Долгое время считалось, что двухфакторная аутентификация (или MFA) — это надежная защита. Если мошенник украдет пароль, без кода из SMS или push-уведомления он не сможет войти в аккаунт. Однако в последнее время злоумышленники научились обходить эту защиту. Причем им не нужно взламывать сложные шифры — они обманывают саму систему и пользователя.
Как мошенники обходят защиту
Самый популярный способ сегодня называется «человек посередине». Злоумышленник создает сайт, который выглядит точь-в-точь как настоящий (например, страница входа в почту или банк). Вы вводите пароль и код из SMS на поддельной странице, а мошенник в этот момент незаметно передает ваши данные настоящему сервису. В итоге вы подтверждаете вход, но доступ к аккаунту получает преступник. Ему даже не нужен ваш пароль — он просто «заходит» в уже открытую сессию.
Второй способ — «бомбардировка» запросами. Мошенники, у которых уже есть ваш пароль, начинают десятки раз отправлять запрос на вход. Телефон непрерывно вибрирует от push-уведомлений. Вы устаете, думаете, что это сбой, и нажимаете «Подтвердить» — и преступник получает доступ.
Третий способ — мошенники меняют настройки безопасности. Если они уже попали в аккаунт, то могут привязать к нему свой телефон и получать все коды.
Почему коды из SMS — не панацея
Коды из SMS и push-уведомления уязвимы, потому что их можно перехватить или выманить. Любой код, который вы вводите вручную на незнакомом сайте, может попасть к злоумышленнику. Поэтому специалисты по безопасности уже давно говорят о том, что обычные SMS-коды устарели.
Что делать? Простые правила защиты
-
Переходите на passkeys или аппаратные ключи. Это современная замена паролям. Вместо ввода кода вы используете отпечаток пальца, Face ID или физический ключ (флешку). Эти технологии устроены так, что поддельный сайт не сможет украсть ваши данные, даже если вы попадете на него.
-
Включите сопоставление номеров. В настройках приложения-аутентификатора включите функцию, которая требует ввести число, отображаемое на экране входа. Это защитит от «бомбардировки» уведомлениями.
-
Проверяйте адреса сайтов. Прежде чем вводить пароль и код, внимательно посмотрите на адресную строку. Мошенники часто используют похожие названия с ошибками.
-
Не подтверждайте вход, если вы его не инициировали. Если вам приходит push-уведомление о входе, а вы сами не пытаетесь войти в аккаунт — не нажимайте «Подтвердить». Лучше сразу сменить пароль.
-
Регулярно проверяйте активные сессии. Зайдите в настройки безопасности и посмотрите, с каких устройств выполнен вход. Если видите незнакомое устройство — завершите сессию.
Главное
Двухфакторная аутентификация по-прежнему важна, но она уже не является абсолютной защитой. Чтобы обезопасить свои аккаунты, переходите на современные методы (passkeys, аппаратные ключи), внимательно относитесь к запросам на вход и не вводите коды на подозрительных сайтах.
Кирилл Чечков
