SMS-код чи застосунок-автентифікатор: що надійніше для 2FA

Двофакторна автентифікація (2FA) давно стала стандартом захисту облікових записів — від пошти до банківських додатків. Найпоширеніший спосіб отримати другий фактор — SMS-код. Він зручний і зрозумілий, тому банки та сервіси й досі масово його пропонують. Але саме цей спосіб має найбільше вразливостей серед усіх варіантів 2FA. Розберімося, чому так, і які альтернативи справді захищають краще.

Чому SMS-код здається надійним, але не є таким

SMS-код прив'язаний до номера телефону, а не до пристрою чи облікового запису напряму. Це головна слабкість: якщо зловмисник отримає контроль над вашим номером, він отримає і всі коди підтвердження — навіть без доступу до вашого фізичного телефону.

Основні ризики SMS-автентифікації

SIM-swap (перевипуск SIM-картки). Зловмисники видають себе за вас і переконують оператора мобільного зв'язку перевипустити SIM-картку на новий пристрій, використовуючи вкрадені персональні дані або підроблені документи. Після цього всі SMS, включно з кодами 2FA, приходять їм, а не вам.

Перехоплення SMS через вразливості мереж. Технічні протоколи мобільного зв'язку, розроблені десятиліття тому, мають відомі слабкі місця, якими іноді користуються досвідчені зловмисники для перехоплення повідомлень без фізичного доступу до SIM-картки.

Фішинг у реальному часі. Шахраї створюють фальшиву сторінку входу, яка виглядає як справжній сервіс. Жертва вводить логін, пароль і код із SMS, а зловмисник миттєво використовує ці дані на справжньому сайті — код же має обмежений час дії, але кілька секунд йому цілком достатньо.

Соціальна інженерія. Часто найпростіший спосіб — просто зателефонувати жертві, представившись співробітником банку чи служби підтримки, і попросити «підтвердити код, який прийшов по SMS». Багато людей довіряють такому дзвінку, особливо якщо номер виглядає знайомим або підмінений.

Застосунки-автентифікатори: крок вперед

Застосунки-автентифікатори (наприклад, Google Authenticator, Microsoft Authenticator та подібні) генерують одноразові коди безпосередньо на вашому пристрої, без участі мобільної мережі. Код не передається через SMS, тож перехопити його на рівні оператора зв'язку неможливо, а SIM-swap стає марним — прив'язка йде до самого застосунку, а не до номера телефону.

Такий підхід усуває головний ризик SMS — залежність від мобільної мережі. Але він не захищає від фішингу повністю: якщо ви вручну вводите код на фальшивому сайті, зловмисник теоретично може встигти його використати. Тому важливо завжди перевіряти адресу сайту перед введенням будь-яких даних.

Passkeys — принципово інший підхід

Passkeys (ключі доступу) — це технологія, яка взагалі відмовляється від ідеї «коду, який можна вкрасти чи перехопити». Замість пароля й одноразового коду використовується криптографічна пара ключів: один зберігається на вашому пристрої (телефоні, комп'ютері) захищеним способом, інший — на сервері сервісу. Для входу достатньо підтвердити свою особу на пристрої — відбитком пальця, розпізнаванням обличчя або PIN-кодом пристрою.

Ключова перевага passkeys — їх неможливо переказати по телефону, ввести на фішинговому сайті чи перехопити в мережі, бо секретна частина ніколи не залишає пристрій і не передається у вигляді коду, який людина може «продиктувати» шахраю. Це фактично закриває цілий клас атак, що працюють проти SMS і навіть проти кодів з застосунків.

Що обрати на практиці

• Якщо сервіс підтримує passkeys — використовуйте їх як основний спосіб входу.
• Якщо passkeys ще недоступні, обирайте застосунок-автентифікатор замість SMS там, де це можливо.
• SMS-код лишайте як запасний варіант, а не основний, якщо іншого вибору немає.
• Ніколи не диктуйте код із SMS чи застосунку по телефону, навіть якщо співрозмовник називає себе співробітником банку чи підтримки — жодна легітимна служба не просить озвучити код.
• Перевіряйте адресу сайту перед введенням коду підтвердження — фішингові сторінки часто мають майже ідентичні, але не точні адреси.
• Увімкніть додатковий PIN-код або пароль на переносі SIM-картки у вашого оператора мобільного зв'язку, якщо така опція доступна.

Якщо ви підозрюєте, що SIM-картку чи код скомпрометовано

Насамперед зверніться до свого оператора мобільного зв'язку, щоб перевірити статус SIM-картки та за потреби заблокувати підозрілий перевипуск. Якщо йдеться про банківський рахунок — негайно зателефонуйте до банку за номером, вказаним на зворотній стороні картки чи в офіційному застосунку, а не за номером із підозрілого повідомлення. Змініть паролі до важливих облікових записів і, де можливо, перейдіть із SMS-коду на застосунок-автентифікатор або passkey. Про підозрілі дзвінки чи повідомлення, що імітують офіційні служби, варто повідомити відповідний національний орган захисту прав споживачів або з питань кіберзахисту.

Підсумок

SMS-код — краще, ніж нічого, але вже не найкращий варіант захисту в 2024 році. Застосунки-автентифікатори надійніші, бо не залежать від мобільної мережі, а passkeys ідуть ще далі, повністю усуваючи ризик перехоплення чи виманювання коду. Перехід на сучасніші методи 2FA — це один із найпростіших і найефективніших кроків, який кожен може зробити для захисту своїх облікових записів вже сьогодні.