Kod 2FA przyszedł na firmowy telefon. Do kogo ma trafić?

2026-09-06

Znacie to: firma ma jeden telefon z jedną kartą SIM zarejestrowaną na konto w banku, u dostawcy hostingu albo w panelu reklamowym. Kod weryfikacyjny przychodzi SMS-em, telefon leży w szufladzie na drugim końcu biura, a osoba, która akurat loguje się do systemu, siedzi zdalnie albo po prostu nie ma fizycznego dostępu do tego aparatu. W praktyce kończy się to tak samo w większości firm: ktoś robi zrzut ekranu i wysyła kod na Slacka albo dyktuje go przez telefon. Działa, dopóki nie zapomni się, że kod ma 30 sekund ważności, a osoba z telefonem akurat je na przerwie.

Problem nie jest nowy, ale rzadko ktoś nazywa go wprost. W polskich dyskusjach o 2FA w firmach temat pojawia się głównie z perspektywy narzędzi typu Google Authenticator czy kluczy sprzętowych — czyli tam, gdzie kod w ogóle nie idzie SMS-em. Tyle że masa usług, zwłaszcza starszych systemów bankowych, paneli operatorskich czy platform e-commerce, uparcie trzyma się weryfikacji SMS-em jako jedynej opcji albo jako fallbacku. I to na jeden konkretny numer, przypisany do jednego konkretnego telefonu, który fizycznie leży gdzieś w biurze.

Telefon zostaje telefonem, kod idzie tam, gdzie trzeba

Pushferry nie zmienia numeru ani karty SIM — telefon z zarejestrowaną SIM-ką dalej jest tym samym telefonem, tyle że dostaje aplikację, która w tle patrzy na przychodzące SMS-y i powiadomienia. Kiedy przychodzi kod weryfikacyjny, aplikacja przekazuje go dalej: na Slacka konkretnego kanału, na maila konkretnej osoby, na webhook, który sam decyduje, co dalej zrobić z treścią. Jeśli macie własny system i wolicie obsłużyć to kodem — jest REST API, które dostarcza treść SMS-a do dowolnej logiki po waszej stronie.

To nie jest przekierowanie połączeń ani przejęcie numeru. Telefon fizycznie zostaje na miejscu, karta SIM działa jak działała, a jedyna zmiana to dodatkowy odbiorca wiadomości — w postaci kanału, na którym akurat pracuje właściwa osoba. Odpowiedź, jeśli trzeba ją wysłać, i tak wychodzi z tego samego numeru, z tego samego telefonu — nic nie jest maskowane ani podmieniane.

Kiedy to ma sens

Najbardziej oczywisty przypadek to konta współdzielone: jeden numer do logowania w panelu dostawcy usług, w systemie księgowym albo w koncie reklamowym, z którego korzysta kilka osób na zmianę. Zamiast trzymać telefon na biurku i liczyć na to, że ktoś akurat go usłyszy, kod trafia od razu tam, gdzie ktoś faktycznie czeka na logowanie — niezależnie od tego, czy pracuje z domu, z innego miasta, czy po prostu nie ma akurat dostępu do szuflady.

Drugi przypadek to firmy, które trzymają stary telefon wyłącznie po to, żeby mieć numer do weryfikacji — bo tak wymaga jakiś system sprzed lat, którego nikt nie chce ruszać. Taki telefon zwykle leży bez nadzoru, nikt go regularnie nie sprawdza, a kod, kiedy przyjdzie, trzeba komuś fizycznie przynieść albo przeczytać przez telefon. Z aplikacją ten sam stary telefon staje się źródłem, które samo zgłasza się z kodem, zamiast czekać, aż ktoś je odkryje.

Zaczyna się bez żadnego ryzyka

Do sprawdzenia tego nie trzeba kupować nic nowego ani podawać danych karty — darmowy plan obsługuje jeden telefon z nielimitowanym przekazywaniem wiadomości, więc pierwszy test to dosłownie instalacja aplikacji na telefonie, który już leży w biurze. Jeśli w firmie trzeba podłączyć więcej niż jeden aparat — bo różne działy mają różne numery weryfikacyjne — kolejne plany rozliczane są od liczby podłączonych telefonów, a nie od liczby wiadomości, więc koszt nie rośnie razem z tym, jak często przychodzą kody.

Najprostszy test to podłączenie telefonu, który już dziś służy tylko do odbierania kodów weryfikacyjnych, i sprawdzenie, ile czasu to realnie oszczędza w ciągu tygodnia — zwykle odpowiedź przychodzi szybciej, niż ktokolwiek się spodziewa.