Google и «Яндекс» усиливают защиту аккаунтов. Это позволит бороться с утечками данных пользователей

Что произошло

Google установит по умолчанию двухфакторную аутентификацию для 150 млн пользователей. Об этом компания сообщила в своем блоге.

• Включение двухфакторной аутентификации означает, что пользователь при входе в свой аккаунт на каком-либо сервисе Google должен будет подтвердить свою личность с другого авторизованного устройства. Например, если пользователь захочет открыть почту Google через компьютер, после введения пароля ему на телефон придет уведомление с просьбой подтвердить авторизацию.
• В блоге Google отмечается, что использование двухфакторной формы аутентификации «значительно снижает шансы злоумышленника получить доступ к учетной записи».
• Кроме того, компания потребует самостоятельно включить проверку другим устройством 2 млн авторов контента на YouTube (видеохостинг принадлежит Google).
• Как именно будут выбирать пользователей, для которых изменится система входа в аккаунт, пока не уточняется. По данным на 2020 год, только число активных аккаунтов почтового сервиса Gmail достигало 1,8 млрд.
• Внедрить нововведения Google планирует до конца 2021 года.
• Сейчас по умолчанию двухфакторная аутентификация при создании Google-аккаунта не включается. При этом компания подталкивает пользователей включить дополнительную систему защиты уже несколько лет. В 2018 году Google заявлял, что только на 10% его активных аккаунтов использовали двухфакторную аутентификацию.

«Яндекс» также решил усилить защиту аккаунтов пользователей. 

• Приложения компании будут присылать пуш-уведомления обо всех входах в «Яндекс ID». Так пользователь сможет сразу заметить подозрительные действия и закрыть аккаунт от злоумышленников.
• Также «Яндекс» начнет проверять пароли на безопасность при каждом вводе. Для проверки используется база из 1,2 млрд «слитых» ключей, которую компания пополняет из открытых источников. «Если пароль был скомпрометирован, «Яндекс» попросит его сменить и подтвердить свои права на аккаунт с помощью кода из СМС. Это наиболее надежный способ защиты», — пояснили в компании.
• Кроме смены пароля, система предложит пользователю проверить данные в «Яндекс ID»: номера телефонов, почту, адреса страниц в соцсетях. Эта информация используется, чтобы восстановить доступ к аккаунту.

Как это работает

• Двухфакторная аутентификация, или 2FA — это метод идентификации пользователя в каком-либо сервисе с использованием двух различных типов данных. Проще говоря, чтобы получить доступ к аккаунту, пользователю нужно дважды подтвердить свою личность.
• Чаще всего это выглядит так: первый рубеж безопасности — логин и пароль, второй — специальный код, приходящий по СМС или электронной почте.
• Иногда для подтверждения личности используются не коды, а биометрические устройства — например, сканеры лица, отпечатков пальцев или сетчатки глаза.
• Введение дополнительного уровня безопасности обеспечивает более эффективную защиту аккаунта от злоумышленников. Даже если пароль был скомпрометирован, мошеннику придется или раздобыть телефон жертвы, или взломать ее почтовый ящик.
• Воспользоваться функцией 2FA предлагают большинство сервисов и соцсетей, среди них Facebook, «ВКонтакте», Gmail, Twitter, Steam и Instagram.

Тенденция

В СМИ все чаще появляется информация об утечке данных пользователей.

• В феврале 2021 года «Яндекс» сообщил об утечке данных почти 5 тыс. пользователей «Яндекс.Почты». Данные «сливал» один из сотрудников. Компания заблокировала неавторизованный доступ к ящикам и выслала их владельцам уведомления с просьбой сменить пароль.
• В октябре этого года СМИ сообщали, что данные более чем 1,5 млрд пользователей Facebook попали в Сеть и продаются на популярном хакерском сайте. На форуме можно купить имена, адреса электронной почты, телефоны и ID пользователей социальной сети. Ранее, в апреле 2021 года хакеры на специальном форуме опубликовали личные данные более 500 млн пользователей Facebook. 
• В 2020 году в открытом доступе оказалась база с 235 млн аккаунтов Instagram, TikTok и YouTube. Эксперты назвали это «ценной информацией» для хакеров и киберпреступников.

Что делать

В лаборатории Касперского считают двухфакторную аутентификацию одним из самых эффективных методов защиты и рекомендуют использовать ее во всех аккаунтах. Эксперты отмечают, что лучше использовать не коды по СМС, а альтернативные способы, например приложения-аутентификаторы.

• Пароль в СМС можно подсмотреть, если у вас включен показ уведомлений на экране блокировки. Также преступники могут обманным способом получить новую сим-карту с номером жертвы в салоне сотовой связи. Тогда СМС будут приходить на новую карту, а телефон жертвы просто не будет связываться с сетью.
• Приложения-аутентификаторы генерируют одноразовые коды для входа в аккаунт. Одни из самых известных — Google Authenticator, Duo Mobile, Microsoft Authenticator и «Яндекс.Ключ».

Также в некоторых соцсетях есть возможность включить двухфакторную аутентификацию, чтобы защитить аккаунты.

• Чтобы включить 2FA «ВКонтакте», в приложении необходимо зайти в «Настройки», затем в «Управление аккаунтом VK Connect», далее — «Безопасность и вход» и «Подтверждение входа». После этого необходимо выбрать способ подтверждения входа и восстановления доступа.
• В Facebook нужно выбрать «Настройки и конфиденциальность», далее — «Быстрые настройки конфиденциальности». Затем в разделе «Безопасность аккаунта» нажать «Использовать двухфакторную аутентификацию». 
• В Instagram нужно зайти в меню, выбрать «Настройки», «Безопасность» и «Двухфакторная аутентификация». Затем нужно выбрать удобный способ.
• В Telegram двухэтапная аутентификация настраивается нестандартно: при входе с каждого нового устройства пользователю и так нужно вводить код, полученный в СМС. Поэтому второй этап аутентификации, который можно подключить, — это как раз обычный пароль. Для этого необходимо выбрать «Настройки», затем «Конфиденциальность», «Безопасность» и далее — «Двухэтапная аутентификация».
• Подключить двухфакторную аутентификацию в сервисах «Яндекса» можно только через приложение «Яндекс.Ключ».
• Настроить подтверждение входа в почте и других сервисах Google можно на странице аккаунта.