Включите двухфакторную аутентификацию для почты, платежных систем и соцсетей. В первую очередь используйте всплывающие окна на телефоне, а в качестве запасного варианта — SMS-коды
Двухфакторная аутентификация — это когда при входе, кроме пароля, нужно ещё раз подтвердить, что это вы. Если на телефоне всплывает окно и вы нажимаете «подтвердить», так отсекается более девяти десятых фишинговых захватов аккаунта. SMS-код при этом увести обманом легче, чем такое окно. Старые способы вроде ответов «где вы последний раз входили» или «какой резервный ящик» в худшем случае останавливают лишь около десятой части фишинговых захватов.
Бесплатно. Настройка проводится один раз для каждого аккау…
Google подсчитала 350000 реальных попыток захвата аккаунта (account takeover). Первый тип проверки опирается н…
Бесплатно. Настройка проводится один раз для каждого аккаунта и занимает всего две-три минуты.
Google подсчитала 350000 реальных попыток захвата аккаунта (account takeover). Первый тип проверки опирается на устройство: всплывающее окно на телефоне, физический ключ безопасности. Он остановил «более 94% попыток захвата из‑за фишинга и 100% автоматизированных попыток захвата». Фишинг — когда вас уводят на поддельный сайт и вы вводите пароль; автоматизация — когда программа перебирает утёкшие пароли. Другой тип — ответы на вопросы, например где вы последний раз входили или какой резервный ящик. Он «остановил лишь до 10% фишинговых захватов и 73% автоматизированных захватов». При той же проверке через устройство SMS-код слабее окна на телефоне: фишеры получили верный SMS-код в 4% случаев, а окно удалось обмануть только в 1%. В атаке на конкретного человека SMS остановил 76%, окно — 90%
Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
Открыть источникИсследователи также отметили, что подобная аутентификация иногда мешает самим пользователям: в 52% случаев они не могут войти с первой попытки. Однако в итоге 97% всё же получают доступ к аккаунтам. Рекомендуется сначала включить эту функцию для почтового сервиса, поскольку для большинства других аккаунтов пароль можно восстановить через почту. Коды подтверждения — только для себя; что будет, если продиктовать их за другого, см. раздел 8, пункт 45 (диктовка кода).