Двухфакторная аутентификация

Как это работает

Фактор аутентификации бывает трёх типов: то, что знаешь (пароль, PIN), то, чем владеешь (телефон, токен, аппаратный ключ), и то, что является частью тебя (биометрия). 2FA комбинирует два разных типа, поэтому украденный пароль сам по себе не открывает доступ к аккаунту.

Где встречается и какие факторы выбирают

В криптовалютных биржах и кошельках 2FA обычно обязательна для входа, вывода средств и смены настроек. В финтехе и платежах второй фактор часто нужен для подтверждения операций, а в ЕС сильная аутентификация клиента закреплена в PSD2PSD2PSD2 — директива ЕС 2015/2366, которая регулирует платёжные услуги в Европейской экономической зоне, вводит сильную аутентификацию клиента (SCA) и открывает доступ к банковским данным через API.. В гемблинге, беттинге и дейтинге защита аккаунта нужна из-за денег и персональных данных. В нутреНутраНутра (nutraceuticals) — товары для здоровья и БАДы, которые продаются в перфоманс-маркетинге через арбитраж трафика и партнёрские программы. и арбитраже 2FA защищает рекламные кабинеты, трекерыТрекерТрекер — программа или сервис, который фиксирует клики, переходы и конверсии по рекламе и связывает их с источниками трафика, креативами и выплатами. и соцсети, где угон аккаунта встречается часто. Чаще используют одноразовые TOTP-коды в приложениях-аутентификаторах, push-подтверждения и аппаратные ключи по стандарту FIDO2. SMS-коды считаются самым слабым вариантом из-за риска перехвата SIM-карты и фишинга.

На что влияет

2FA снижает долю захватов аккаунтов и несанкционированных выводов, но добавляет трение: пользователи бросают регистрацию или вход, если шаг слишком сложный. Команды обычно включают 2FA на чувствительных действиях, а не на каждом входе, и тестируют, сколько пользователей теряется на этом шаге.

Частые ошибки

Типичные промахи: опора только на SMS без учёта SIM-swap; хранение резервныхРезервЧасть выручки, которую PSP удерживает на случай чарджбэков и возвратов. кодов в открытом виде; общая учётная запись на команду без второго фактора; подтверждение push-запросов без проверки контекста, из-за чего возникают атаки усталости (MFA fatigue).