Включите двухфакторную аутентификацию для почты, платёжных сервисов и соцсетей: в первую очередь подтверждение всплывающим окном на телефоне, запасной вариант — SMS-код

Двухфакторная аутентификация — это когда при входе, кроме пароля, нужно ещё раз подтвердить, что это вы. Если на телефоне всплывает окно и вы нажимаете «подтвердить», так отсекается более девяти десятых фишинговых захватов аккаунта. SMS-код при этом увести обманом легче, чем такое окно. Старые способы вроде ответов «где вы последний раз входили» или «какой резервный ящик» в худшем случае останавливают лишь около десятой части фишинговых захватов.

Стоимость

Бесплатно. Каждый аккаунт настраивается за две–три минуты, и повторять это не нужно.

Эффект

Google подсчитала 350000 реальных попыток захвата аккаунта (account takeover). Первый тип проверки опирается на устройство: всплывающее окно на телефоне, физический ключ безопасности. Он остановил «более 94% попыток захвата из‑за фишинга и 100% автоматизированных попыток захвата». Фишинг — когда вас уводят на поддельный сайт и вы вводите пароль; автоматизация — когда программа перебирает утёкшие пароли. Другой тип — ответы на вопросы, например где вы последний раз входили или какой резервный ящик. Он «остановил лишь до 10% фишинговых захватов и 73% автоматизированных захватов». При той же проверке через устройство SMS-код слабее окна на телефоне: фишеры получили верный SMS-код в 4% случаев, а окно удалось обмануть только в 1%. В атаке на конкретного человека SMS остановил 76%, окно — 90%

Примечания

В том же исследовании отмечено, что такая проверка иногда не пускает самого владельца: 52% настоящих пользователей не вошли с первой попытки, но в итоге 97% всё же вошли. Сначала включите функцию на почте — через неё чаще всего восстанавливают пароли к другим сервисам. Код подтверждения только для себя; что будет, если продиктовать код или пройти распознавание лица за другого, см. раздел 8, пункт 45 (диктовка кода).

Источники · 1

1. Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). doi.org/10.1145/3308558.3313481