Почему двухфакторная аутентификация не всегда спасает аккаунт от взлома

Сегодня практически каждый крупный сервис предлагает включить двухфакторную аутентификацию. После ввода пароля пользователю необходимо подтвердить вход ещё одним способом: кодом из SMS, приложения-аутентификатора, push-уведомлением или другим методом.

Это действительно значительно повышает безопасность аккаунта.

Но есть распространённая ошибка: после включения двухфакторной защиты многие начинают считать, что теперь аккаунт невозможно взломать.

На самом деле 2FA не является абсолютной защитой. При определённых сценариях злоумышленник способен обойти даже второй фактор.

Разберём, как это происходит и что можно сделать, чтобы защитить свои аккаунты лучше.

Как работает двухфакторная защита

Обычный вход в аккаунт требует только одного элемента — пароля.

Если злоумышленник каким-то образом его узнал, он может попытаться авторизоваться.

При включённой двухфакторной аутентификации одного пароля уже недостаточно.

Сервис дополнительно попросит, например:

• код из SMS;
• код из приложения-аутентификатора;
• подтверждение через приложение;
• биометрию;
• физический ключ безопасности;
• passkey.

Получается два независимых этапа проверки.

Даже если пароль украден, злоумышленнику всё равно потребуется второй фактор.

Именно поэтому двухфакторную аутентификацию обязательно стоит включать везде, где это возможно.

Однако существуют способы обойти даже такую защиту.

Опасность №1. Вы сами сообщаете код мошеннику

Один из самых распространённых вариантов — социальная инженерия.

Злоумышленнику вообще не обязательно взламывать смартфон или перехватывать SMS.

Гораздо проще заставить владельца аккаунта самостоятельно сообщить код.

Например, вам звонит человек и представляется:

• сотрудником банка;
• технической поддержкой;
• сотрудником государственного сервиса;
• оператором связи;
• представителем маркетплейса;
• службой безопасности.

Далее под различными предлогами он просит назвать пришедший код.

Причины могут придумывать самые разные:

«Подтвердите отмену операции»

«Назовите код для защиты аккаунта»

«На ваше имя оформляют кредит»

«Нужно отменить подозрительный вход»

«Продиктуйте код, чтобы сохранить номер»

На самом деле в этот момент мошенник сам пытается войти в ваш настоящий аккаунт.

Вы сообщаете ему код — и фактически самостоятельно подтверждаете авторизацию.

Простое правило

Код подтверждения предназначен только для ввода на том сайте или в том приложении, где вы сами начали авторизацию.

Его никогда не нужно:

• диктовать по телефону;
• отправлять в чате;
• пересылать в мессенджере;
• сообщать сотруднику поддержки;
• вводить по просьбе другого человека.

Настоящей службе поддержки ваш одноразовый код для входа не нужен.

Опасность №2. Фишинговый сайт может перехватить код

Двухфакторная авторизация не всегда спасает и от фишинга.

Допустим, вам приходит сообщение:

«Обнаружен подозрительный вход. Срочно подтвердите аккаунт по ссылке»

Вы переходите по ней.

Открывается сайт, который практически полностью копирует настоящий сервис.

Вы вводите логин и пароль.

Мошеннический сайт мгновенно передаёт их настоящему сервису.

Настоящий сервис отправляет вам код двухфакторной авторизации.

Поддельный сайт тоже показывает поле:

«Введите код из SMS»

Вы вводите код.

Мошенники тут же передают его настоящему сайту и получают доступ к аккаунту.

Вся операция может занять несколько секунд.

С точки зрения пользователя всё выглядит совершенно нормально: сначала пароль, затем код.

Только вводятся они не на настоящем сайте.

Как защититься от такого фишинга

Лучше не переходить к важным сервисам по ссылкам из SMS, электронной почты и мессенджеров.

Если получили сообщение о проблеме с аккаунтом:

1. Не нажимайте ссылку.
2. Самостоятельно откройте официальное приложение.
3. Либо самостоятельно введите адрес сайта в браузере.
4. Проверьте уведомления непосредственно внутри аккаунта.

Особенно внимательно относитесь к страницам входа в:

• почту;
• банковские приложения;
• Госуслуги;
• социальные сети;
• облачные сервисы;
• аккаунты Google, Apple и Microsoft.

Опасность №3. Вредоносное приложение на смартфоне

Другой сценарий — компрометация самого устройства.

Если на смартфон установлено вредоносное приложение и ему предоставлены серьёзные разрешения, оно потенциально может получить доступ к информации, отображаемой на устройстве.

Особенно опасными являются приложения, которым без необходимости предоставлены права:

• чтения уведомлений;
• специальных возможностей Android;
• демонстрации экрана;
• управления устройством;
• установки других приложений.

Именно поэтому установка APK из неизвестных источников требует осторожности.

Особенно подозрительно, если обычное приложение внезапно просит предоставить ему доступ к специальным возможностям Android.

Опасность №4. SMS — не самый надёжный второй фактор

Получение кода через SMS всё равно намного безопаснее, чем использование одного пароля.

Но у SMS есть свои недостатки.

Один из возможных сценариев — SIM-swap.

Злоумышленник пытается убедить оператора связи перевыпустить SIM-карту жертвы или перенести номер на другое устройство.

Если это удаётся, SMS с кодами начинают приходить уже мошеннику.

Существуют и другие способы атак на мобильную инфраструктуру.

Поэтому для особо важных аккаунтов лучше использовать более современные способы подтверждения.

Приложение-аутентификатор лучше SMS

Вместо SMS многие сервисы позволяют использовать специальные приложения:

• Google Authenticator;
• Microsoft Authenticator;
• другие совместимые TOTP-аутентификаторы.

Они генерируют одноразовый код непосредственно на устройстве.

Для появления такого кода не требуется мобильная сеть, а перехватить его через обычную атаку на SIM-карту уже не получится.

Но здесь есть важный нюанс.

Код из приложения-аутентификатора всё ещё можно украсть с помощью фишинга.

Если пользователь введёт его на поддельном сайте, мошенник способен сразу передать код настоящему сервису.

Поэтому такой способ безопаснее SMS, но тоже не идеален.

Опасность №5. «Подтвердить вход» тоже можно нажать случайно

Некоторые сервисы вместо кода показывают на смартфоне push-уведомление:

«Вы пытаетесь войти в аккаунт?»

и две кнопки:

Да / Нет

Злоумышленники могут многократно отправлять такие запросы в надежде, что пользователь устанет от уведомлений и случайно нажмёт «Да».

Такую атаку иногда называют MFA fatigue — «усталость от подтверждений».

Если внезапно начали массово появляться запросы на вход, которые вы не инициировали, не подтверждайте их.

Это веская причина сразу поменять пароль.

Самая надёжная защита — когда код вообще не нужно вводить

Главная проблема паролей и одноразовых кодов заключается в том, что пользователь может добровольно передать их мошеннику.

Современные методы аутентификации решают эту проблему иначе.

Например:

• Passkeys;
• аппаратные ключи безопасности;
• FIDO2/WebAuthn.

Такая авторизация криптографически привязана к настоящему сайту.

Если пользователь случайно попадёт на поддельную страницу, ключ просто не сможет подтвердить вход для другого домена.

Именно поэтому такой способ значительно лучше защищает от фишинга.

Если важный сервис предлагает passkey, стоит рассмотреть его использование.

А можно ли просто угадать шестизначный код?

Практически нет.

Если код содержит шесть цифр, существует:

1 000 000 возможных комбинаций.

Допустим, сервис разрешает только три попытки.

Вероятность случайно угадать действующий код за три попытки составляет:

3 из 1 000 000

или примерно:

0,0003%

При этом современные сервисы дополнительно:

• ограничивают количество попыток;
• блокируют повторные запросы;
• анализируют IP-адрес;
• проверяют устройство;
• отслеживают подозрительную активность.

Поэтому злоумышленники практически никогда не пытаются «подбирать» код.

Гораздо эффективнее украсть его с помощью фишинга или убедить владельца сообщить его самостоятельно.

Не забывайте про резервные способы восстановления

Есть ещё одна важная деталь, о которой часто забывают.

Допустим, вы включили очень надёжную двухфакторную защиту.

Но сервис позволяет восстановить аккаунт через старую электронную почту или телефонный номер.

Тогда злоумышленник может атаковать именно систему восстановления доступа.

Поэтому обязательно проверьте:

• актуален ли резервный номер телефона;
• защищена ли резервная почта;
• нет ли неизвестных устройств;
• сохранены ли резервные коды;
• удалены ли старые способы восстановления.

Особенно важно хорошо защитить основной почтовый ящик.

Получив доступ к электронной почте, злоумышленник часто может восстановить пароли от десятков других сервисов.

Какая двухфакторная защита лучше

Если сервис предлагает несколько вариантов, условно их можно расположить следующим образом.

Лучше всего

Passkey или аппаратный FIDO-ключ.

Такой способ значительно лучше защищён от фишинга.

Хороший вариант

Приложение-аутентификатор.

Коды не зависят от SIM-карты, но их всё равно нельзя вводить на подозрительных сайтах.

Тоже неплохо

Подтверждение входа через приложение.

Желательно, чтобы сервис показывал информацию о входе или требовал совпадения числа на двух устройствах.

Если других вариантов нет

SMS-код.

Это всё равно намного лучше, чем полностью отключённая двухфакторная защита.

Поэтому отказываться от 2FA только потому, что сервис предлагает SMS, точно не стоит.

Как действительно защитить аккаунт

Одной двухфакторной авторизации недостаточно.

Лучший результат получается, когда одновременно используются несколько мер:

• уникальный пароль для каждого важного сервиса;
• менеджер паролей;
• двухфакторная аутентификация;
• passkey там, где он доступен;
• внимательная проверка адреса сайта;
• защита основной электронной почты;
• блокировка экрана смартфона;
• своевременное обновление системы;
• осторожность при установке неизвестных приложений.

И самое главное — никогда не сообщайте посторонним коды подтверждения.

Итог

Двухфакторная аутентификация действительно способна остановить огромное количество попыток взлома и должна быть включена на всех важных аккаунтах.

Но 2FA — это дополнительный уровень защиты, а не волшебный щит.

Мошенники могут попытаться выманить код, создать копию настоящего сайта, заставить пользователя подтвердить чужой вход или атаковать устройство и способы восстановления аккаунта.

Поэтому наиболее безопасный вариант сегодня — сочетать двухфакторную защиту с внимательностью, использовать уникальные пароли и по возможности переходить на passkeys или аппаратные ключи безопасности.

А главное правило остаётся предельно простым:

если вы сами не начинали вход в аккаунт — никакие коды и запросы подтверждать нельзя.