Двухфакторная аутентификация: зачем она нужна каждому аккаунту

Когда аккаунт защищён только паролем, вся защита держится на нём одном. Если пароль подобрали, если вы использовали его на сайте, который потом взломали, или ввели на убедительной поддельной странице входа, любой, у кого он есть, может войти в аккаунт от вашего имени. Двухфакторная аутентификация, или сокращённо 2FA, добавляет вторую проверку, которая не связана с тем, что вы знаете. Это то, что у вас есть, например телефон или физический ключ, или то, что присуще только вам, например отпечаток пальца.

В итоге одного украденного пароля становится мало. Злоумышленнику, который его заполучил, всё равно нужен код из приложения-аутентификатора, касание ключа безопасности или подтверждение на доверенном устройстве. Большинство атак на обычные аккаунты автоматизированы и рассчитаны на лёгкую добычу, поэтому дополнительный шаг выводит вас из числа простых целей и сильно снижает риск угона аккаунта.

2FA не заменяет хороший пароль. Лучше всего она работает в паре с уникальным длинным паролем, который хранится в менеджере паролей. Вместе они закрывают слабые места друг друга: уникальный пароль ограничивает ущерб от утечек на других сайтах, а второй фактор защищает вас, если пароль всё-таки утёк.

Приложения-аутентификаторы генерируют новый короткий код, обычно из шести цифр и обычно каждые 30 секунд, на основе секрета, который сервис передаёт приложению, когда вы сканируете QR-код. Они работают без интернета, чаще всего бесплатны и поддерживаются большинством крупных платформ, поэтому для большинства людей это разумный вариант по умолчанию.

Аппаратные ключи безопасности — это небольшие устройства с USB, NFC или Bluetooth, которые нужно вставить в разъём или приложить к телефону при входе. Ключи доступа, или passkeys, работают по похожему принципу, но хранятся на телефоне или компьютере и разблокируются отпечатком пальца, лицом или PIN-кодом устройства. И те и другие привязаны к настоящему адресу сайта, поэтому не сработают на фишинговой странице-двойнике. Это самые надёжные варианты, доступные обычному пользователю.

Push-уведомления просят подтвердить вход на устройстве, где вы уже авторизованы. SMS и голосовые звонки доставляют одноразовый код на ваш номер телефона. Резервные коды — это список одноразовых кодов на экстренный случай, когда основной способ недоступен. Большинство сервисов позволяют включить несколько способов, и так и стоит сделать: один основной и хотя бы один запасной.

Коды в SMS намного лучше, чем полное отсутствие второго фактора, но они зависят от номера телефона, а номер не полностью в вашей власти. При подмене SIM-карты мошенник уговаривает или подкупает сотрудника оператора перевыпустить ваш номер на SIM-карту, которая оказывается у него в руках. С этого момента все коды, предназначенные вам, приходят на его телефон.

SMS-коды можно выманить так же, как пароли: поддельная страница входа запрашивает код, а злоумышленник за считаные секунды передаёт его на настоящий сайт. Потерять доступ можно и по вполне будничным причинам: в поездке без роуминга, при смене оператора или если вы давно перестали пользоваться номером и оператор со временем отдал его другому абоненту.

Если сервис предлагает приложение-аутентификатор, ключ безопасности или ключ доступа, переключитесь на один из них, а SMS оставьте только как запасной вариант или вовсе отключите, если сервис это позволяет. Если SMS — единственный вариант, защитите сам номер: многие операторы позволяют задать кодовое слово или включить дополнительную защиту от замены SIM-карты, и перенести номер без вашего ведома становится сложнее.

Начните с аккаунтов, которые открывают доступ ко всему остальному. Первым идёт основной адрес электронной почты, потому что на него приходят ссылки для сброса пароля, затем аккаунт Apple, Google или Microsoft, менеджер паролей и любые аккаунты, где хранятся деньги или ценные данные. Когда они защищены, переходите к соцсетям, мессенджерам вроде Telegram и Discord и ко всему остальному.

Нужная опция обычно находится в настройках безопасности аккаунта и называется двухэтапной проверкой, двухфакторной аутентификацией или подтверждением входа. Выберите вариант с приложением-аутентификатором или ключом безопасности, отсканируйте QR-код приложением и введите показанный код, чтобы убедиться, что всё работает. Если сервис поддерживает ключи доступа, добавьте их на телефон и компьютер: так у вас появится способ входа, который одновременно удобен и устойчив к фишингу.

Прежде чем закрыть страницу настроек, сохраните резервные коды, по возможности добавьте второй способ и проверьте, что резервная почта и номер телефона актуальны и принадлежат вам. Затем один раз выйдите из аккаунта и войдите снова, чтобы увидеть, как выглядит запрос, до того как вам действительно придётся на него полагаться.

Резервные коды — ваш способ вернуться в аккаунт, если телефон потерян, сломан или сброшен до заводских настроек. Каждый код срабатывает только один раз, а на многих сервисах создание нового набора отменяет старый. Относитесь к ним как к запасному ключу от квартиры: он незаменим, когда нужен, бесполезен, если вы не можете его найти, и опасен, если до него добрался посторонний.

Хорошие места для хранения — распечатка, которая лежит вместе с важными документами, или зашифрованная заметка в менеджере паролей, который открывается без телефона с аутентификатором. Плохие места — почтовый ящик, незащищённое приложение для заметок, скриншот в галерее или файл на том же устройстве, которое генерирует коды: если вы потеряете это единственное устройство, доступ будет закрыт полностью.

Вычёркивайте каждый использованный код и создавайте новый набор, когда коды подходят к концу. Если подозреваете, что кто-то видел ваши коды, сразу создайте новые, чтобы старый список перестал работать.

Если аккаунт достался вам от другого человека, будь то рабочий аккаунт проекта, который передал коллега, или покупка на маркетплейсе цифровых товаров, исходите из того, что у прежнего владельца всё ещё может быть доступ. Ваша цель — стать единственным, кто может войти. Всегда используйте аккаунт в соответствии с условиями использования бренда.

Действуйте в таком порядке: смените пароль на новый уникальный, укажите резервную почту и телефон, которые принадлежат вам, удалите все аутентификаторы, ключи безопасности и доверенные устройства, которые добавляли не вы, затем включите 2FA со своим приложением и создайте новые резервные коды. В конце откройте список активных сеансов и завершите все, кроме своего.

На rStock полученные данные появляются на странице заказа в виде записи о доставке, привязанной к заказу, поэтому их можно скопировать оттуда прямо в менеджер паролей. Ваши деньги удерживаются и не переходят магазину сразу, а если полученный аккаунт не соответствует описанию, в течение ограниченного срока после доставки можно открыть спор. Первым отвечает магазин, а если договориться не удаётся, можно позвать модератора. Если вы защитите и проверите аккаунт сразу, то заметите возможную проблему, пока этот срок ещё не истёк.

Одна из самых частых причин, по которым 2FA не спасает, — подтверждение push-запроса, который вы не отправляли. Если запрос появился, когда вы никуда не входите, отклоните его и смените пароль: он уже у кого-то есть. То же касается любого, кто звонит или пишет с просьбой продиктовать код. Настоящим сервисам не нужно, чтобы вы кому-либо сообщали одноразовый код.

Ещё одна ошибка — защитить аккаунт с помощью 2FA, но оставить открытым старый слабый способ восстановления, например заброшенный почтовый ящик или номер телефона, которым вы больше не пользуетесь. Злоумышленники обходят самую крепкую дверь, если рядом не заперта более слабая, поэтому проверяйте способы восстановления каждый раз, когда меняете телефон или почтовый сервис.

И наконец, продумайте перенос кодов заранее, а не в тот день, когда у вас появится новый телефон. Прежде чем заменить или сбросить устройство, перенесите коды аутентификатора, убедитесь, что они работают на новом устройстве, и только потом стирайте данные на старом. Несколько минут подготовки могут сэкономить часы на восстановлении доступа.