Коли справа стосується захисту ваших паролів та чутливих даних, не всі методи двофакторної автентифікації (2FA) однаково безпечні. Багато сервісів все ще пропонують SMS-автентифікацію, але такі платформи як Psono, які дбають про безпеку, взагалі від неї відмовилися на користь більш сильних рішень: WebAuthn, YubiKey та TOTP (timed one-time passwords).
Це не просто питання вподобань — це необхідність для надійного захисту. У SMS-автентифікації є суттєві вразливості, а реальні атаки довели, що це легка ціль для зловмисників. У цьому блозі ми пояснюємо, чому SMS-2FA є слабкою ланкою та наведемо реальні приклади атак, що демонструють її недоліки.
SMS-автентифікація вразлива до багатьох видів атак, зокрема:
Ці ризики роблять SMS-2FA одним із найслабших методів автентифікації.
Psono ставить у пріоритет безпеку й підтримує лише стійкі методи двофакторної автентифікації:
Ці методи значно надійніші, оскільки стійкі до фішингу, не залежать від операторів мобільного зв’язку та усувають ризик віддаленого викрадення.
Щоб показати, чому Psono не впроваджує SMS-автентифікацію, наведемо реальні приклади атак на SMS-2FA:
У лютому 2024 року ФБР та CISA спільно попередили про цілеспрямовані атаки китайських хакерів на комерційні телекомунікації. Ці атаки експлуатували вразливості в SS7 — протоколі, що використовується для маршрутизації SMS-інформації. Зловмисники змогли перехопити повідомлення з кодами підтвердження, що ще раз показує: SMS-2FA можна скомпрометувати на системному рівні.
У 2019-му CEO Twitter на той час, Джек Дорсі, став жертвою атаки на SIM-своп. Хакери переконали операторa перенести його номер на свою SIM-карту, завдяки чому перехопили SMS-коди двофакторної автентифікації та отримали доступ до Twitter-акаунта.
У 2021 році Coinbase повідомила, що понад 6 000 клієнтів втратили кошти у результаті масової атаки через сім-свопінг. Хакери скидали паролі жертв, використовуючи перехоплені SMS-коди, повністю перехоплювали акаунти й викрадали криптовалюту.
У 2018 році Reddit зазнав витоку даних, коли зловмисники отримали доступ до акаунтів співробітників попри активну SMS-автентифікацію. Хакери перехопили SMS-коди, щоб обійти захист, внаслідок чого було розкрито чутливі дані користувачів.
Якщо ви досі користуєтесь SMS-автентифікацією, час перейти на більш надійний метод, такий як WebAuthn, YubiKey чи автентифікатор на основі TOTP. Компанія Psono завжди ставить безпеку на перше місце і ніколи не пропонує SMS-2FA.
Бажаєте захистити себе? Використовуйте апаратні ключі безпеки, додатки TOTP або біометричну аутентифікацію — ніколи не покладайтеся лише на SMS-2FA.
Захистіть свої акаунти правильно — відмовтеся від SMS-2FA!
Двофакторна автентифікація (2FA) — це ще один рівень захисту, що вимагає два фактори ідентифікації для доступу до акаунта. Окрім пароля, вас попросять ввести:
Це значно знижує ризик несанкціонованого доступу навіть у разі втрати пароля.
Найбезпечніші другі фактори — це ті, що не вразливі до фішингу й не можуть бути перехоплені. Серед них:
Слабкі методи (варто уникати):
SMS-2FA вразливий до багатьох атак, зокрема:
🔹 Краще рішення: Використовуйте апаратні ключі безпеки або TOTP-додатки замість SMS-2FA.
Якщо ви втратили доступ до другого фактора, ви можете відновити акаунт через:
🔹 Порада: Завжди налаштовуйте кілька факторів захисту на випадок втрати одного з них.
Хоча 2FA значно підвищує рівень захисту, деякі методи можна обійти за допомогою складних атак:
🚨 Поширені способи обходу:
✅ Як захиститися: