czasowe wstrzymanie.
6. Co mierzyć po wdrożeniu i co zrobić dalej
Wdrożenie bez pomiaru to zgadywanie. Obserwuj kilka prostych wskaźników:
- skuteczność logowania (ile prób kończy się sukcesem),
- odsetek porzuceń na ekranie step-up,
- liczbę resetów hasła i zgłoszeń do supportu,
- zgłoszenia przejęcia konta (ATO) i reklamacje transakcji,
- udział logowań z nowych urządzeń.
Pierwszy krok możesz zrobić od razu: wejdź w panel Paymentic, przejdź do Ustawień, potem Bezpieczeństwo i dodaj klucz FIDO2. SMS i TOTP zostaw jako zapas, żeby nikt nie utknął bez dostępu. Jeśli nie wiesz, od czego zacząć w swoim przypadku, napisz do wsparcia Paymentic. Podpowiedzą, które konta chronić w pierwszej kolejności i jak ustawić step-up, żeby nie zaszkodzić konwersji.
Mini-FAQ
Czy rekomendacja mnie dotyczy? Jeśli prowadzisz zwykły sklep lub platformę gamingową i nie jesteś podmiotem kluczowym ani ważnym KSC, dokument nie nakłada na Ciebie obowiązków. Traktuj go jako zestaw dobrych praktyk.
Czy SMS wystarczy? Do codziennego logowania pracownika biurowego często tak. Do kont z dostępem do wypłat lepiej wybrać FIDO2, bo SMS jest podatny na phishing i SIM swap.
Co zrobić, gdy pracownik zgubi klucz? Potrzebujesz dwóch metod odzyskiwania: kodów zapasowych i konta administratora, który może zresetować dostęp. Ustal to przed wdrożeniem, nie po.
Czy passkeys działają na każdym telefonie? Na większości współczesnych urządzeń, przez biometrię lub PIN systemowy. Klucz sprzętowy przydaje się tam, gdzie urządzenie służbowe ma ograniczenia.
Ile to kosztuje? W Paymentic FIDO2 jest dostępne w panelu bez dodatkowych opłat za rejestrację i używanie kluczy. Koszt to głównie czas na wdrożenie i ewentualny zakup klucza sprzętowego.