A passkey azt jelenti: a belépést a telefon vagy a kulcs írja alá, és csak a valódi oldalnak. A hamis, hasonló című oldal nem kap aláírást. Ezért mondják, hogy az adathalász-oldal nem tudja ellopni.

Ez a védelem a belépésre vonatkozik. A „elfelejtettem a jelszót” gombra nem.

Ha valaki azt a gombot nyomja, a rendszer SMS-kódot, e-mail-linket vagy helpdesk-ügyet indít. Ez már nem a passkey. Ez egy másik ajtó. A támadó ide megy, ha az elsőt nem tudja kinyitni.

Amit a Meta-bot megmutatott

A Meta ügyfélszolgálati botja 2026 májusában 20 225 Instagram-fiókot adott át. Jelszó-visszaállító linket küldött olyan e-mail-címre, amely nem tartozott a fiókhoz. Senki nem tört be. Emberi jóváhagyás nem volt. A rendszer azt csinálta, amire utasították.

A magyar cégnél ez nem Instagram. Ez a Microsoft- vagy Google-fiók, a számlázó, a banki belépés. Ugyanaz a minta: a belépéshez már kell kód vagy passkey — a visszaállításhoz elég egy SMS, egy telefon a helpdesknek, vagy egy bot.

Egy 40 fős cégnél ez így néz ki. A könyvelő új telefont vesz. A Microsoft-fiók SMS-kódja a régi számra megy, vagy a helpdesk tíz perc alatt ad új jelszót. Senki nem hívja vissza egy másik, előre leírt számon. Az ügyvezető ugyanígy. A passkey-t a Google-fiókon bekapcsolták. A számlázóba a közös jelszó visz be.

A passkey-mítosz cikk ezt már kimondta. Itt a tétel ennyi: amíg a visszaállítás gyenge, a passkey a belépést szépíti.

Három kérdés a cégénél

  1. Ha a könyvelő elveszíti a telefonját, ki állítja vissza a fiókját — és kinek kell még rábólintania?
  2. Az ügyvezető, a pénzügy és az admin ugyanazon a szabályon megy, mint a gyakornok?
  3. Van-e olyan rendszer — számlázás, bér —, ahova közös jelszó visz be, vagy SMS-es visszaállítás?

Ha az elsőre nincs név, a passkey a Google-fiókon dísz. A pénz nem ott van.

Mit tegyen — nem a teljes cég holnap

1. A jelszó-visszaállításnak legyen második embere. Utalásnál már kettős jóváhagyást kér (utalás-sablon). A fiók-visszaállítás ugyanaz a tét: hozzáférés a pénzhez és az adatokhoz. Előre egyeztetett csatorna. A helpdesk egy telefonhívásra ne cseréljen jelszót.

2. Az admin és a pénzügy ne SMS-re menjen. Ők először. Nem akkor, „ha mindenki átállt a passkey-re”.

3. A passkey mehet tíz fővel, egy héten. Entra ID vagy Google Workspace — az első héten opcionális. Ez nem a sürgős lépés. A sürgős a visszaállítás szabálya.

A FIDO Alliance májusban 5 milliárd aktív passkey-t becsült (FIDO, 2026-05-07). A szám azt mutatja: a belépés cseréje elindult. Attól a „elfelejtettem a jelszót” gomb még ugyanaz marad.

Amit a passkey nem old meg

A passkey nem az incidens-eljárás. Nem az utalás-szabály. Nem a mentés. Egy ajtót cserél. A jelszó-visszaállítást nem.

A régi számlázó maradhat jelszavas. Akkor veszélyes, ha a pénzügy azon a rendszeren ül, és a visszaállítás SMS vagy egy telefon.

Holnap reggel egy mondat elég az IT-nek: „A jelszó-visszaállításnál ki a második ember — és az admin fiók mikortól nem SMS-es?”

Ha erre nincs név, a passkey-ről még ne beszéljenek.

AI-közreműködés: AI-asszisztált váz — 2026. augusztus 30-i lektorálás után. Loop Magazin, 2026.