Двухфакторная аутентификация: зачем нужна и как включить

Что такое двухфакторная аутентификация

Двухфакторная аутентификация (2FA) — это вход в аккаунт с подтверждением по двум разным признакам: что-то, что вы знаете (пароль), и что-то, что у вас есть или чем вы являетесь (код в приложении, физический ключ, отпечаток пальца). Если один фактор скомпрометирован — например, пароль оказался в очередной утечке базы данных, — второй фактор всё ещё защищает вход.

Почему одного пароля мало

Пароли крадут через фишинг, подбирают по словарям утёкших баз и переиспользуют между сервисами — если пароль от одного сайта совпадает с паролем от почты, взлом одного аккаунта тянет за собой остальные. Даже надёжный уникальный пароль, сгенерированный менеджером паролей, не защищает от того, что его введут на поддельной странице. Поэтому актуальные рекомендации по цифровой идентификации (NIST SP 800-63B) прямо указывают: пароль сам по себе не устойчив к фишингу, и для важных аккаунтов нужен дополнительный фактор — в идеале такой, который сложно перехватить удалённо.

Какие способы 2FA бывают

• SMS-код — самый простой вариант, но уязвим к перехвату через подмену SIM-карты (SIM swap) и к перевыпуску номера у оператора.
• Приложение-аутентификатор (TOTP) — генерирует одноразовый код каждые 30 секунд по алгоритму из общего секрета, без подключения к сети (Google Authenticator, Aegis, Microsoft Authenticator и подобные). Работает даже без интернета на телефоне.
• Push-подтверждение — сервис присылает уведомление «Это вы входите?» на уже привязанное устройство.
• Аппаратный ключ или passkey — самый устойчивый к фишингу вариант: ключ проверяет, что вы действительно на настоящем сайте сервиса, а не на его подделке.

Насколько это реально помогает

По данным собственных исследований Google и Microsoft, включение любого второго фактора — даже базового — блокирует подавляющее большинство автоматизированных попыток подбора и массового фишинга: атакующему боту просто нечем ответить на запрос кода. Против точечных, целевых атак эффект чуть скромнее, но приложение-аутентификатор или аппаратный ключ всё равно надёжнее одной SMS.

Как включить 2FA: пошагово

1. Зайдите в настройки безопасности аккаунта (обычно раздел «Безопасность» или «Вход и восстановление») в почте, мессенджере, банковском приложении.
2. Выберите способ подтверждения. Если есть выбор — предпочитайте приложение-аутентификатор или passkey вместо SMS.
3. Отсканируйте QR-код приложением-аутентификатором или подтвердите привязку устройства.
4. Сохраните резервные коды восстановления в надёжном месте — не в заметках телефона, который может потеряться вместе с кодами.
5. Проверьте вход с другого устройства или браузера, чтобы убедиться, что второй фактор действительно запрашивается.

Поскольку коды теперь фактически привязаны к телефону, имеет смысл заодно проверить общую защиту устройства — этому посвящён отдельный чек-лист безопасности Android.

Чек-лист после включения

• Резервные коды сохранены офлайн (бумага, менеджер паролей) — не только в галерее скриншотов.
• Настроен хотя бы один запасной способ входа на случай потери телефона.
• Пароль для аккаунта всё равно уникальный и надёжный — 2FA дополняет пароль, а не заменяет его; тему выбора инструмента для хранения паролей мы разбирали в материале про менеджеры паролей.
• Раз в несколько месяцев стоит проверять список активных сессий и подключённых устройств в настройках сервиса.

Если код или push-подтверждение приходится получать через общественный Wi-Fi — в кафе, отеле, аэропорту, — трафик на этом отрезке стоит дополнительно шифровать: подробнее об этом в статье о защите данных в публичных сетях. Как один из практичных инструментов для такого шифрования на телефоне и компьютере можно использовать HamikVPN — приложение для Android доступно на странице скачивания.