Двухфакторная аутентификация: что это, какой способ выбрать и где включить в первую очередь
Люди и фишинг · 20.01.2026 · обновлено 14.10.2026 · 12 мин чтения · Команда НПП РЕКОРД
Пароль крадут фишингом, подбирают и покупают в утечках. Двухфакторная аутентификация делает украденный пароль почти бесполезным. Разбираем простыми словами, как она работает, чем СМС хуже приложения и аппаратного ключа, как атакующие обходят второй фактор и в каких сервисах компании включить его в первую очередь.
Коротко. Двухфакторная аутентификация (2FA) — это вход по паролю плюс второе подтверждение: код из приложения, push-уведомление или аппаратный ключ. Даже если пароль украли, без второго фактора войти не получится — по данным Microsoft, многофакторная аутентификация блокирует более 99,9% атак на учётные записи. СМС — самый слабый вариант, лучше приложение-генератор кодов, а самый надёжный — аппаратный ключ или ключ доступа (passkey). В первую очередь второй фактор включают на удалённом доступе и VPN, почте, учётных записях администраторов и облачных сервисах.
Пароль сегодня — слабое место. Его выманивают фишингом, подбирают автоматически, а миллионы паролей лежат в открытых утечках, и люди годами используют один и тот же пароль в разных сервисах. По данным Verizon за 2025 год, использование украденных учётных данных — самый частый способ первичного проникновения в сеть компании. Двухфакторная аутентификация закрывает эту дверь: знать пароль становится недостаточно.
- 99,9% — атак на учётные записи блокирует MFA (по данным Microsoft)
- 22% — взломов начинаются с украденных учётных данных (самый частый первый шаг)
- <60 сек — нужно человеку, чтобы попасться на фишинг (клик и ввод данных)
Источник: Microsoft (2019); Verizon Data Breach Investigations Report 2024–2025
Второй фактор превращает украденный пароль из катастрофы в мелкую неприятность
Что такое двухфакторная аутентификация простыми словами
Аутентификация — проверка, что входите именно вы. Факторы бывают трёх типов: то, что вы знаете (пароль), то, что у вас есть (телефон, ключ), и то, что является частью вас (отпечаток пальца, лицо). Двухфакторная аутентификация (2FA) требует два фактора разных типов, многофакторная (MFA) — два и больше. Смысл в том, что злоумышленнику нужно украсть не только пароль, но и ваш телефон или ключ — а это несравнимо сложнее.
Какие бывают способы и чем они отличаются
| Способ | Как работает | Надёжность | Главный риск |
|---|---|---|---|
| Код по СМС | Код приходит сообщением на телефон | Низкая | Перевыпуск SIM-карты мошенниками, перехват сообщений |
| Звонок или код по почте | Код диктуют или присылают письмом | Низкая | Почту тоже могут взломать |
| Приложение-генератор кодов | Приложение (например, Яндекс Ключ, Google Authenticator) показывает код, который меняется каждые 30 секунд | Хорошая | Код можно выманить на поддельном сайте |
| Push-уведомление | Нажать «Подтвердить» в приложении | Хорошая | «Усталость от уведомлений»: их присылают десятками, пока человек не нажмёт |
| Push с вводом числа | В приложении нужно ввести число с экрана входа | Высокая | Почти отсутствует |
| Аппаратный ключ или passkey (FIDO2) | Физический ключ или ключ доступа на устройстве подтверждает вход криптографически | Очень высокая | Потеря ключа — нужен запасной |
Совет. Если выбирать один вариант для компании, берите приложение с push-уведомлениями и вводом числа или генератор кодов. Для администраторов и руководителей — аппаратные ключи. СМС оставьте только там, где сервис не поддерживает ничего другого: это всё равно намного лучше, чем один пароль.
Как атакующие обходят второй фактор
2FA не делает учётную запись неуязвимой, и важно понимать, как её обходят, чтобы выбрать правильный способ.
- Спам уведомлениями. В 2022 году злоумышленник получил доступ к сети Uber, засыпав сотрудника запросами на подтверждение входа и представившись технической поддержкой. Защита — push с вводом числа и правило: никогда не подтверждать вход, который вы не начинали.
- Поддельный сайт-посредник. Фишинговая страница в реальном времени передаёт введённые логин, пароль и код настоящему сайту. От этого защищают аппаратные ключи и passkey: они привязаны к адресу настоящего сайта.
- Перевыпуск SIM-карты. Мошенники получают дубликат SIM-карты и перехватывают коды из СМС. Защита — не использовать СМС для важных учётных записей.
- Социальная инженерия. «Звонок из банка» или «из службы безопасности» с просьбой назвать код. Защита — правило: коды никому не сообщают, даже «своим».
Важно. Никогда не подтверждайте вход и не называйте код, если не входили сами прямо сейчас. Неожиданный запрос подтверждения — признак того, что ваш пароль уже у злоумышленника: смените его и сообщите в службу IT.
Где включить второй фактор в первую очередь
| Приоритет | Где включить | Почему |
|---|---|---|
| 1 | VPN и любой удалённый доступ к офису | Это дверь во внутреннюю сеть, через неё заходят шифровальщики |
| 1 | Учётные записи администраторов, консоли серверов и облаков | Один такой вход — контроль над всей инфраструктурой |
| 2 | Корпоративная почта | Через почту сбрасывают пароли к остальным сервисам и рассылают фишинг от вашего имени |
| 2 | Банк-клиент и платёжные сервисы | Прямой доступ к деньгам |
| 3 | CRM, облачные хранилища, бухгалтерские сервисы | Клиентские и финансовые данные |
| 3 | Госуслуги, личные кабинеты налоговой и маркетплейсов | Подпись документов и доступ к деньгам |
| 3 | Мессенджеры сотрудников (облачный пароль в Telegram) | Через угнанный аккаунт пишут «от директора» |
Как внедрить 2FA в компании без бунта сотрудников
- Начните с администраторов и удалённого доступа — там риск выше всего, а людей меньше.
- Выберите один способ для всех: одно приложение, одна инструкция с картинками.
- Объясните зачем: покажите, как крадут пароли, и что второй фактор занимает пару секунд.
- Продумайте восстановление доступа: запасные коды, второй ключ, процедура при потере телефона.
- Подключайте сервисы поэтапно и следите за обращениями в поддержку в первые недели.
- Закрепите в правилах: коды и подтверждения никому не передаются, неожиданные запросы — повод сообщить в IT.
Совет. Для корпоративных систем, которые сами не умеют двухфакторную аутентификацию (удалённый рабочий стол, VPN старых моделей, внутренние сервисы), используют отдельные решения MFA — например, российскую платформу Мультифактор, которая добавляет второй фактор к уже работающим системам.
| Ошибка | Чем опасна |
|---|---|
| 2FA только на почте, а VPN по паролю | Атакующий заходит в сеть, минуя почту |
| СМС для администраторов | Перехват кода через дубликат SIM-карты |
| Нет процедуры при потере телефона | Сотрудник без доступа, поддержка отключает 2FA «временно» навсегда |
| Исключения «для руководства» | Самые ценные учётные записи остаются без защиты |
Двухфакторная аутентификация — самая дешёвая мера безопасности с самым большим эффектом. Пара секунд при входе превращает украденный пароль из катастрофы в мелкую неприятность.
Частые вопросы
Что такое двухфакторная аутентификация простыми словами?
Это вход в два шага: сначала пароль, затем подтверждение вторым способом — кодом из приложения, уведомлением на телефоне или аппаратным ключом. Даже если пароль украдут, без второго фактора войти не получится.
Чем 2FA отличается от MFA?
2FA — двухфакторная аутентификация, ровно два фактора. MFA — многофакторная, два и больше. На практике термины часто используют как синонимы.
Почему СМС — ненадёжный второй фактор?
Мошенники могут перевыпустить SIM-карту и получать коды вместо вас, а сами сообщения можно перехватить. Приложение-генератор кодов, push с вводом числа или аппаратный ключ надёжнее. Но даже СМС намного лучше, чем один пароль.
Где в компании включить двухфакторную аутентификацию в первую очередь?
На VPN и любом удалённом доступе, учётных записях администраторов и консолях серверов и облаков, корпоративной почте и банк-клиенте. Затем — CRM, облачные хранилища, бухгалтерские сервисы и мессенджеры сотрудников.
Можно ли взломать учётную запись с двухфакторной аутентификацией?
Можно, но намного сложнее: через поддельные сайты-посредники, спам уведомлениями о входе или выманивание кода. Защищают аппаратные ключи и passkey, push с вводом числа и правило никогда не подтверждать вход, который вы не начинали.
Что делать, если пришёл запрос на вход, который я не делал?
Отклонить его, не называть никому код, сразу сменить пароль от этой учётной записи и сообщить в службу IT: неожиданный запрос означает, что пароль уже известен злоумышленнику.
Теги: 2FA, MFA, двухфакторная аутентификация, пароли, безопасность, удалённый доступ