Одноразовые коды и двухфакторная аутентификация эффективно защищают вас от кражи аккаунтов.
Если вам неожиданно присылают такой код или запрос на его ввод, возможно, это попытка взлома.
За последние годы мы привыкли входить на важные сайты и в приложения, например в онлайн-банк, при помощи пароля и еще одного метода подтверждения. Это могут быть одноразовый код (OTP — one-time password), присланный в SMS-, e-mail- или Push-сообщении, код из или даже подтверждение при помощи специального USB-устройства — токена. Этот метод входа называется (2ФА, 2FA), и она реально затрудняет жизнь хакерам. Для угона аккаунтов становится недостаточно украсть или подобрать пароль. Но что делать, если вы никуда не пытались войти, но внезапно получили одноразовый код или запрос на его ввод?
Эта ситуация может возникать по трем причинам:
Эти советы — самые главные: пока вы не подтвердили вход, ваш аккаунт в безопасности. Однако подобные предупреждения означают, что с высокой вероятностью пароль к аккаунту известен злоумышленникам.
Поэтому следующее, что нужно сделать :
Понимаем, что запоминать столько паролей сложно, поэтому очень рекомендуем хранить их в специальном приложении — .
Этап со сменой паролей не слишком срочный. Не нужно делать его в панике и на бегу, но откладывать смену паролей на несколько дней тоже нельзя. Для ценных аккаунтов (например, банковских) злоумышленники могут попытаться перехватить код подтверждения, если его присылают по SMS. Это делается с помощью на ваш номер или атаки через .
Поэтому важно сменить пароль до того, как они попытаются провести подобную атаку. В целом же одноразовые коды по SMS менее надежны, чем приложения-аутентификаторы и USB-токены. Мы рекомендуем всегда использовать самый надежный способ 2ФА из предлагаемых сервисом, .
Наиболее эффективным будет зайти на сайт по алгоритму, описанному выше (открыв сайт вручную, а не по ссылке), и быстро сменить пароль, но для этого уже вам придется получить и ввести OTP. В некоторых запросах аутентификации (например, в предупреждениях о входе в сервисы Google) есть отдельная кнопка «Нет, это не я» — обычно при ее нажатии автоматизированные системы на стороне сервиса сами блокируют атакующего и новые запросы 2ФА уже не поступают.
Ну и еще одним, хотя и не самым удобным вариантом будет переключение телефона в беззвучный или даже авиарежим на полчаса-час, пока волна кодов не закончится.
Если вам неожиданно присылают такой код или запрос на его ввод, возможно, это попытка взлома.
За последние годы мы привыкли входить на важные сайты и в приложения, например в онлайн-банк, при помощи пароля и еще одного метода подтверждения. Это могут быть одноразовый код (OTP — one-time password), присланный в SMS-, e-mail- или Push-сообщении, код из или даже подтверждение при помощи специального USB-устройства — токена. Этот метод входа называется (2ФА, 2FA), и она реально затрудняет жизнь хакерам. Для угона аккаунтов становится недостаточно украсть или подобрать пароль. Но что делать, если вы никуда не пытались войти, но внезапно получили одноразовый код или запрос на его ввод?
Эта ситуация может возникать по трем причинам:
- Попытка взлома. Хакеры откуда-то узнали, подобрали, украли ваш пароль и теперь пробуют его, чтобы войти в ваш аккаунт. Сообщение при этом приходит настоящее, от самого сервиса, в который пытаются зайти.
- Подготовка к взлому. Хакеры либо узнали ваш пароль, либо думают, что могут его выманить, а запрос на ввод OTP является разновидностью фишинга. Сообщение при этом приходит фальшивое, хотя оно может выглядеть очень похожим на настоящее.
- Просто ошибка. Иногда онлайн-сервисы устроены так, что сначала запрашивают SMS-код подтверждения, а потом пароль, или вообще аутентифицируют только по одному коду. Тогда какой-то другой пользователь может допустить опечатку и ввести ваш телефон/e-mail вместо своего — и вы получите код.
Ваши действия при получении запроса кода
Самое главное — не нажимать кнопку «Подтвердить», если подтверждение имеет вид «Да/нет», не вводить никуда и не сообщать никому коды из полученных сообщений. Если сообщение с запросом кода содержит ссылки — не переходить по ним.Эти советы — самые главные: пока вы не подтвердили вход, ваш аккаунт в безопасности. Однако подобные предупреждения означают, что с высокой вероятностью пароль к аккаунту известен злоумышленникам.
Поэтому следующее, что нужно сделать :
- Сменить пароль на этом аккаунте.
- Откройте нужный сервис, самостоятельно введя его адрес, а не переходя по ссылкам.
- Введите пароль, получите код подтверждения (уже другой!) и введите его.
- Затем найдите настройки пароля и установите новый .
- Если вы пользуетесь таким же паролем в других аккаунтах, в них тоже нужно его сменить, только теперь на каждую учетную запись нужно придумать свой уникальный пароль.
Понимаем, что запоминать столько паролей сложно, поэтому очень рекомендуем хранить их в специальном приложении — .
Этап со сменой паролей не слишком срочный. Не нужно делать его в панике и на бегу, но откладывать смену паролей на несколько дней тоже нельзя. Для ценных аккаунтов (например, банковских) злоумышленники могут попытаться перехватить код подтверждения, если его присылают по SMS. Это делается с помощью на ваш номер или атаки через .
Поэтому важно сменить пароль до того, как они попытаются провести подобную атаку. В целом же одноразовые коды по SMS менее надежны, чем приложения-аутентификаторы и USB-токены. Мы рекомендуем всегда использовать самый надежный способ 2ФА из предлагаемых сервисом, .
Что делать, если запросов OTP очень много
В попытках выманить подтверждение у жертвы хакеры могут применить «бомбардировку» кодами. Они многократно и очень часто пытаются войти в аккаунт в расчете на то, что жертва, получив десятки запросов кода или требований подтвердить вход, либо один раз ошибется и нажмет «Подтвердить», либо пойдет на сайт отключать 2ФА вообще. Важно сохранять хладнокровие и не сделать ни того, ни другого.Наиболее эффективным будет зайти на сайт по алгоритму, описанному выше (открыв сайт вручную, а не по ссылке), и быстро сменить пароль, но для этого уже вам придется получить и ввести OTP. В некоторых запросах аутентификации (например, в предупреждениях о входе в сервисы Google) есть отдельная кнопка «Нет, это не я» — обычно при ее нажатии автоматизированные системы на стороне сервиса сами блокируют атакующего и новые запросы 2ФА уже не поступают.
Ну и еще одним, хотя и не самым удобным вариантом будет переключение телефона в беззвучный или даже авиарежим на полчаса-час, пока волна кодов не закончится.
