Stary telefon wraca do sklepu. Kto potwierdzi logowanie do poczty?

Nowy telefon leży w pudełku na biurku. Stary, załóżmy, ma w piątek wrócić do sklepu, bo tak stanęło przy wymianie. W poniedziałek rano, przed rozprawą, Outlook prosi o ponowne zalogowanie i każe potwierdzić wejście w aplikacji Microsoft Authenticator. Na którym telefonie?

Można by się spodziewać, że sprawę załatwi kopia zapasowa. Przy poczcie służbowej nie załatwi. Microsoft pisze wprost, że danych logowania konta służbowego kopia nie obejmuje: zapisuje się sama nazwa konta, a na nowym telefonie trzeba je zarejestrować od nowa. Dlatego stary telefon traktujemy jak przepustkę, z którą najłatwiej wyrobić nową. Oddajesz go na samym końcu, gdy nowy już raz Cię wpuścił.

Piszemy o kontach służbowych Microsoft 365. Jakie metody logowania zobaczysz, zależy od ustawień kancelarii, więc jeśli którejś opcji brakuje, zapytaj osobę, która nimi zarządza.

Telefon już zginął? Przejdź od razu do działań po utracie. Jeśli administrujesz Microsoft 365, Twoja część jest niżej.

Oba telefony masz w ręku

Przy zwykłej wymianie przejdziesz tę drogę samodzielnie, jeśli kancelaria pozwala dodawać metody logowania. Stary telefon zostaje przy Tobie do końca.

1. Zainstaluj Microsoft Authenticator na nowym telefonie. Nie usuwaj jeszcze aplikacji ani konta ze starego.
2. Na komputerze otwórz stronę Informacje zabezpieczające (mysignins.microsoft.com/security-info) i zaloguj się na konto służbowe. Jeśli system poprosi o potwierdzenie, użyj starego telefonu.
3. Dodaj nową rejestrację aplikacji. Wybierz „Dodaj metodę logowania”, potem Microsoft Authenticator, „Dodaj” i „Dalej”, aż zobaczysz kod QR.
4. Zeskanuj kod nowym telefonem. W aplikacji wybierz plus, „Dodaj konto”, „Konto służbowe lub szkolne” i „Skanuj kod QR”. Dokończ konfigurację na obu ekranach, także potwierdzenie w nowej aplikacji, jeśli system o nie poprosi.
5. Sprawdź nowe logowanie. W prywatnym oknie przeglądarki zaloguj się do poczty i plików, potwierdzając wejście nowym telefonem. Jeśli działa tylko stary, nie oddawaj go i poproś o pomoc osobę, która administruje Microsoft 365. Gdy logowanie przechodzi, a Outlook dalej się nie łączy, zajrzyj do naszego wpisu o Outlooku.
6. Usuń starą rejestrację konta służbowego. Na stronie Informacje zabezpieczające rozwiń wpis Authenticatora ze starego telefonu i wybierz „Usuń”, a potem jeszcze raz „Usuń”. Samo skasowanie aplikacji nie wyrejestrowuje urządzenia. Potem jeszcze raz potwierdź logowanie nowym telefonem.
7. Przenieś pozostałe konta, zanim skasujesz aplikację. Jeśli w Authenticatorze są też inne konta, na przykład prywatne, dodaj je na nowym telefonie według instrukcji ich dostawców i sprawdź logowanie. Przy przesiadce z iPhone'a na Androida albo odwrotnie kopia ich nie przeniesie.
8. Dopiero teraz skasuj Authenticator ze starego telefonu, wymaż go i oddaj do sklepu. Microsoft radzi zatrzymać stary telefon, dopóki z nowego nie wejdziesz tam, gdzie wchodzisz najczęściej.

Po przywróceniu kopii napis „Sign in to add your account” przy koncie służbowym oznacza, że trzeba dokończyć rejestrację. Kopia może odtworzyć kody innych kont, ale tylko w tym samym systemie: z iPhone'a na iPhone'a albo z Androida na Androida. Jeśli logujesz się kluczem dostępu (passkey, czyli logowaniem bez hasła) zapisanym tylko na starym telefonie, utwórz nowy przed usunięciem starego. Klucz z synchronizowanego menedżera haseł może już być na nowym telefonie, ale sprawdź, czy działa.

Jeśli logujesz się SMS-em albo zmieniasz tylko numer

Przy SMS-ach sprawdź, czy kody przychodzą na nowy telefon. Przeniesienie numeru lub karty SIM nie przenosi Authenticatora. Jeśli zmieniasz tylko numer, aplikacji nie trzeba ruszać. Numer używany do SMS-ów lub połączeń weryfikacyjnych zaktualizuj na stronie Informacje zabezpieczające, zanim stracisz dostęp do starego, i sprawdź nowy. Dobre praktyki NRA odradzają opieranie dodatkowego potwierdzenia wyłącznie na SMS-ach.

Telefonu nie ma

Tu zmienia się pytanie. Przy wymianie martwisz się, czy Ty wejdziesz. Po utracie równie ważne jest, kto jeszcze wejdzie. Dodatkowe potwierdzenie pilnuje drzwi, a na zgubionym telefonie Outlook jest już w środku, więc liczą się blokada ekranu i to, jak szybko ktoś zamknie otwarte sesje.

Co robisz Ty

1. Zawiadom osobę, która administruje Microsoft 365.

   Z komputera albo innego telefonu powiedz, kiedy telefon zginął, czy miał blokadę ekranu i czy była na nim poczta i pliki kancelarii, czy tylko Authenticator. Jeśli nie wiesz, kto zarządza kontami, ustal, kto uruchamiał usługę albo od kogo kancelaria ją kupuje.

   Jeśli IT nie odbiera, powiadom osobę prowadzącą kancelarię albo wskazaną do takich zdarzeń. Nie czekaj z blokadą telefonu ani z zapisaniem okoliczności.

   Jeśli to Ty administrujesz i nie możesz wejść na konto, zablokuj telefon jak w punkcie 2, zapisz okoliczności opisane niżej przy RODO, a potem przejdź do odzyskiwania dostępu administratora.

2. Zablokuj telefon.

   iPhone: na iCloud.com/find wybierz tryb utraconego urządzenia (Mark as Lost). Kod weryfikacyjny nie jest tam potrzebny, ale Find My musiało być wcześniej włączone. Przy kradzieży nie wpisuj danych kontaktowych i nie usuwaj telefonu z listy urządzeń.

   Android: Mark as lost w Find Hub, na android.com/find, po zalogowaniu na konto Google.

   Zgłoś utratę operatorowi, a kradzież także policji. Wymazanie całego telefonu potraktuj jako osobną decyzję, bo nie da się go cofnąć, a wymazany Android znika z Find Hub.

3. Użyj zapasowej metody, jeśli ją masz. Przy logowaniu wybierz inny sposób potwierdzenia. Na stronie Informacje zabezpieczające dodaj i sprawdź nową metodę, a utraconą rozwiń i usuń. Nie czekaj z zawiadomieniem z punktu 1, aż Ci się uda. Bez działającej metody potrzebujesz pomocy administratora.

Zgubiony telefon a RODO

Telefon z pocztą klientów to także pytanie o naruszenie ochrony danych. Według art. 33 i 34 RODO administrator danych dokumentuje każde naruszenie, także takie, którego nie zgłasza. Prezesowi UODO zgłasza je bez zbędnej zwłoki, w miarę możliwości w 72 godziny od stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne. Przy wysokim ryzyku zawiadamia też osoby, których dane dotyczą.

Jak bardzo liczy się zabezpieczenie urządzenia, widać w przykładach EROD. Skradzione tablety były wyłączone i zaszyfrowane, a urządzenia i aplikację chroniły silne hasła. Dane miały kopię, a po kradzieży wysłano polecenie zdalnego wymazania. Wystarczył wpis do wewnętrznej dokumentacji. Notebook z danymi ponad 100 000 klientów nie miał hasła ani szyfrowania i choć dane były w kopii, potrzebne było zgłoszenie do organu i zawiadomienie klientów. Dlatego pierwszego dnia zapisz, co było w telefonie, jak był zabezpieczony i co zrobiono.

Dla osoby, która administruje Microsoft 365

Przed resetem potwierdź tożsamość ustalonym wcześniej sposobem. Proponujemy rozmowę twarzą w twarz albo potwierdzenie przez wskazaną osobę z kancelarii, do której dzwonisz na znany wcześniej numer. O reset może prosić także ktoś, kto chce przejąć konto.

Metodami logowania zarządzasz w entra.microsoft.com: Entra ID, Users, wybrana osoba, Authentication methods. Dla zwykłego konta wystarcza rola Authentication Administrator. Przy kontach administratorów sprawdź zakres swojej roli, a działania w Exchange wymagają odrębnych uprawnień.

1. Unieważnij sesje. Revoke sessions unieważnia tokeny odświeżania i wymusza ponowne logowanie. Nie działa jednak natychmiast w każdej aplikacji i nie usuwa danych zapisanych w telefonie. Jeśli hasło mogło zostać w telefonie, zresetuj je (Reset password). Przy podejrzeniu przejęcia konta rozważ czasową blokadę logowania.
2. Odbierz metody z utraconego telefonu. Usuń rejestrację jego Authenticatora i sprawdź, czy nie było na nim też klucza dostępu. Require re-register MFA działa szerzej: usuwa numery telefonów, rejestracje Authenticatora i programowe tokeny OATH, a sprzętowe tokeny OATH dezaktywuje. Użyj go, gdy potrzebny jest taki reset.
3. Umożliw rejestrację nowego telefonu.

   Jeśli osoba nie ma zapasowej metody, wydaj Temporary Access Pass, kod ważny przez ustalony czas. Musi być włączony w Entra ID, Authentication methods, Policies i obejmować tę osobę, a włączenie wymaga roli Authentication Policy Administrator.

   Kod dla zwykłego konta wystawi Authentication Administrator, dla administratora Privileged Authentication Administrator, ale żadna z tych ról nie wystawi go kontu, z którego działa. Przekaż kod uzgodnionym kanałem i sprawdź potwierdzenie logowania nowym telefonem. Sam kod nie usuwa utraconych metod.

4. Usuń dane poczty z telefonu, dobierając polecenie do aplikacji.

   Najpierw ustal z tą osobą, jakiej aplikacji pocztowej używała, zwłaszcza gdy telefon jest prywatny. Ścieżka w Exchange admin center: Recipients, Mailboxes, wybrana osoba, Email apps & mobile devices, Manage mobile devices.

   Według Microsoftu Outlook na iPhonie i Androidzie po poleceniu Wipe Data kasuje tylko swoje dane, za to na wszystkich urządzeniach tej osoby z Outlookiem. Wbudowana aplikacja pocztowa po Wipe Data może wymazać cały telefon, ze zdjęciami włącznie. Account Only Remote Wipe Device usuwa tylko dane konta, jeśli aplikacja obsługuje to polecenie.

   Wymazanie nastąpi, gdy aplikacja następnym razem połączy się z serwerem poczty, więc sprawdź, czy status zmienił się na wykonany.

Gdy telefon zgubiła osoba administrująca

Jeśli to Ty administrujesz, spróbuj innej zarejestrowanej metody albo konta awaryjnego, jeśli kancelaria je ma. Zapytaj zewnętrzną firmę IT, czy ma dostęp pozwalający pomóc. Kod tymczasowy dla Twojego konta można wystawić z innego konta z odpowiednią rolą.

Gdy nie działa żadne konto administracyjne, skontaktuj się z partnerem, od którego kancelaria kupuje Microsoft 365, a przy zakupie bezpośrednim z pomocą techniczną Microsoftu. Zgłoś utratę telefonu i brak dostępu do jedynego konta administratora. Dane sprzedawcy znajdziesz w dokumentach zakupu. Przy połączeniu z numeru spoza profilu organizacji Microsoft wysyła kod na e-mail lub telefon zapisany w profilu w centrum administracyjnym. Sprawdź zawczasu, czy odbierzesz go bez utraconego telefonu i zablokowanej poczty.

Co ustalić zawczasu

Sądzimy, że to te wcześniejsze ustalenia, a nie sama aplikacja, decydują, czy zgubiony telefon będzie złym wieczorem, czy złym tygodniem.

• Jak wejdziesz bez swojego telefonu. Dodaj i sprawdź zapasową metodę na innym urządzeniu. Microsoft mocno zaleca trzy różne metody logowania, a druga na tym samym telefonie zginie razem z pierwszą. Jeśli kancelaria dopuszcza tylko Authenticator, zapasem może być osobna rejestracja aplikacji na drugim urządzeniu.
• Jak odzyskacie administrację. Microsoft zaleca co najmniej dwa konta awaryjne z rolą Global Administrator, osobne od codziennego konta administratora i niezwiązane z niczyim telefonem, najlepiej z kluczami sprzętowymi (FIDO2) przechowywanymi w oddzielnych bezpiecznych miejscach i sprawdzane co najmniej co 90 dni. Jeśli IT prowadzi zewnętrzna firma, ustal, kto takie konta przygotowuje i kto ma do nich dostęp. Pytanie, kto trzyma klucze do środowiska, opisujemy też przy wyborze chmury.
• Jak zablokujesz telefon. Sprawdź, czy usługa Apple lub Google jest włączona i czy wejdziesz do niej bez telefonu. NRA zaleca oprogramowanie pozwalające zdalnie zablokować dostęp lub usunąć dane po zgubieniu albo kradzieży.

Nasza propozycja: uzupełnij kartkę i trzymaj ją tam, gdzie uprawnione osoby sięgną po nią bez telefonu i poczty.

Telefon zginął
Administrator Microsoft 365: [imię, telefon], zastępstwo: [imię, telefon]
Godziny pomocy, kontakt poza nimi albo „brak dyżuru”: [ ]
Gdy IT nie odbiera, zawiadamiamy: [imię, telefon]
Jak potwierdzamy tożsamość przed resetem: [ ]
Zapasowa metoda: [jaka i gdzie], ostatni test: [data]
Kto udostępni konto awaryjne: [ ]
Kto decyduje o wymazaniu danych: [ ]
Bez haseł i kodów na tej kartce.

Wracając do pudełka: otwórz je przy komputerze, ze starym telefonem obok. Stary telefon pójdzie do sklepu jako ostatni. Trudniejsze pytanie zostaje na spokojny wieczór: gdyby ten telefon zginął dziś, kto w Twojej kancelarii odebrałby od Ciebie połączenie i wiedział, co kliknąć?