Двофакторна автентифікація: як захистити свої онлайн-акаунти від злому

Зламаний акаунт майже ніколи не виглядає як у кіно. Ніхто не сидить у темній кімнаті й не підбирає ваш пароль вручну. Все прозаїчніше: база даних якогось сервісу витікає в мережу, і зв'язка «пошта плюс пароль» розлітається по хакерських форумах. Якщо ви використовуєте один пароль на кількох сайтах, зловмиснику навіть старатися не треба — за нього все зробить скрипт. Саме тут двофакторна автентифікація перетворює легку здобич на невиправдано складну ціль.

Як працює другий фактор

Логіка проста. Перший фактор — те, що ви знаєте: пароль. Другий — те, що ви маєте: смартфон з одноразовим кодом чи фізичний ключ, або те, ким ви є: відбиток пальця. Щоб увійти, потрібні обидва. Це як подвійний замок на дверях: навіть якщо хтось знайде ключ від одного, без другого він так і залишиться на сходах.

На практиці це означає: пароль, що витік, сам по собі стає марним. Зловмисник вводить його — а сервіс просить код з вашого телефона. Кода немає, доступу немає. Абсолютна більшість атак масові й автоматизовані, тож замість того, щоб возитися з вашим другим фактором, бот просто переходить до наступної адреси зі списку. Ваш акаунт перестає бути легкою мішенню — і цього зазвичай достатньо.

Чотири методи 2FA: від слабшого до найсильнішого

• SMS-коди. Код приходить у повідомленні на телефон. Краще, ніж нічого, але це найслабший варіант: повідомлення можна перехопити, а номер — переоформити на себе через SIM-свопінг у салоні оператора.
• Додатки-автентифікатори. Google Authenticator, Microsoft Authenticator або Authy генерують коди, що змінюються кожні 30 секунд, прямо на пристрої. Працюють без інтернету і не залежать від мобільного оператора. Оптимальний вибір для більшості людей.
• Апаратні ключі безпеки. Фізичний пристрій на кшталт YubiKey, який вставляється в USB-порт або прикладається до телефона. Зламати його віддалено неможливо в принципі. Варіант для тих, хто захищає справді критичні дані — робочі системи, криптогаманці, адмінські доступи.
• Біометрія. Відбиток пальця або розпізнавання обличчя. Зручно як додатковий рівень на самому пристрої, але зазвичай працює в парі з одним із попередніх методів, а не замість них.

Якщо коротко — замінюйте SMS на додаток-автентифікатор скрізь, де сервіс це дозволяє. Різниця у зручності мінімальна: замість очікування повідомлення ви відкриваєте застосунок. А от різниця в захищеності цілком відчутна.

З чого почати: план на один вечір

Не намагайтеся захистити все й одразу — почніть з акаунтів, злам яких завдасть найбільшої шкоди. Пошта тут на першому місці: саме через неї відновлюються паролі до всього іншого. Хто контролює вашу поштову скриньку, той контролює все ваше цифрове життя.

• Увімкніть 2FA для основної пошти — опція живе в налаштуваннях безпеки профілю, зазвичай у розділі «Вхід» або «Захист акаунта».
• Далі — банківські застосунки та платіжні сервіси, якщо вони ще не змусили вас це зробити самі.
• Потім соцмережі та месенджери: викрадені сторінки використовують для шахрайства від вашого імені серед ваших же друзів.
• Наостанок — хмарні сховища, робочі акаунти та магазини з прив'язаними банківськими картками.

Другий фактор не скасовує базової гігієни: надійні паролі та менеджер паролів залишаються фундаментом, на який 2FA лише надбудовується. Те саме стосується даних: файли, які шкода втратити, розумно тримати в хмарному сховищі — і його акаунт закрити другим фактором у першу чергу.

Типові помилки, які зводять захист нанівець

Найпоширеніша — увімкнути 2FA і проігнорувати резервні коди. Телефон губиться або тоне, і людина залишається під дверима власного акаунта. Друга за популярністю помилка — вводити код на сторінці, посилання на яку прийшло в листі чи повідомленні: фішинговий сайт миттєво передасть його зловмиснику разом з паролем. Заходьте на важливі сервіси через закладки браузера або офіційний застосунок, а не через посилання з пошти.

Для підприємців ставки ще вищі: доступ до корпоративної пошти чи CRM — це доступ до клієнтів і грошей компанії. Один зламаний акаунт менеджера може коштувати місяців репутаційних втрат. Як захищати команду від подібних сценаріїв, ми детально розбирали в матеріалі про кібербезпеку малого бізнесу.

Чи не занадто це незручно?

Головне заперечення проти 2FA звучить так: «Мені що, тепер щоразу вводити код?» Ні. Більшість сервісів запитують другий фактор лише при вході з нового пристрою або браузера. На своєму ноутбуці й телефоні ви логінитеся як завжди. Додаткові п'ять секунд з'являються тільки тоді, коли хтось — ви або не ви — намагається зайти звідкись іще. Власне, саме в цей момент захист і працює.

Порахуймо: десять хвилин на налаштування проти тижнів на відновлення викраденого акаунта і пояснення друзям, чому «ви» просили в них гроші. Математика тут на вашому боці. Увімкніть другий фактор на пошті сьогодні ввечері, а решту сервісів закрийте протягом тижня.