Иерархия двухфакторной защиты в 2026 году

Вторые факторы не равноценны. Разница в защите между SMS-кодом и аппаратным ключом безопасности примерно такая же, как между четырёхзначным PIN-кодом и паролем на аппаратно зашифрованный диск. И то и другое называется «защитой», но защищает от совершенно разных угроз.

Вот реальный порядок — от самого слабого к самому надёжному.

Пять уровней

  • Уровень 5 — коды по SMS. Лучше, чем ничего, но хуже почти любого другого варианта. Уязвимы к подмене SIM-карты, когда злоумышленник уговаривает оператора перевести ваш номер на свою SIM-карту. По данным ФБР, только в США за 2021 год потери от подмены SIM превысили 68 млн $.
  • Уровень 4 — коды по почте. Чуть лучше SMS, потому что почтовый аккаунт взломать сложнее, чем обмануть оператора связи, — но лишь чуть-чуть. Если почту взломали, любой «второй фактор», который приходит на неё, превращается в единственный.
  • Уровень 3 — TOTP в приложении-аутентификаторе (Google Authenticator, Authy). Минимально допустимый уровень для любого криптоаккаунта. Код генерируется на вашем устройстве и никуда не передаётся: злоумышленнику нужно само устройство.
  • Уровень 2 — push-подтверждения (Duo, push в Microsoft Authenticator). Лучше TOTP, потому что в запросе есть контекст («Вход из Лагоса в 3 часа ночи — разрешить?»), который заметит даже невыспавшийся человек. Уязвимы к атакам «усталости от запросов», когда злоумышленник засыпает вас подтверждениями, пока вы не нажмёте «да».
  • Уровень 1 — аппаратный ключ безопасности (YubiKey, Titan, SoloKey). Потолок защиты. Ключ доказывает, что он у вас, через криптографический обмен «запрос — ответ», который невозможно повторить, выманить или перехватить. Ключи доступа (passkey) в большинстве случаев работают так же надёжно.

Как распределить на практике

Рабочая схема на 2026 год: уровень 1 (YubiKey и ключ доступа) — на почте и основной бирже; уровень 2 или 3 — на второстепенных биржах; не ниже уровня 3 — на всём остальном. SMS-коды отключайте везде, где это возможно, а если сервис требует SMS как запасной вариант, относитесь к самому номеру телефона как к секретным данным.

Защита на стороне оператора

Позвоните мобильному оператору и узнайте, можно ли установить кодовое слово или PIN-код, без которого номер не переоформят и SIM-карту не перевыпустят. Это и есть второй фактор для самой подмены SIM. Риск он не устраняет, но поднимает планку: мало обмануть сотрудника колл-центра, нужно ещё где-то добыть этот PIN-код. Пятнадцать минут на звонок того стоят.

Что меняется, когда появляется аппаратный ключ

Вы привыкнете носить его с собой. Со временем купите второй как запасной и зарегистрируете оба во всех важных аккаунтах. Тогда восстановление выглядит так: потеряли ключ № 1 — входите ключом № 2 — покупаете замену № 1 — регистрируете её заново. Всё это куда спокойнее любого другого сбоя двухфакторной защиты: не нужно звонить в поддержку, договариваться с оператором и ждать код, который так и не приходит.