Двухфакторная аутентификация через SMS: почему это иллюзия защиты

Поэтому двухфакторная аутентификация через SMS снижает часть рисков, но оставляет вполне рабочие лазейки.

Я бы не называл этот способ бесполезным: для аккаунта без дополнительной защиты он лучше, чем один пароль. Проблема начинается, когда SMS считают надёжным щитом от угона. Национальный институт стандартов и технологий США относит аутентификацию через телефонную сеть к ограниченным методам, а CISA рекомендует по возможности выбирать фишинг-устойчивые варианты. Перевод с ведомственного на человеческий: если сервис предлагает что-то крепче SMS, есть смысл нажать именно туда.

Почему SMS-код не равен надёжной защите

Двухфакторная аутентификация, или 2FA, требует для входа два подтверждения. Обычно первое — пароль, второе — код из сообщения. Логика понятная: украсть пароль уже недостаточно, нужен ещё и доступ к телефону.

Но здесь есть подмена понятий. Код приходит на номер, а не в защищённый канал, который принадлежит только владельцу аккаунта. Номером можно лишиться контроля, сообщение можно выманить, а сама телефонная сеть не была создана как система защиты от мошенников. SMS добавляет препятствие, но не делает вход неуязвимым.

NIST в редакции SP 800-63B-4 обозначает проверку через PSTN, то есть телефонную сеть, как ограниченный метод аутентификации. Среди признаков риска названы смена SIM-карты или устройства, перенос номера и другое необычное поведение. Системе, отправляющей код, рекомендуется учитывать такие сигналы. Это не запрет на SMS-коды и не утверждение, что каждый такой вход опасен. Скорее признание очевидного: телефонный номер может оказаться под чужим контролем, а сервису стоит замечать подозрительные изменения.

SMS-код подтверждает доступ к номеру в конкретный момент. Он не доказывает, что номер всё ещё контролирует его законный владелец.

Вопрос безопасности кодов подтверждения поэтому не сводится к длине сообщения или скорости его доставки. Критично то, кто контролирует номер и может ли злоумышленник убедить пользователя отдать код. Ни то ни другое SMS не решает.

SIM-свопинг: когда номер переезжает к мошеннику

SIM-свопинг — это перенос номера на SIM-карту или устройство, контролируемые злоумышленником. Если перенос прошёл успешно, SMS и звонки начинают приходить ему. В том числе коды, которыми подтверждают вход или восстановление доступа к аккаунту.

FTC предупреждала об этом сценарии ещё в 2019 году и отдельно отмечала, что SMS-проверка может не остановить SIM-своп. Риск здесь не в том, что кто-то обязательно перехватит любое сообщение по дороге. Сценарий проще: мошенник добивается контроля над номером, после чего легитимные коды приходят уже не владельцу.

Для пользователя это может выглядеть как внезапный отвал сети. Телефон перестаёт принимать звонки и сообщения, а в это время злоумышленник пытается войти в почту, соцсеть или финансовый сервис. Если номер используется для сброса пароля, последствия могут выйти далеко за пределы одного аккаунта: почта часто служит ключом к восстановлению доступа к другим сервисам.

Угон номера особенно неприятен тем, что пользователь может заметить проблему уже после начала атаки. Пока связи нет, он не получает предупреждения и не может подтвердить вход. Оператор, в свою очередь, может иметь процедуры проверки переноса номера, но наличие процедуры не превращает SMS в фишинг-устойчивую аутентификацию.

Практическая защита аккаунта от угона номера складывается из нескольких решений. Установите у оператора доступные ограничения на перенос номера или изменения учётной записи, если такие настройки предусмотрены. Защитите личный кабинет оператора отдельным сильным паролем и способом входа, не зависящим от SMS. Для важных аккаунтов уберите номер из восстановления, если сервис позволяет использовать более надёжный вариант. И заранее сохраните резервные коды или настройте второй способ входа: иначе при потере SIM можно лишиться доступа самому.

Это не делает угон номера невозможным. Но снижает вероятность того, что один захваченный телефонный номер откроет злоумышленнику всю цифровую дверь.

Фишинг: код отдаёт сам пользователь

Перехват SMS-сообщений злоумышленниками часто представляют как сложную техническую операцию. На практике есть способ дешевле и удобнее: попросить код у самого человека. Поддельная страница входа, звонок якобы из поддержки, сообщение о срочной блокировке аккаунта — сценарии меняются, просьба остаётся той же. Введите пароль и код подтверждения.

Если жертва набирает данные на поддельной странице, мошенник может использовать их почти сразу. Код короткоживущий, но это не всегда помогает: атака идёт в реальном времени. Пользователь вводит цифры, злоумышленник переносит их в настоящий сервис. Второй фактор сработал, только помог он не тому.

CISA относит SMS- и голосовую MFA к вариантам, уязвимым для фишинга. В том же списке рисков упомянуты SIM-своп и атаки через SS7 — инфраструктуру сигнализации телефонных сетей. Это не повод считать, что обычный пользователь ежедневно сталкивается со всеми этими сценариями. Это повод не продавать SMS как защиту от фишинга: код можно украсть не взламывая телефон и не перехватывая радиосигнал.

Правила гигиены тут простые, но полезные:

• Не сообщайте код человеку, который сам вам позвонил или написал, даже если он представился поддержкой. Настоящему сотруднику не нужен одноразовый код для проверки личности.
• Не вводите код на странице, открытой по ссылке из неожиданного сообщения. Зайдите в сервис через приложение или набрав адрес самостоятельно.
• Отнеситесь к коду, которого вы не запрашивали, как к сигналу тревоги. Не пересылайте его и не подтверждайте вход, если сервис прислал запрос на одобрение.
• Если вы уже ввели пароль и код на подозрительной странице, смените пароль через официальный сайт или приложение и проверьте активные сеансы и настройки восстановления.

Переход на приложение-аутентификатор тоже не отменяет здравый смысл. Коды из приложений могут быть украдены фишингом, предупреждает CISA. Если вы вводите их на поддельном сайте, человеческий фактор остаётся при деле. Сменился канал доставки, а не привычка доверять убедительной картинке.

Что предлагают вместо SMS

Лучший вариант зависит от того, что поддерживает конкретный сервис. Где-то доступны ключи безопасности, где-то вход по встроенному механизму на основе FIDO/WebAuthn, а где-то выбор скромнее. Универсального списка методов для всех аккаунтов нет, поэтому стоит открыть настройки безопасности важных сервисов и посмотреть, что предлагают именно они.

FIDO и ключи безопасности

CISA рекомендует переходить с SMS-MFA на FIDO-аутентификацию. В материалах ведомства FIDO/WebAuthn и аутентификация на основе PKI отнесены к фишинг-устойчивым методам. В сравнении CISA для них указано, что угрозы SIM-свопа и SS7 неприменимы.

Механика здесь отличается от отправки кода. При обычном фишинге человек может ввести одноразовую комбинацию на чужом сайте. FIDO/WebAuthn устроен так, чтобы подтверждение было привязано к подлинному домену сервиса. Поэтому поддельная страница не получает подходящее подтверждение для настоящего сайта.

Ключ безопасности может быть отдельным физическим устройством. В некоторых сервисах вместо него используется встроенная поддержка на смартфоне или компьютере. С точки зрения пользователя это часто выглядит как подтверждение входа на доверенном устройстве, а не как ручной ввод цифр.

Есть бытовая сторона: ключ можно потерять, а новый метод входа надо сначала настроить. Поэтому я советую не ограничиваться одной точкой доступа. Если сервис разрешает добавить запасной ключ или другой надёжный способ входа, сделайте это заранее. Иначе хорошая защита внезапно станет хорошей защитой от самого владельца аккаунта.

Приложение-аутентификатор как промежуточный шаг

Если FIDO или ключ безопасности недоступны, приложение-аутентификатор обычно разумнее SMS для важных аккаунтов. Оно генерирует коды на устройстве, и для получения очередной комбинации не требуется, чтобы телефонная сеть доставила сообщение.

Однако это не магический щит. CISA отдельно указывает, что коды из приложений могут оставаться уязвимыми для фишинга. Если сайт просит ввести код, а адрес поддельный, код всё равно можно отдать мошеннику. Приложение устраняет зависимость от номера и доставки SMS, но не исправляет привычку вводить данные куда попало.

Для менее значимых аккаунтов CISA рассматривает коды из приложений-аутентификаторов как альтернативу SMS. Для почты, облачного хранилища и других сервисов, через которые можно восстановить доступ к остальным аккаунтам, я бы сначала искал FIDO/WebAuthn или аппаратный ключ. Почта особенно важна: если её захватить, сброс пароля в других сервисах часто превращается в формальность.

Как перенастроить защиту без цифрового самоотречения

Менять все способы входа разом необязательно. Начните с аккаунтов, которые открывают доступ к другим: основной почты, менеджера паролей, облака и учётной записи магазина приложений. Затем переходите к социальным сетям и остальным сервисам.

Для каждого аккаунта полезно пройти короткую последовательность:

1. Откройте настройки безопасности напрямую через приложение или вручную набранный адрес.

2. Посмотрите, поддерживает ли сервис FIDO/WebAuthn, ключ безопасности или встроенный фишинг-устойчивый способ входа.

3. Настройте новый метод и проверьте, что он работает, прежде чем отключать старый.

4. Сохраните резервные коды в защищённом месте, отдельно от аккаунта, для восстановления которого они нужны.

5. Проверьте номер телефона и адреса восстановления. Удалите устаревшие контакты, которыми уже не пользуетесь.

6. Завершите незнакомые активные сеансы и смените пароль, если есть признаки подозрительного входа.

Если сервис предлагает только SMS, оставьте двухфакторную проверку включённой. Не надо снимать уже существующий барьер лишь потому, что он не идеален. Но воспринимайте его как дополнительную задержку для атакующего, а не как гарантию. Поставьте уникальный пароль, защитите сам личный кабинет оператора и не передавайте коды никому.

Хорошая защита начинается с метода входа, который не зависит от номера и не позволяет поддельной странице просто переписать ваш код.

Двухфакторная аутентификация через SMS снижает риск по сравнению с одним паролем, но её ограничения известны: фишинг, угон номера, уязвимости телефонной сети. Это не повод паниковать при каждом сообщении от банка или оператора. Это повод перестать считать SMS-код последним словом в безопасности.

Если сервис поддерживает FIDO/WebAuthn, выбирайте его. Если нет, приложение-аутентификатор обычно станет практичным шагом в сторону от зависимости от SMS. А сам код, каким бы способом он ни пришёл, оставляйте при себе: тот, кто просит его продиктовать, уже пытается сделать его своим.