Пароль — один уровень защиты. Если его украдут — вы беззащитны. 2FA добавляет второй уровень: даже зная пароль, без второго фактора в аккаунт не зайти. Это самая важная защита, которую можно включить за 5 минут.

Что это такое

«Два фактора»:

  • То, что вы знаете (пароль).
  • То, что у вас есть (телефон, токен).

Чтобы войти, нужны оба. Знают пароль, но нет телефона — не войдут.

Бывает и трёхфакторная: «то, что вы знаете» + «то, что у вас есть» + «то, что вы есть» (отпечаток, лицо). Но 2FA — стандарт.

Виды 2FA

1. SMS-код. При входе вам приходит SMS с кодом, вводите его. Просто и привычно. Но: SMS можно перехватить, симку можно подменить через звонок в салон оператора. Не самый безопасный вариант, но лучше, чем ничего.

2. Приложение-аутентификатор. Google Authenticator, Authy, Microsoft Authenticator. Приложение генерирует 6-значный код каждые 30 секунд. Намного безопаснее SMS — код не передаётся по сети, существует только на вашем телефоне.

3. Push-уведомления. «Это вы пытаетесь войти? Да / Нет». Используют Google, Apple, многие банки. Удобно и достаточно безопасно.

4. Аппаратные ключи (YubiKey, Titan). USB-устройство, которое физически вставляется в компьютер при входе. Самое надёжное. Дорого ($50+), но для серьёзных сценариев — must have.

5. Биометрия (Face ID, Touch ID). Удобно, безопасно. Чаще всего используется как «второй фактор» вместе с PIN.

Где включать 2FA в первую очередь

  1. Электронная почта. Главный аккаунт. Если её взломают — через сброс пароля смогут зайти везде.
  2. Банк-клиенты. Большинство уже имеют встроенный 2FA, но иногда требуется включить.
  3. Соцсети. Особенно если есть много подписчиков или важная переписка.
  4. Магазины и сервисы с привязанной картой. Amazon, маркетплейсы, ЮMoney.
  5. Криптокошельки и биржи. Тут даже 2FA мало — нужна с YubiKey по возможности.
  6. Облачные сервисы. Google Drive, iCloud, Dropbox.

Как включить (на примере Google)

  1. Откройте google.com → войдите в аккаунт.
  2. Правый верхний угол → кружок с аватаром → «Управление аккаунтом».
  3. Слева — «Безопасность».
  4. Найдите «Двухэтапная аутентификация» → включите.
  5. Следуйте мастеру: добавьте номер телефона для SMS-кодов или скачайте Google Authenticator.

Готово. Теперь при следующем входе в Google потребуется код.

Резервные коды

При включении 2FA сервис обычно даёт «резервные коды» — список одноразовых кодов на случай, если потеряете телефон. Сохраните их в надёжное место: распечатайте и положите в шкаф, или в менеджер паролей.

Не теряйте их. Без них и без телефона восстановить аккаунт почти невозможно.

Что делать если потеряли телефон с 2FA

  1. Используйте резервные коды (вы же их сохранили?).
  2. Свяжитесь с поддержкой сервиса. Каждый сервис имеет процедуру восстановления — с паспортом, через привязанную почту.
  3. Если совсем ничего нет — аккаунт можно потерять. Поэтому резервные коды важны.

Совет на будущее: используйте облачное приложение-аутентификатор (Authy), которое синхронизирует коды между устройствами. Тогда потеря телефона не означает потерю всех 2FA.

SMS-коды и сим-своп

Мошенники научились «подменять симки»: убеждают сотрудника оператора, что они — это вы, и просят перевыпустить симку. Получают её, и теперь все ваши SMS-коды приходят им.

Защита:

  • Не используйте SMS для важных аккаунтов — переходите на приложение-аутентификатор.
  • Установите в личном кабинете оператора «запрет на перевыпуск симки без личного присутствия».
  • Не публикуйте номер телефона нигде, где не обязательно.

VPN и 2FA

VPN скрывает ваш IP, 2FA добавляет «второй замок» на аккаунт. Они не заменяют друг друга — работают параллельно.

Хорошая комбинация:

  • VPN — шифрует трафик и скрывает страну.
  • 2FA — защищает аккаунты от взлома.
  • Менеджер паролей — генерирует и хранит уникальные пароли.

Это «базовый набор гигиены интернета». Если этого нет — вы уязвимы намного больше, чем нужно.

Резюме

  • 2FA = пароль + ещё один фактор (телефон, ключ).
  • Включите везде, где можно. Особенно — почта, банк, соцсети.
  • Приложение (Google Authenticator) безопаснее SMS.
  • Сохраните резервные коды — без них восстановление сложно.
  • Аппаратные ключи (YubiKey) — для серьёзных сценариев.