Ще кілька років тому порада «увімкніть двофакторну автентифікацію» звучала майже універсально. Пароль плюс SMS-код — і обліковий запис уже вважався непогано захищеним.

Сьогодні цього пояснення вже замало.

Сам принцип 2FA нікуди не зник, але способи підтвердження особи сильно змінилися. Крім SMS, користувачам пропонують застосунки-автентифікатори, push-підтвердження, біометрію, апаратні ключі та Passkeys. І всі ці варіанти мають дуже різний рівень захисту.

Тому у 2026 році питання звучить вже не просто «чи ввімкнена у вас 2FA?», а радше «який саме другий фактор ви використовуєте?».

Що взагалі означає 2FA

Двофакторна автентифікація працює за простим принципом: для входу потрібно підтвердити особу двома різними способами.

Наприклад:

  • тим, що ви знаєте — пароль або PIN;

  • тим, що у вас є — смартфон чи апаратний ключ;

  • тим, ким ви є — відбиток пальця або розпізнавання обличчя.

Найпоширеніша схема знайома майже всім: спочатку вводимо пароль, потім отримуємо код на телефон.

Це вже набагато краще, ніж один пароль. Навіть якщо пароль витік або його вдалося підібрати, одного цього для входу буде недостатньо.

Але тут і починаються нюанси.

SMS-код: краще, ніж нічого

SMS досі залишається одним із найпопулярніших способів другого підтвердження.

Причина зрозуміла: нічого додатково встановлювати не треба. Телефон є майже у кожного, код приходить автоматично, користувачу достатньо переписати кілька цифр.

Для звичайного акаунта це все ще корисний додатковий захист.

Проблема в тому, що SMS-код можна передати.

Якщо людина потрапила на підроблену сторінку входу, вона може власноруч ввести туди спочатку пароль, а потім і код із повідомлення. Добре зроблена фішингова сторінка зовні практично не відрізняється від справжньої.

Є й інші ризики: перехоплення повідомлень, атаки на мобільного оператора, перевипуск SIM-картки. Для масового користувача це не щоденний сценарій, але для корпоративних або фінансових акаунтів ризик уже варто враховувати.

Тому SMS сьогодні скоріше базовий рівень 2FA, а не її найбезпечніший варіант.

Authenticator: наступний крок

Google Authenticator, Microsoft Authenticator та подібні застосунки вирішують частину проблем SMS.

Одноразові коди створюються безпосередньо на пристрої та не передаються через мобільну мережу. Це означає, що перевипуск SIM уже не допоможе атакувальнику.

Але залишається інша проблема: код усе ще бачить користувач.

Його можна прочитати, скопіювати й ввести на будь-якому сайті.

Саме тому сучасні фішингові атаки нерідко працюють у режимі реального часу. Підроблена сторінка приймає логін і пароль, передає їх справжньому сервісу, отримує запит другого фактора і тут же просить користувача ввести OTP-код.

З боку людини все виглядає майже нормально.

Push-повідомлення теж не завжди рятують

Ще один популярний спосіб — підтвердження входу через push-повідомлення.

Телефон запитує: «Це ви намагаєтесь увійти?»

Користувач натискає «Так» — і вхід дозволено.

Це зручніше за переписування кодів, але тут з’явився інший тип атак: людину буквально засипають запитами на підтвердження входу.

Після п’ятого чи десятого повідомлення хтось просто натискає «Так», щоб вони припинилися.

Тому сучасні системи додають додаткові перевірки: показують номер, місце входу, пристрій або просять підтвердити конкретне число.

Чому зараз так багато говорять про Passkeys

Passkey працює інакше.

Замість секрету, який користувач має пам’ятати або переписувати, використовується криптографічна пара ключів.

Відкритий ключ зберігається у сервісі. Приватний — залишається на пристрої користувача.

Коли потрібно увійти, смартфон або комп’ютер виконує криптографічне підтвердження. Для користувача це може виглядати дуже просто: Face ID, відбиток пальця або PIN пристрою.

Головна різниця в тому, що приватний ключ нікуди не передається.

Немає коду, який можна переписати у фішингове вікно.

Саме тому Passkeys сьогодні активно впроваджують Google, Microsoft, Apple та інші великі платформи.

А де тут FIDO2

Passkeys виросли з технологій FIDO.

FIDO2 дозволяє використовувати криптографічні облікові дані замість традиційного секрету, який передається між користувачем і сервером.

У корпоративних системах FIDO2 може працювати не лише зі смартфоном чи ноутбуком, а й з окремим апаратним ключем.

Такий пристрій підключається через USB або працює безконтактно. Ключ прив’язаний до конкретного ресурсу і не віддає приватні криптографічні дані назовні.

Саме тут сучасна двофакторна автентифікація поступово переходить від простого принципу «пароль + ще один код» до значно ширшої моделі захисту цифрової ідентичності.

Другим фактором уже може бути не число, яке користувач повинен правильно переписати, а фізичний пристрій, що сам перевіряє, з яким сервісом працює.

Чому це важливо саме для смартфонів

Смартфон сьогодні став центром цифрового життя.

На ньому є пошта, банківські застосунки, месенджери, соціальні мережі, корпоративні сервіси. Він же часто використовується як другий фактор для входу на комп’ютері.

Тобто телефон одночасно став і головним засобом доступу, і засобом його підтвердження.

Це дуже зручно, але створює залежність від одного пристрою.

Якщо телефон втрачено, пошкоджено або обліковий запис на ньому скомпрометований, відновлення доступу може виявитися непростим.

Тому для важливих акаунтів корисно мати запасний сценарій: recovery codes, другий пристрій або окремий апаратний ключ.

Чи потрібен апаратний ключ звичайному користувачу

Не обов’язково.

Для більшості особистих акаунтів Passkey на смартфоні або хороший authenticator уже забезпечує значно кращий захист, ніж просто пароль.

Але є категорії користувачів, для яких апаратний ключ цілком виправданий:

керівники компаній, системні адміністратори, розробники, фінансові працівники, журналісти, люди з доступом до критичних корпоративних систем.

Тут ціна компрометації акаунта значно вища.

Саме тому в корпоративному середовищі FIDO-ключі нерідко використовують не замість усіх інших способів входу, а для найважливіших облікових записів.

Не вся 2FA однаково корисна

У цьому й полягає головна зміна останніх років.

Раніше сам факт наявності другого фактора вже сприймався як достатній рівень захисту.

Тепер стає очевидно, що між SMS-кодом і FIDO-ключем є велика різниця.

Умовно ці методи можна розташувати так:

пароль → пароль + SMS → пароль + authenticator → сильніша MFA → Passkey/FIDO2.

Це не означає, що потрібно негайно вимкнути SMS у всіх сервісах.

Якщо вибір стоїть між SMS і відсутністю 2FA, краще SMS.

Але якщо сервіс уже підтримує Passkey або апаратний ключ, є сенс хоча б розібратися з цією можливістю.

Що варто зробити вже зараз

Насамперед перевірити захист головної електронної пошти.

Саме через неї зазвичай відновлюють доступ до інших акаунтів. Якщо зловмисник отримав пошту, далі можуть посипатися соцмережі, магазини, хмарні сервіси та робочі системи.

Потім варто пройтися по Google, Apple ID або Microsoft Account, банківських застосунках, месенджерах і соціальних мережах.

І подивитися не тільки на те, чи ввімкнена 2FA, а й який саме спосіб підтвердження використовується.

Якщо сервіс уже пропонує Passkey — це хороший привід спробувати.

Пароль поки не помер. Але його роль змінюється

Паролі ще довго залишатимуться з нами. Надто багато старих систем побудовано саме навколо них.

Проте напрямок розвитку вже добре видно.

Ми поступово переходимо від системи, де користувач постійно передає якісь секрети — пароль, SMS-код, OTP, — до моделі, де підтвердження відбувається криптографічно і прив’язується до конкретного сервісу.

Для користувача це навіть простіше: доторкнутися до сенсора або підтвердити вхід на смартфоні легше, ніж шукати код у повідомленнях.

А для зловмисника ситуація стає набагато складнішою.

Саме тому найближчі роки, ймовірно, будуть не кінцем двофакторної автентифікації, а її перетворенням. Другий фактор залишиться, але дедалі рідше виглядатиме як шестизначний код, який потрібно кудись переписати.