MFA объединяет две или более разные категории факторов. 2FA использует две категории; двухэтапная проверка описывает число проверок и сама по себе не означает MFA.
Взгляд этого сайта: оценивайте MFA по методу, а не по тому, включён ли он
Для важных аккаунтов проверяйте сам метод, проверку пользователя и восстановление, а не только отметку о включённой MFA. Устойчивый к фишингу вход может сочетаться со слабым восстановлением. Это наша рекомендация по защите, а не утверждение о причине большинства захватов аккаунтов.
Зачем нужен MFA
Пароль сам по себе стоит считать «когда-нибудь утечёт». Повторное использование, дампы утечек, угадывание и фишинг — всё это способы взломать пароль. MFA добавляет второй фактор, чтобы по одному взломанному паролю всё равно нельзя было войти.
Важнее всего почтовый аккаунт. Многие сервисы восстанавливают «забыли пароль» по почте, так что в момент захвата почты другие аккаунты сбрасываются один за другим. Поэтому почту надо охранять сильнейшим MFA (→ Уровень 0 базового чек-листа).
Чем различаются методы по силе
Даже называясь «двухфакторными», методы сильно различаются по силе. Слева слабее, справа сильнее. Разделительная черта — «можно ли это предъявить поддельному сайту?»
✗ SMS / email
коды можно выманить фишингом; SMS также зависит от номера
△ аутентификатор (TOTP)
сильнее SMS, но код можно ретранслировать на поддельный сайт
○ passkey
подпись привязана к домену; PIN или биометрия, если требуется проверка пользователя
◎ аппаратный ключ
аппаратный ключ FIDO2; самый сильный; держите запасной
Коды SMS / email
- код — просто цифры — его можно вставить на поддельный сайт
- SIM-swap угрожает получению SMS и звонков на номер. Email зависит от защиты почты и её восстановления; оба вида вводимых кодов подвержены фишингу.
- релейный фишинг пересылает код на настоящий сайт, и SMS этому не мешает
- лучше, чем ничего, но для важных аккаунтов одного его недостаточно
Passkey / аппаратный ключ (FIDO2)
- ключ привязан к домену назначения — на поддельном сайте нет подписи
- устойчив к фишингу по замыслу (не опирается на суждение человека)
- Чтобы использовать passkey или ключ отдельно как MFA, сервис должен требовать и проверять подтверждение пользователя через PIN или биометрию. Ключ можно сочетать с паролем; одно касание не является вторым фактором.
- используйте это для почты, домена и платёжных аккаунтов
Что на самом деле значит «устойчивый к фишингу»
Это ключевая концепция. С SMS или кодом аутентификатора в итоге человеку приходится судить глазами, на правильном ли он сайте вводит код — но люди не отличают идеальную копию домена. Passkey или аппаратный ключ (FIDO2), напротив, знают, для какого они домена, так что не возвращают подпись поддельному сайту. Иными словами, даже если человека обманули, ключ не подпишет вход на поддельный сайт. Это и есть «устойчивость к фишингу», и в ней решающая разница между слабыми и сильными методами.
Таблица сравнения (включая push-уведомления)
Сравнение основано на материалах CISA за октябрь 2022 года и не является полной оценкой каждого сервиса. Помимо SMS, приложений-аутентификаторов и passkey, в настройках часто есть ещё один способ: нажать «Да» в уведомлении на телефоне (push-уведомление). Агентство по кибербезопасности и защите инфраструктуры США (CISA) располагает методы MFA от сильных к слабым так:
| Метод | Ввод на поддельном сайте | Повторные запросы, пока не нажмёте | SIM-swap | Место (CISA) |
|---|---|---|---|---|
| Passkey / аппаратный ключ (FIDO2) | подпись не создаётся | неприменимо | неприменимо | сильнейший (устойчив к фишингу) |
| Код приложения-аутентификатора (TOTP) | можно ретранслировать | неприменимо | неприменимо | второй уровень |
| Push-уведомление с сопоставлением чисел | можно ретранслировать | маловероятно | неприменимо | второй уровень |
| Push-уведомление (только кнопка подтверждения) | можно ретранслировать | возможно | неприменимо | третий уровень |
| Код по SMS или голосовому звонку | можно ретранслировать | неприменимо | возможно | крайнее средство |
Слабое место push-уведомлений в том, что, узнав пароль, злоумышленник раз за разом присылает запросы на подтверждение, пока пользователь не нажмёт «Подтвердить» по ошибке или просто чтобы они прекратились. CISA называет это «push bombing» (усталость от MFA). Защита — сопоставление чисел: подтвердить нельзя, пока не введёте в приложение число, показанное на экране входа. Для рабочих и учебных учётных записей Microsoft (Microsoft Entra ID) сопоставление чисел обязательно для всех push-уведомлений Microsoft Authenticator с 8 мая 2023 года.
Вводимые коды и обычные push-подтверждения в таблице не устойчивы к фишингу. FIDO — не единственная возможная технология: NIST также описывает TLS с аутентификацией клиента. Здесь рассматриваются passkey и ключи FIDO2 для личных аккаунтов; CISA рекомендует коды приложения или push с сопоставлением чисел как промежуточные меры.
По ситуации: какой метод выбрать
Не нужно ставить один и тот же метод на все аккаунты. Разделите их по тому, насколько велик ущерб от захвата.
| Аккаунт или ситуация | Рекомендуемый метод | Что подготовить как резерв |
|---|---|---|
| Личная почта (Gmail, Outlook.com и т. п.) | passkey | passkey на втором устройстве или резервные коды |
| Менеджер паролей | passkey или аппаратный ключ | второй аппаратный ключ и данные для восстановления на бумаге |
| Администрирование домена, сервера или облака | аппаратные ключи (два) | второй ключ, хранящийся в другом месте, коды восстановления |
| Банк и брокерский счёт | passkey или другой метод, который предлагает организация | собственная процедура сброса у организации |
| Соцсети, онлайн-покупки | passkey, иначе приложение-аутентификатор | резервные коды |
| Член семьи без смартфона | аппаратные ключи (два), если их нельзя — SMS | резервные коды, которые хранит семья |
Если сомневаетесь, спросите себя: «используется ли этот аккаунт для восстановления других?» Почта и менеджер паролей — вход ко всему остальному, поэтому на них ставится самый сильный метод.
Как настроить (порядок важен)
Начните с почты, домена и платежей
MFA на сам менеджер паролей
Если не поддерживается, используйте аутентификатор (TOTP)
Храните коды восстановления безопасно
Имейте один резервный фактор
Даже с MFA перестаньте повторно использовать пароли
MFA — страховка, а не повод для слабых паролей. На сервисах, где доступен лишь не устойчивый к фишингу MFA (вроде SMS), сила и уникальность пароля всё ещё ваша главная защита. Оцените её чекером надёжности пароля.
Где настраивать в основных сервисах
Ниже — с чего начать (по официальным страницам справки на октябрь 2026 года; названия экранов могут меняться).
| Сервис | Где найти | Методы и примечания |
|---|---|---|
| Google Account | Google Account → «Security & sign-in» (Безопасность и вход) → «2-Step Verification» (Двухэтапная аутентификация) | passkey, аппаратные ключи, запросы Google, приложение-аутентификатор, SMS или голосовой звонок, резервные коды |
| Учётная запись Microsoft (личная) | account.microsoft.com/security → «Manage how I sign in» (Управление способами входа) → «Additional security» (Дополнительная безопасность) → «Two-step verification» (Двухшаговая проверка) | можно также удалить пароль и входить без него |
| Apple Account | Настройки → [ваше имя] → «Sign-In & Security» (Вход и безопасность) → «Two-Factor Authentication» (Двухфакторная аутентификация) → «Security Keys» (Ключи безопасности) | нужно добавить как минимум два ключа с сертификацией FIDO Certified (iOS 16.3 или новее); после добавления ключ заменяет шестизначный код проверки |
| GitHub | Settings → «Password and authentication» (Пароль и аутентификация) | порядок действий — в статье как настроить 2FA на GitHub |
В любом сервисе, зарегистрировав первый метод, в тот же день настройте резервный метод и сохраните резервные коды. Если отложить, в момент потери устройства их не окажется.
Как выбрать приложение-аутентификатор или аппаратный ключ
Что проверить в приложении-аутентификаторе
- можно ли перенести коды на новый телефон при смене устройства
- Google Authenticator с апреля 2023 года поддерживает необязательную синхронизацию с аккаунтом Google
- хранить коды в менеджере паролей удобно, но при его взломе оба фактора утекут из одного места
- для важных аккаунтов держите коды в приложении, отдельном от паролей
Что проверить в аппаратном ключе
- выбирайте продукт с поддержкой FIDO2 (FIDO Certified)
- проверьте, подходит ли он к разъёмам ваших устройств (USB-A, USB-C) или к NFC для телефона
- сразу купите два и зарегистрируйте оба в одном аккаунте
- один носите с собой, другой храните в другом месте, например дома
Как проверить свою настройку
Пройдите проверку безопасности Google
Проверьте способы входа в учётную запись Microsoft
На iPhone проверьте доверенные номера и ключи
Запишите метод для каждого аккаунта
Действительно войдите через резерв
Частые ошибки и как их исправить
- Добавили passkey, но SMS по-прежнему позволяет войти или сбросить аккаунт: удалите SMS, где сервис это позволяет; где нет — убедитесь, что зарегистрированный номер всё ещё ваш.
- Нажали на неожиданный запрос подтверждения: всегда отклоняйте запросы, которые пришли, когда вы не входили, затем смените пароль этого аккаунта.
- Храните резервные коды как фото или снимок экрана на телефоне: потеряете телефон — потеряете и их. Храните их в менеджере паролей или на бумаге в другом месте.
- Может потребоваться резервный ключ или другое поддерживаемое восстановление.
- При смене телефона сначала стёрли старый: убедитесь, что приложение-аутентификатор и passkey работают на новом телефоне, прежде чем стирать старый.
- Продиктовали код, когда его попросили по телефону или в сообщении: даже если собеседник представляется сервисом или вашей службой поддержки, никому не сообщайте код.
Реальный случай: переданный код
DentaQuest, компания, управляющая стоматологическими и офтальмологическими страховыми программами в США, в мае 2026 года уведомила генеральных прокуроров штатов о несанкционированном доступе. Согласно уведомлению, точкой входа стал один сотрудник, которого с помощью социальной инженерии обманом заставили предоставить учётные данные и код многофакторной аутентификации. В обновлённом уведомлении от 3 августа компания сообщила, что выявила более 27,4 млн человек по всей стране. Какой тип MFA использовался, в уведомлении не сказано.
Этот случай показывает: код, который человек может прочитать вслух или ввести, можно передать, если этого человека обманули. Для тех, кто управляет аккаунтами, ответ состоит из двух частей:
- перевести важные аккаунты на методы, которые нельзя передать, — passkey и аппаратные ключи
- служба поддержки должна проверять личность обратившегося, прежде чем сбрасывать кому-либо методы аутентификации
Полная хронология и что делать участникам программ — в материале об утечке данных DentaQuest (на английском).
Что делает сам этот сайт
Этот сайт защищает свои важные аккаунты (особенно почту, домены, администрирование сервера и платежи) устойчивым к фишингу MFA, где только возможно. Причина проста: если захватят один из них, вместе с ним можно захватить и остальные аккаунты. Ежедневные логины живут в менеджере паролей, а сам менеджер защищён MFA.
И мы не останавливаемся на «MFA включён» — периодически пересматриваем, какой метод установлен. Найдя важный аккаунт лишь с SMS, мы трактуем это как слабое место и приоритезируем обновление до passkey/аппаратного ключа. Управляйте по силе, а не по наличию — вот наша политика.
Источники
-
NIST SP 800-63-4 / SP 800-63B-4 — NIST: authentication factors / NIST: phishing resistance
-
FIDO Alliance — Passkeys FAQ: user verification
-
CISA, «Implementing Phishing-Resistant MFA» (октябрь 2022) — cisa.gov (PDF) (ранжирование форм MFA от сильных к слабым, push bombing, SIM-swap)
-
CISA, «Implementing Number Matching in MFA Applications» (октябрь 2022) — cisa.gov (PDF)
-
Microsoft Learn, «How number matching works in MFA push notifications for Authenticator» — learn.microsoft.com
-
Справка аккаунта Google, «Turn on 2-Step Verification» — support.google.com
-
Поддержка Microsoft, «How to use two-step verification with your Microsoft account» — support.microsoft.com
-
Поддержка Apple, «About Security Keys for Apple Account» — support.apple.com
-
Google Security Blog, «Google Authenticator now supports Google Account synchronization» (24 апреля 2023) — security.googleblog.com
-
Уведомления DentaQuest генеральному прокурору штата Вашингтон (16 июля 2026, обновлено 3 августа) — atg.wa.gov
Читать дальше
- Настройки GitHub: Как настроить двухфакторную аутентификацию на GitHub
- Проверка захвата: Как проверить, не заходил ли кто-то в ваш аккаунт (история входов, подключённые устройства)
- Реальный случай: DentaQuest — сотрудника обманом заставили передать код MFA (на английском)
- Основы: базовый чек-лист безопасности (сначала почта, домен и платежи)
- Хранение: как безопасно хранить пароли
- Глоссарий: SPF/DKIM/DMARC (почтовая аутентификация против подделки)
- Глоссарий: что такое фишинг (угроза, для которой создан устойчивый к фишингу MFA)
- Глоссарий: что такое двухфакторная аутентификация / что такое одноразовый пароль (OTP) (термины методов по порядку)
- Беспарольно: Что такое passkey: открытый ключ, защита от фишинга и синхронизация
- Инструмент: чекер надёжности пароля