С двухфакторной аутентификацией (2FA) одного утёкшего пароля не хватит, чтобы кто-то вошёл. Разберём, чем она отличается от часто путаемой с ней двухэтапной проверки и как сравнивать методы (без шагов атаки).
Разница между «двумя факторами» и «двумя этапами»
Слова похожи, но всё просто, если держать в уме цель. Факторы аутентификации делятся на три категории:
Двухфакторная аутентификация (2FA) смешивает две разные категории (например, пароль = знание + приложение-аутентификатор = владение). Смысл в том, что если одна сломана, устоит другая категория, и злоумышленник не войдёт.
Двухэтапная проверка (2SV), напротив, означает лишь «проверить дважды», и оба этапа могут быть одной категории (пароль + контрольный вопрос — это два этапа, но не два фактора). Поэтому если вам действительно нужна сила, ключ — смешивать разные категории.
Сила метода: зависит от того, может ли поддельный сайт украсть то, что вы вводите
Даже при включённой 2FA сила сильно зависит от метода. Решающий фактор — можете ли вы случайно отдать «доказательство» поддельному сайту.
Сильный ── Passkey / аппаратный ключ (FIDO2)
Подпись привязана к домену — по конструкции не может быть предъявлена поддельному сайту (устойчивость к фишингу)
Средний ── Приложение-аутентификатор (TOTP)
Сильнее SMS, но код читает человек — значит, его можно отдать поддельному сайту
Слабый ── Коды по SMS / email
коды можно выманить фишингом; SMS также зависит от номера
Слабо: коды по SMS / email
- код читает и вводит человек — значит, его можно отдать прямо поддельному сайту
- SIM-swap угрожает получению SMS и звонков на номер. Email зависит от защиты почты и её восстановления; оба вида вводимых кодов подвержены фишингу.
- но всё же явно сильнее одного пароля (намного лучше, чем ничего)
Сильно: passkey / аппаратный ключ (FIDO2)
- подпись привязана к домену сайта — предъявить её поддельному сайту невозможно
- Чтобы использовать passkey или ключ отдельно как MFA, сервис должен требовать и проверять подтверждение пользователя через PIN или биометрию. Ключ можно сочетать с паролем; одно касание не является вторым фактором.
- приложение-аутентификатор (TOTP) — посередине: сильнее SMS, но всё же может быть предъявлено поддельному сайту
2FA, двухэтапная проверка, MFA, OTP и passkey
Похожих терминов много, потому что слова для идеи и слова для метода смешиваются.
| Термин | Что означает | Пример |
|---|---|---|
| Двухфакторная аутентификация (2FA) | Идея сочетать два разных вида доказательств | Пароль + код приложения-аутентификатора |
| Многофакторная аутентификация (MFA) | Идея сочетать два и более разных вида доказательств (включает 2FA) | подпись привязана к домену; PIN или биометрия, если требуется проверка пользователя |
| Двухэтапная проверка (2SV) | Проверить дважды (оба раза может быть один вид) | Пароль + контрольный вопрос |
| Одноразовый пароль (OTP) | Одноразовый код, часто используемый как второе доказательство | Коды из приложения-аутентификатора, SMS или почты |
| Passkey | Способ входа с подписью закрытым ключом на вашем устройстве | Вход разблокировкой по отпечатку пальца или лицу |
2FA и MFA описывают, что должно быть выполнено; OTP и passkey — как это выполняется. Коды разобраны в статье что такое одноразовый пароль (OTP), подписи — в статье что такое passkey. Даже если на экране сервиса написано «двухэтапная проверка», за этим часто стоит 2FA, например пароль плюс приложение-аутентификатор, поэтому судите по реальному способу.
Насколько 2FA предотвращает захват
Исследование исследователей Microsoft 2023 года, в котором проанализированы пользователи облака компании, показало, что у аккаунтов с включённой MFA риск компрометации в целом ниже на 99,22%, а при использовании утёкших учётных данных — ниже на 98,56%. Большинство захватов из-за повторного использования или утечки паролей останавливаются одним включением 2FA, каким бы ни был способ.
Но есть то, от чего 2FA не защищает.
- Ввод на поддельном сайте: коды из SMS и приложения-аутентификатора, введённые на поддельном сайте, ретранслируются на настоящий. Passkey и аппаратные ключи это предотвращают
- Слабое восстановление: если аккаунт можно восстановить только по SMS или зарегистрированной почте, это и станет входом
- Аккаунты без 2FA: если злоумышленники входят через рабочую почту или аккаунт стороннего сервиса без 2FA, остальные ваши меры защиты не помогают
Опубликованный инцидент: оценка причин и защитные меры
В заявлении от 1 августа 2019 года группа-оператор сочла вероятной атаку с использованием списков незаконно полученных ID и паролей. Это оценка компании на тот момент, а не утверждение, что все пути атаки были установлены. В том же заявлении сказано, что не найдены случаи, где интеграция внешних ID, напоминания пароля или его сброс через чат стали прямой причиной доступа. 808 человек и 38,615,473 иены на 31 июля 2019 года, 17:00, включая незаконные пополнения и использование. Это показатели на указанную дату из заявления 1 августа, а не объявленный окончательный итог. мошенничество с 7pay (2019).
С тех пор всё больше сервисов делают 2FA обязательной, а не оставляют её на усмотрение пользователей. С марта 2023 года GitHub поэтапно требует 2FA от пользователей, которые вносят код (настройка — в статье настройка 2FA на GitHub). Когда мы классифицировали крупные инциденты, раскрытые в Японии в августе 2026 года, оказалось, что больше из них начинались с легитимных учётных данных — Microsoft 365 подрядчика, рабочей почты, учётных данных GitHub, — чем с эксплуатации уязвимостей (как злоумышленники проникали в японские компании в 2026 году, на английском).
Как проверить свои аккаунты
Определите порядок
Начните с почты и менеджера паролей, потому что через них сбрасываются или управляются остальные аккаунты. Затем домен, облако и GitHub, а потом банк, брокерский счёт и платежи.
Проверьте способ 2FA в каждом аккаунте
В настройках безопасности посмотрите, включена ли 2FA и какой способ используется. Если это код по SMS или почте, добавьте приложение-аутентификатор или passkey и сделайте его основным. Способы сравниваются в статье как правильно выбрать MFA.
Подготовьте коды восстановления и второй способ
Сохраните коды восстановления не на телефоне, а, например, в менеджере паролей. Зарегистрируйте и второй способ, например резервный passkey или аппаратный ключ.
Пересмотрите почту и номер телефона для восстановления
Убедитесь, что зарегистрированные почта и номер телефона для восстановления по-прежнему ваши и что на самом почтовом аккаунте для восстановления включена 2FA. Чтобы проверить, не утёк ли уже ваш пароль, см. статью как проверить, не утёк ли пароль.
Если вы управляете чужими аккаунтами, сделайте 2FA обязательной
Для корпоративной почты, организаций GitHub и консолей администрирования облака не оставляйте 2FA необязательной — требуйте её в настройках организации. Попросите администраторов использовать passkey или аппаратные ключи.
Взгляд этого сайта: сначала включите, затем перейдите на методы, которые «нельзя отдать»
Самая частая неудача с 2FA — переусердствовать с выбором «какой самый сильный» и в итоге не включить вообще ничего. Приоритет ясен: сначала включите хоть какую-то 2FA на каждом аккаунте, затем переведите самые важные аккаунты (почта, домен, платежи) на метод, который нельзя отдать фишинговому сайту (passkey).
Наш сайт не считает «распознать поддельный сайт за счёт внимательности» стратегией защиты. Вместо человеческой бдительности опирайтесь на методы, где доказательство по конструкции нельзя отдать поддельному сайту.
Источники (первичные)
- NIST SP 800-63B-4, «Digital Identity Guidelines: Authentication and Authenticator Management» (июль 2025) — pages.nist.gov (факторы аутентификации, устойчивость к фишингу, ограничение способов через телефонную сеть)
- Meyer et al., «How effective is multifactor authentication at deterring cyberattacks?» (Microsoft, 2023) — arxiv.org (MFA снизила риск компрометации на 99,22%, а при утёкших учётных данных — на 98,56%)
- CISA, «Implementing Phishing-Resistant MFA» (октябрь 2022) — cisa.gov (PDF) (формы MFA от сильной к слабой, SIM-swap против SMS)
- GitHub Docs, «About mandatory two-factor authentication» — docs.github.com (поэтапное требование с марта 2023 года)
- Заявление группы-оператора о закрытии, расследовании и мерах (2019-08-01) — 7andi.com
Читать дальше
- Глоссарий: что такое одноразовый пароль (OTP) (как работают коды приложений-аутентификаторов: TOTP/HOTP/SMS) · что такое passkey (сильнейший метод, который нельзя отдать поддельному сайту)
- Глоссарий: что такое фишинг (понять атаки AiTM, нацеленные на 2FA)
- Обучение: как правильно выбрать MFA (выбор метода на практике)
- Кейс: мошенничество с 7pay (2019)
- Настройки GitHub: Как настроить двухфакторную аутентификацию на GitHub