Логин и пароль утекают регулярно: старые базы форумов, скомпрометированные сервисы, сохранённые в браузере данные, письма от «службы поддержки». Смысл второго фактора простой: сделать так, чтобы одного украденного пароля было недостаточно. Ниже - как это работает на уровне механики, какие виды подтверждения существуют, чем логика банка отличается от логики почты и в каких сценариях защита не выдерживает.

Палец касается сканера отпечатка на смартфоне, рядом кружка на дубовом столе
Отпечаток пальца срабатывает за секунду - и это уже второй фактор

Фактор, два фактора и одна частая путаница

Фактор - это категория доказательства. Их три:

  • то, что вы знаете: пароль, PIN, ответ на секретный вопрос;
  • то, что у вас есть: телефон, SIM-карта, аппаратный ключ, приложение-аутентификатор;
  • то, что вы есть: отпечаток пальца, лицо, голос, рисунок вен.

Двухфакторная аутентификация (2FA) - вход с доказательствами из двух разных категорий. Пароль плюс секретный вопрос - это один фактор, применённый дважды. Пароль плюс код из приложения на телефоне - уже два.

Пароль - ключ от двери. Второй фактор - цепочка изнутри: даже с ключом войти не получится, пока кто-то не подтвердит, что это действительно вы.

Рядом стоит термин «многофакторная аутентификация» (MFA): то же самое, но факторов может быть три и больше. В обычной речи слова используют как синонимы, и это не ошибка.

Чёрный USB-ключ безопасности лежит на дубовом столе рядом с ноутбуком
Аппаратный ключ хранит секрет отдельно от устройства

Пять видов второго фактора и их слабые места

Способы различаются не удобством, а тем, что именно придётся украсть злоумышленнику.

  • SMS-код. Сервер отправляет 4-8 цифр на привязанный номер. Работает на любом телефоне, устанавливать ничего не нужно. Слабые места: код идёт по сети открытым текстом, номер можно перенести на чужую SIM через оператора, а на заражённом телефоне сообщения читает вредоносное ПО.
  • TOTP-коды (time-based one-time password, стандарт RFC 6238). Код считает приложение на самом устройстве: Google Authenticator, Яндекс Ключ, Authy, Aegis или встроенный генератор менеджера паролей. Секрет не гуляет по сети, зависимость от оператора нулевая, код меняется каждые 30 секунд. Слабые места: при смене телефона секрет нужно перенести, часы должны быть синхронизированы, а потеря устройства без резервных кодов означает восстановление через поддержку.
  • Push-подтверждение. Приложение показывает запрос с данными об устройстве и месте попытки входа. Один тап, вводить цифры не нужно. Слабые места: нужен интернет, а сам механизм уязвим к «усталости от подтверждений» - потоку запросов, среди которых человек машинально нажимает «да».
  • Аппаратный ключ по стандарту FIDO2/WebAuthn - брелок с USB-C или NFC. Ключ проверяет домен сайта и не отдаёт секрет на поддельную страницу. Слабые места: цена, необходимость носить с собой, поддержка не во всех сервисах, а запасной ключ обязателен.
  • Passkeys (ключи доступа). Тот же FIDO2, но секрет хранится в защищённом хранилище платформы или на самом устройстве, а вход выполняется биометрией вместо пароля. Слабые места: привязка к экосистеме и восстановление доступа через провайдера, если все устройства потеряны.

Отдельно про код на e-mail. Это неполноценный второй фактор: почта обычно и так используется для сброса пароля, поэтому защита получается круговой.

Короткая шпаргалка по выбору

  • Максимум защиты: аппаратный ключ или passkey.
  • Максимум удобства: push в приложении.
  • Максимум совместимости: TOTP.
  • Минимум усилий: SMS, но её разумно держать резервным способом, а не основным.
Клиент и сотрудник банка смотрят в планшет у консультационного стола
В отделении подтверждение операции часто проходит прямо у окна консультанта

Как это устроено в банке

В банке второй фактор защищает не столько вход в личный кабинет, сколько конкретную операцию. Логика такая: пусть у мошенника есть логин и пароль, но платёж не уйдёт без подтверждения, которого у него нет.

Типовые схемы, которые применяют банки:

  • SMS-код на привязанный номер. Просто и совместимо с любым телефоном, но заметно уступает другим способам из-за переноса номера и социальной инженерии.
  • Push в мобильном приложении банка. Подтверждение приходит в защищённый канал приложения и обычно содержит контекст операции: сумму и получателя. Незнакомая операция в таком запросе - повод не подтверждать, а звонить в банк по номеру с обратной стороны карты.
  • Биометрия в приложении. Face ID или отпечаток разблокируют доступ к ключу внутри приложения. Это локальная защита от того, кто взял телефон в руки, а не замена серверной проверке.
  • Подтверждение интернет-платежа (3-D Secure). Магазин не получит деньги без согласия владельца: код или пуш от банка. Если платёж не ваш, одного отказа мало: карту стоит сразу заблокировать, потому что попытки повторятся.

Практический вывод простой: чем ближе подтверждение к защищённому каналу приложения и чем больше контекста оно показывает, тем меньше шансов у мошенника. Поэтому push в приложении предпочтительнее SMS-кода, а биометрия полезна как дополнительный локальный замок, а не как единственный барьер.

Чего банк не делает никогда: не просит продиктовать код из SMS, не просит установить программу удалённого доступа, не предлагает «перевести деньги на безопасный счёт» и не просит отключить подтверждение операций. Любая такая просьба - признак мошенничества, каким бы ни был определившийся номер.

Женщина вечером за столом с ноутбуком и смартфоном при тёплой лампе
Даже с двумя факторами стоит проверять, куда именно вы вводите код

Где второй фактор не спасает

Полезно знать не только сильные стороны схемы, но и типовые дыры.

  1. Фишинг с прокси. Поддельный сайт показывает реальную страницу входа, вы вводите пароль и код, а злоумышленник в этот момент подставляет их на настоящий сайт. Одноразовый код тратится на его вход. SMS и TOTP от этого не защищают, а вот FIDO2/WebAuthn защищает: ключ сверяет домен и на чужой сайт секрет не отдаёт.
  2. Перенос номера на чужую SIM. Все SMS начинают приходить мошеннику. Поэтому TOTP или push в приложении банка надёжнее, а PIN и пароль на услуги оператора стоит держать отдельными от остальных.
  3. Вредоносное ПО с доступом к SMS и уведомлениям. Троян на телефоне читает коды и пересылает их. Профилактика: не ставить APK из мессенджеров и с сайтов, не выдавать сторонним приложениям доступ к SMS и специальным возможностям.
  4. Усталость от подтверждений. Мошенник знает пароль и десятками шлёт push-запросы, надеясь, что человек нажмёт «подтвердить». Запрос, который вы не инициировали, - не сбой приложения, а попытка входа. Нажатие равно передаче доступа.
  5. Дыра в восстановлении доступа. Второй фактор бессилен, если к почте для сброса пароля привязан старый номер или адрес, к которому у вас нет доступа. Резервные контакты стоит перепроверять, а не вспоминать о них в момент проблемы.

Как включить и не потерять доступ

Порядок действий, который экономит нервы в будущем:

  1. Начните с главного: почта, банк, аккаунт на госуслугах, менеджер паролей, облако с документами. Именно через почту восстанавливают всё остальное.
  2. Выберите метод. Если сервис поддерживает TOTP, ставьте TOTP: приложение Google Authenticator, Яндекс Ключ, Authy, Aegis или генератор внутри менеджера паролей.
  3. Сразу сохраните резервные коды. Это одноразовые строки, которые выдаёт сервис. Распечатать и убрать в ящик или положить в менеджер паролей, но не в заметки мессенджера и не в галерею скриншотов.
  4. Добавьте второй способ входа: второе устройство с тем же TOTP-секретом, резервную почту или аппаратный ключ как запасной.
  5. Обновите контактные данные. Актуальный номер и резервный адрес - часть схемы восстановления, а не формальность в профиле.
  6. Проверьте себя через неделю: войдите с нового устройства и убедитесь, что второй фактор срабатывает, а резервный код принимается.

Что выбрать под свою задачу

  • Обычный набор аккаунтов. TOTP в приложении плюс резервные коды, SMS оставить как запасной вариант.
  • Деньги и платежи. Push или подтверждение в приложении банка, отдельный номер для банковских уведомлений, биометрия на телефоне.
  • Высокий риск. Публичная деятельность, администрирование серверов, доступ к чужим данным: два аппаратных ключа FIDO2, один из них хранится отдельно.
  • Рабочий аккаунт. То, что требует политика безопасности компании, плюс личный резервный способ входа, о котором знаете только вы.

Если делать что-то одно, начните с почты: через неё восстанавливают пароли от всего остального. Один включённый второй фактор на почте закрывает больше сценариев атак, чем десять включённых на второстепенных форумах.

Вопросы и ответы

Что такое двухфакторная аутентификация простыми словами?

Это вход, при котором нужно доказать свою личность двумя разными способами: паролем (то, что вы знаете) и кодом или подтверждением на устройстве (то, что у вас есть). Одного украденного пароля в такой схеме недостаточно.

Чем 2FA отличается от двухшаговой проверки?

Тем, что шаги должны относиться к разным категориям. Пароль плюс секретный вопрос - один фактор, использованный дважды. Пароль плюс код из приложения, push или аппаратный ключ - настоящие два фактора.

Зачем второй фактор, если пароль длинный и уникальный?

Пароль всё равно можно получить через утечку базы сайта, фишинг или перебор. Второй фактор не даёт войти даже с правильным паролем. Плюс многие сервисы уведомляют о попытках входа, и это заметно раньше, чем реальный ущерб.

Как двухфакторная аутентификация работает в банке?

Банк подтверждает не вход, а операцию: перевод, оплату, смену данных. Способы те же - SMS-код, push в приложении, биометрия, подтверждение интернет-платежа. Предпочтительнее push в приложении: он приходит в защищённый канал и показывает сумму и получателя.

Что делать, если потерял телефон с кодами?

Использовать резервные коды, которые сервис выдал при включении второго фактора. Если их нет, придётся проходить восстановление через поддержку: заранее подготовленные резервные адрес, номер и второй способ входа сильно упрощают процедуру.

Безопасен ли второй фактор по SMS?

SMS-код лучше, чем ничего, но слабее TOTP, push и аппаратного ключа. Он уязвим к переносу номера на чужую SIM и к вредоносному ПО на телефоне. Разумный вариант: TOTP или push как основной способ, SMS как резервный.