Автор: Александр Д.
08.09.2026 · 6 МИН ЧТЕНИЯ
ОБНОВЛЕНО

Двухфакторная аутентификация (второй ключ помимо пароля), она же 2FA, добавляет второй шаг после пароля: код, подтверждение на телефоне или физический ключ.

Даже если пароль утёк, без второго фактора войти нельзя. Но способы неравноценны: код по SMS перехватывается через перевыпуск SIM-карты и фишинг, коды из приложения-генератора устойчивы к перевыпуску, но не к фишингу, а аппаратный ключ (FIDO2/passkey) фишингу не поддаётся вообще. Правило простое: включите любую 2FA сегодня, а при первой возможности перейдите с SMS на приложение или ключ.

Коротко:

  • Включите 2FA сегодня хотя бы по SMS, а при первой возможности перейдите на приложение-генератор кодов или аппаратный ключ.
  • Код по SMS перехватывают через перевыпуск SIM-карты и фишинг, код из приложения устойчив к перевыпуску, но не к фишингу, а аппаратный ключ или passkey фишингу не поддаётся.
  • Начните с почты, через которую сбрасываются пароли от всего остального, и сохраните резервные коды, чтобы потеря телефона не стоила аккаунта.
К ЧЕМУ ПРИВЯЗАН ВТОРОЙ ФАКТОРРИС. 01СПОСОБПРИВЯЗАН КСЛАБОЕ МЕСТОSMSкод на номерномерSIM перевыпустятПриложениекод на устройствеустройствокод выманят фишингомКлючподписывает запрос сайтадоменвыманивать нечего
Разница между способами не в удобстве, а в том, к чему привязан второй фактор. Включить любой сегодня важнее, чем сразу выбрать лучший: поменять способ можно позже.

Зачем нужна двухфакторная аутентификация?

Пароли утекают: базы взламывают, люди используют один пароль на многих сайтах, фишинговые страницы собирают их пачками. Второй фактор делает утёкший пароль бесполезным: злоумышленнику нужно ещё и то, что есть только у вас: телефон или ключ. Почти все взломы почты и соцсетей происходят у тех, у кого 2FA не включена.

ЗАЧЕМ ВТОРОЙ ФАКТОРРИС. 02Пароль укралииз утёкшей базыбез второго фактораВошлипароля хватилосо вторым факторомПароля малонужен ещё телефон или ключутечка баз происходит регулярно,и вашего участия для этого не нужно
ЗАЩИЩАЕТ ОТ...РИС. 03SMSTOTPКЛЮЧутечки паролядададаперевыпуска SIMнетдадафишинганетнетдаSMS закрывает только утечку пароля, приложение добавляет защиту от перевыпуска SIM,от фишинга спасает только ключ
Три способа против трёх атак. SMS закрывает только утечку пароля, приложение добавляет защиту от перевыпуска SIM, а от фишинга спасает только ключ.

Способы 2FA от слабого к сильному: SMS, приложение, ключ

SMS и звонок. Код приходит на номер. Просто, но у номера два слабых места. Первое это перевыпуск SIM: злоумышленник убеждает оператора или использует утечку данных, чтобы получить вашу SIM, и все коды идут к нему. Второе это фишинг: поддельный сайт просит пароль и «код из SMS», вы вводите, и он входит. Лучше, чем ничего, но переходите на следующий вариант.

ПЕРЕВЫПУСК SIMРИС. 04Злоумышленникзнает ваш пароль«потерял SIM»Операторвыдаёт новую SIMНомер у неговаша SIM теперь у негоКоды из SMS идут емуа не вамПароль + код = входзлоумышленник входитпароль мог утечь задолго до этого
Перевыпуск SIM: коды уходят не вам, а тому, кто убедил оператора. Пароль при этом мог утечь задолго до этого.

Приложение-генератор (TOTP). Google Authenticator, Aegis, Microsoft Authenticator, 2FAS, встроенные генераторы в менеджерах паролей. Код рождается на устройстве по секрету и времени, сеть не нужна, перевыпуск SIM не помогает. Уязвимость у него одна, фишинг в реальном времени: поддельный сайт передаёт ваш код настоящему в ту же минуту. Устойчивость сильно выше SMS.

● КОД ИЗ SMS ИЛИ ПРИЛОЖЕНИЯВыпароль + кодПоддельный сайтчужой доменв ту же минутуНастоящий сайтвпускает чужого● АППАРАТНЫЙ КЛЮЧ ИЛИ PASSKEYВыс ключомподпись доменаПоддельный сайтчужой доменне тот доменНастоящий сайтподпись не подходитКод можно просто передать дальше; подпись ключа годится только для своего сайта.
Код поддельный сайт передаст дальше, а подпись ключа на чужом домене не сработает.

Push-подтверждение. «Это вы входите? Да/Нет» в приложении. Удобно, но подвержено «усталости от уведомлений»: злоумышленник с паролем шлёт запросы, пока вы не нажмёте «Да». Хорошие реализации требуют сверить число на экране.

● УСТАЛОСТЬ ОТ УВЕДОМЛЕНИЙЗлоумышленникзнает парольЭто вы?НетЭто вы?НетЭто вы?НетЭто вы?ДаВошёлодно нажатиезапросы идут, пока вы не нажмёте «Да»● ХОРОШАЯ РЕАЛИЗАЦИЯЗапрос входас числомСверьте числос тем, что на экране входаОдного «Да» малонужно совпадениеЗапрос, когда вы не входите: чужой вход с вашим паролем. Нажмите «Нет» и смените пароль.
Запрос, которого вы не ждали, значит чужой вход: «Нет» и новый пароль.

Аппаратный ключ и passkey (FIDO2/WebAuthn). YubiKey и подобные, или passkey в связке ключей Apple и Google. Ключ подписывает запрос именно того сайта, на котором вы находитесь: поддельный домен подписи не получит. Фишинг не работает по конструкции. Самый сильный вариант для почты, менеджера паролей и банка.

ОТ СЛАБОГО К СИЛЬНОМУРИС. 05SMS с кодомpush в приложениикоды из приложенияаппаратный ключномер можно перевыпустить на чужой паспорт, ключ нельзя

Код по SMS не приходит или приходит с задержкой

Это частая причина, по которой двухфакторную защиту отключают совсем. Обычно дело не в аккаунте:

  • Нет устойчивой сети или телефон в роуминге: сообщения с коротких номеров доходят хуже обычных.
  • Оператор фильтрует рассылки от зарубежных отправителей.
  • Сервис высылает новый код только через минуту, а более частые запросы игнорирует.

Что делать: подождать минуту и запросить код заново, выбрать звонок вместо SMS, если сервис это умеет, а после входа перевести аккаунт на приложение-генератор и сохранить резервные коды. После этого вход перестаёт зависеть от сотовой сети.

КОД ПО SMS НЕ ПРИХОДИТ: ЧТО ДЕЛАТЬ1. Подождитеминуту, запросите снова2. Звоноквместо SMS, если можно3. Приложениеперейдите после входа4. Резервные кодысохраните ихПосле шагов 3 и 4 вход не зависит от сотовой сети
После перехода на приложение и резервные коды вход больше не зависит от SMS.

Где включить 2FA в первую очередь?

  1. Почта. Через неё сбрасываются пароли от всего остального.
  2. Менеджер паролей, если он у вас есть. Если нет, стоит завести, см. статью менеджер паролей: зачем и как выбрать.
  3. Банк и платёжные сервисы.
  4. Соцсети и мессенджеры: в настройках конфиденциальности это называется «облачный пароль» или «двухшаговая проверка».
  5. Госуслуги и облако.
ПОРЯДОК ВКЛЮЧЕНИЯРИС. 061почтаот неё всё остальное2менеджер паролейесли он у вас есть3банк и платежиденьги4соцсетирепутация и контакты5госуслуги, облакодокументы и файлыначинать с почты, а не с того, что вспомнилось первым
ЧТО ВКЛЮЧИТЬ ПЕРВЫМРИС. 071почта, к которой привязано всё2банк и платёжные сервисы3мессенджеры4облако с фотографиями5остальноепорядок по тому, что потеряете

Резервные коды 2FA и запасной доступ

При включении 2FA сервис выдаёт резервные коды. Сохраните их в менеджере паролей или распечатайте: потеря телефона без резервных кодов означает долгую переписку с поддержкой или потерю аккаунта. Для TOTP-приложений выбирайте те, что умеют зашифрованный экспорт (Aegis, 2FAS), чтобы перенос на новый телефон не превратился в квест. Ключей лучше иметь два: основной и запасной в ящике.

ТРИ ОШИБКИРИС. 08Коды там же, где входи телефон утерянРезервные кодыне сохраненыВторой фактортолько на SMSкаждая превращает защиту в способ потерять аккаунт

Три ошибки с двухфакторной защитой

  • Один фактор в двух ролях. Коды 2FA хранятся в том же менеджере, что и пароли, с тем же мастер-паролем без своей 2FA. Взлом менеджера даёт всё. Хотя бы менеджер защитите ключом или отдельным приложением.
  • SMS на тот же телефон, где приложение банка. В украденном незапертом телефоне окажутся и пароль, и код сразу. Код на вход в телефон и короткий таймаут экрана обязательны.
  • Игнорировать запросы, которых не ждали. Пуш «подтвердите вход» в момент, когда вы не входите, означает чужой вход с вашим паролем. Нажать «Нет» и сменить пароль.

Порядок включения зависит от того, что вы потеряете при взломе.

Промт для нейросети
Помоги расставить приоритеты по второму фактору.

Мои аккаунты: (перечислите: почта, банк,
мессенджеры, соцсети, облако, рабочие).
Телефон один или есть запасной: (какой случай).
Есть ли аппаратный ключ: (да / нет / думаю купить).

Скажи, в каком порядке включать второй фактор
и какой способ выбрать для каждого аккаунта.
Отдельно скажи, где SMS будет слабым местом.
И что сделать с резервными кодами, чтобы не
потерять доступ, если телефон пропадёт.

Заменяет ли VPN двухфакторную аутентификацию?

Ни при чём напрямую: 2FA защищает аккаунт, VPN защищает соединение. Но связка работает: VPN не даёт чужой сети видеть, куда вы входите, и защищает от подмены страниц в общественном Wi-Fi, а 2FA не даёт войти тому, кто всё-таки получил пароль. Что VPN делает и чего не делает, разобрано в статье что такое VPN.

ПРИЧЁМ ТУТ ТУННЕЛЬРИС. 09Туннельзащищает соединениевторой факторне заменяетот фишинговой страницыне спасаетна какие сайты вы ходитескрываетдругая задача, другой инструмент

Коротко

  • Включите 2FA хотя бы по SMS сегодня, если её нет.
  • Перейдите на приложение-генератор; а для почты и менеджера паролей на аппаратный ключ или passkey.
  • Сохраните резервные коды, заведите запасной ключ.
  • Пароли делайте длинные и разные, из генератора паролей.

404 VPN защищает сетевую сторону входа: VLESS в приложении или WireGuard по конфигу из кабинета, DNS внутри туннеля, а в приложении для Android есть Kill Switch на случай обрыва в чужой сети. Начать можно на главной.

Частые вопросы

Какая двухфакторная аутентификация самая надёжная?

Аппаратный ключ или passkey (FIDO2): ключ подписывает запрос только того сайта, на котором вы находитесь, поэтому фишинг не работает. Следом идут коды из приложения-генератора, слабее всего SMS.

Безопасно ли получать коды по SMS?

Не очень: это самый слабый вид 2FA, код перехватывают через перевыпуск SIM-карты и выманивают на фишинговых страницах. Но SMS всё равно лучше, чем ничего, а при первой возможности стоит перейти на приложение-генератор или ключ.

Почему не приходит SMS с кодом подтверждения?

Обычно дело не в аккаунте: нет устойчивой сети, телефон в роуминге или оператор фильтрует рассылки зарубежных отправителей. Подождите минуту и запросите код заново или выберите звонок вместо SMS, если сервис это умеет.

Что делать, если потерял телефон с двухфакторной аутентификацией?

Войти помогут резервные коды, которые сервис выдаёт при включении 2FA, поэтому храните их в менеджере паролей или на бумаге. Без них остаётся долгая переписка с поддержкой, а аккаунт можно потерять.

Что делать, если пришёл запрос на вход, а я не входил?

Нажмите «Нет» и смените пароль: такой запрос означает, что кто-то входит в аккаунт с вашим паролем.