Skip to content
  • Статьи
  • Блог
  • База знаний
  • Пентест для бизнеса
  • Про безопасность

Пентест в России

Блог кибербезопасности

Почему двухфакторная аутентификация (2FA) иногда не спасает

Posted on 14 августа, 202517 июня, 2025 By adminer

Двухфакторная аутентификация (2FA) уже стала неотъемлемой частью цифровой гигиены. Банки, почтовые сервисы, мессенджеры — все настойчиво предлагают подключить второй фактор: SMS, push-уведомление, приложение или ключ. Но парадокс в том, что даже с включённой двухфакторкой аккаунты всё равно взламывают. Почему это происходит, насколько надёжны разные виды 2FA, и где проходит граница между чувством безопасности и её иллюзией?

Двухфакторная аутентификация — как она должна работать

Классическая 2FA работает по принципу «что-то вы знаете» (пароль) + «что-то у вас есть» (телефон, токен, приложение). Это означает, что даже если пароль скомпрометирован, злоумышленник не сможет войти в систему без второго элемента.

На практике это значительно снижает риск взлома. По статистике Google, включённая двухфакторка на основе push-уведомлений или физических ключей предотвращает до 99% автоматических атак и фишинга. Но только при правильной реализации. А вот именно с этим возникают проблемы.

2FA не защищает от социальной инженерии

Самое слабое место двухфакторной аутентификации — сам человек. Если пользователь готов сам отдать одноразовый код или подтвердить вход по запросу в приложении — никакая система не спасёт. Именно на этом строится современный фишинг.

Сегодня злоумышленники не просто просят пароль. Они звонят, высылают поддельные формы, создают точные копии сайтов и в реальном времени пересылают введённые данные в целевую систему. Как только жертва вводит одноразовый код, он тут же применяется злоумышленником — в том же самом окне сессии.

Так называемые реалтайм-прокси для фишинга (Evilginx, Modlishka, EvilProxy) позволяют перехватывать не только пароль и 2FA-код, но и даже куки активной сессии. Это означает, что даже если двухфакторка пройдена один раз — злоумышленник получает уже авторизованную сессию и может обойти повторные проверки.

Отчего не спасают SMS-коды

Наиболее распространённый и наименее защищённый метод 2FA — это SMS-аутентификация. Она удобна, не требует установки приложений, работает в офлайне. Но именно с ней связано больше всего компрометаций.

Во-первых, SMS можно перехватить. Через перехват SS7, клонирование SIM-карты или запрос дубликата у оператора. А в некоторых странах злоумышленники используют фальшивые базовые станции — так называемые IMSI-catchers.

Во-вторых, SMS-коды часто перехватываются через вредоносные приложения, установленные на смартфоне жертвы. Malware, имеющий доступ к SMS или уведомлениям, может перехватить 2FA без ведома пользователя. Это особенно актуально в Android-среде с ослабленным контролем доступа.

Push-уведомления: удобство против безопасности

Многие считают push-2FA более защищённой альтернативой SMS. Она действительно безопаснее — код не виден в явном виде, а подтверждение требует действия. Однако и здесь есть нюансы.

Злоумышленники всё чаще используют тактику «push fatigue» (усталость от уведомлений). Пользователю просто засыпают устройство фальшивыми запросами авторизации — и в какой-то момент он нажимает «разрешить», не вчитываясь, что именно подтверждает. Это работает особенно хорошо в корпоративной среде, где десятки приложений генерируют уведомления, и пользователь устаёт от постоянной необходимости проверять каждое.

Кроме того, некоторые реализации push-аутентификации не защищают сессию от переноса на другой браузер — злоумышленник может скомпрометировать аккаунт даже без постоянного доступа к устройству.

Проблема доверенных устройств

Многие сервисы, чтобы упростить жизнь пользователю, предлагают не проходить двухфакторку на «доверенных устройствах». Это удобно. Но именно запоминание устройства часто становится ахиллесовой пятой.

Однажды захваченный девайс — смартфон, ноутбук или браузер — может дать злоумышленнику доступ без 2FA. Даже при смене пароля. И если сессии не истекают автоматически или не отслеживаются — пользователь может даже не узнать, что кто-то сидит в его учётной записи.

Некоторые атакующие специально работают на перехват доверенных сессий, не ломая пароль или 2FA — они просто крадут токены авторизации. Это особенно эффективно в сочетании с вредоносным ПО на устройстве или в браузере (например, расширения, собирающие cookie).

Когда даже физические ключи не спасают

Физические токены — как YubiKey, Titan или SoloKey — считаются золотым стандартом двухфакторной защиты. Они используют протоколы FIDO2/WebAuthn и не передают код в явном виде. Но даже они не дают абсолютной гарантии.

Например, если пользователь подключил токен к заражённому устройству, на котором работает кейлоггер или эксплойт, — злоумышленник может угнать не сам токен, но уже прошедшую сессию. Кроме того, некоторые фишинговые прокси научились обходить даже U2F, эмулируя весь процесс внутри браузера-жертвы.

Также существует человеческий фактор — люди теряют ключи, хранят их рядом с паролями или используют на неподконтрольных устройствах. В корпоративной среде злоумышленник может выдать себя за администратора и убедить сотрудника «переподключить» токен — фактически передав права доступа.

Когда двухфакторка — иллюзия защиты

Настоящая проблема в том, что многие воспринимают 2FA как «волшебную таблетку». Мол, теперь аккаунт точно в безопасности. Это создаёт ложное чувство защищённости, и пользователи начинают игнорировать другие базовые практики безопасности: не следят за входами, не анализируют устройства, не замечают признаков взлома.

В результате 2FA превращается в психологический щит, а не технический. Атакующий этим пользуется — ведь главное не взломать технологию, а обмануть поведение человека.

Как повысить реальную безопасность: подходы без иллюзий

Чтобы двухфакторная аутентификация работала как защита, а не как символ, нужно соблюдать три ключевых принципа:

  1. Контроль среды: использовать 2FA только на проверенных устройствах, обновлять операционную систему и приложения, избегать установки сомнительных расширений и APK.
  2. Выбор методов: если есть возможность, избегать SMS. Предпочтение следует отдавать аппаратным токенам или приложениям вроде Authy, Aegis, FreeOTP, Google Authenticator.
  3. Мониторинг и поведенческий анализ: отслеживайте входы, проверяйте список активных устройств и сессий, анализируйте необычные уведомления. И главное — учите себя и сотрудников думать до того, как нажать «подтвердить».

Двухфакторная аутентификация остаётся мощным инструментом безопасности. Но она не спасает от всех атак, если используется в изоляции или неправильно. Её эффективность напрямую зависит от контекста: типа угроз, привычек пользователя и уровня зрелости инфраструктуры.

 

База знаний

Навигация по записям

Previous Post: Как пентестеры обходят CAPTCHA: от простых методов до ИИ
Next Post: Атаки через DNS: от кражи данных до полного контроля над сетью

Copyright © 2025 Пентест в России.

Powered by PressBook WordPress theme