Почему двухфакторная аутентификация через SMS больше не безопасна для Microsoft 365

By Mirko Peters · 2026-10-26

Узнайте, почему двухфакторная аутентификация через SMS оставляет клиенты Microsoft 365 уязвимыми для подмены SIM-карты и фишинга и что вместо неё стоит использовать.

Automatically translated with AI from the original post. Read the English original

Двухфакторная аутентификация через SMS долгое время была стандартным вторым шагом как для ИT-администраторов, так и для конечных пользователей, однако её зависимость от устаревшей телекоммуникационной сети делает её опасно уязвимой для современных кибератак, таких как подмена SIM-карты и целенаправленный фишинг.

Главное

• Многофакторная аутентификация на основе SMS опирается на публичную телефонную сеть, поэтому она уязвима для перехвата и подмены SIM-карты.
• Исследования Google и Verizon показывают, что текстовые коды гораздо чаще не справляются с целенаправленными фишинговыми атаками, чем современные push-уведомления или паскеи.
• Отчёты Verizon о нарушениях безопасности прямо рекомендуют не использовать текстовые коды SMS для проверки входа.
• Переход с SMS требует планирования двух методов проверки, чтобы не допустить перегрузки службы поддержки и постоянных блокировок учётных записей.

Иллюзия безопасности кодов SMS

Когда организации впервые внедряют многофакторную аутентификацию, текстовые сообщения часто кажутся удачным решением. Их поддерживают повсеместно, для них не нужно устанавливать программное обеспечение, и они работают практически на любом мобильном устройстве. Однако с точки зрения архитектуры безопасности SMS нарушает фундаментальное правило надёжной проверки личности: сам механизм доставки изначально несовершенен.

Текстовое сообщение SMS проходит через стандартную телекоммуникационную сеть, прежде чем попасть на ваш мобильный телефон. Поскольку эта инфраструктура создавалась десятилетия назад с очень малым вниманием к безопасности, её можно перехватить, перенаправить или подменить. Злоумышленники регулярно используют эту уязвимость с помощью метода, известного как подмена SIM-карты. Социально инжиниринговыми методами воздействуя на сотрудников службы поддержки мобильных операторов, атакующие могут перенести ваш номер телефона на SIM-карту в своём смартфоне. Как только перенос завершён, каждый код аутентификации, предназначенный для вашей учётной записи, поступает напрямую к злоумышленнику.

Что говорят исследования о многофакторной аутентификации через SMS

Данные по безопасности красноречиво показывают, насколько эффективна проверка через SMS. Хотя текстовые коды обеспечивают достаточную защиту от автоматизированных атак с подбором учётных данных, которые требуют мало усилий, их эффективность резко падает, когда речь идёт о реальных людях-противниках.

Фундаментальные исследования безопасности Google показали, что, хотя коды SMS блокировали примерно девяносто шесть процентов массовых фишинговых попыток, их эффективность заметно снижалась против целенаправленных кампаний. Когда злоумышленник сосредотачивается на конкретном человеке или организации, текстовые коды не обеспечивают надёжной защиты. Поэтому крупные отраслевые стандарты в сфере кибербезопасности и ежегодные расследования утечек, включая отчёты Verizon, сейчас активно рекомендуют полностью отказаться от текстовых сообщений и голосовых вызовов для проверки входа.

Атаки «человек посередине» (Adversary-in-the-Middle)

Главное ограничение любого вводимого вручную кода в том, что его можно перенаправить. При атаке «человек посередине» злоумышленник размещает безупречную копию страницы входа в Microsoft 365, визуально неотличимую от настоящей. Когда вы вводите пароль и SMS-код на этом поддельном портале, прокси-сервер сразу передаёт ваши данные настоящему сервису. Система предоставляет доступ, а злоумышленник получает действующий токен сеанса и полностью обходит ваши защитные механизмы, даже несмотря на то, что вы ввели действительный код.

Переход с SMS на современные альтернативы

Отказ от текстовых сообщений требует понимания иерархии доступных вторых факторов. Чтобы по-настоящему защитить среду Microsoft 365, организациям нужно переводить пользователей на методы, которые исключают многоразовые секреты и зависимость от телеком-операторов.

Приложения-аутентификаторы и сопоставление чисел

Приложения-аутентификаторы — это огромный шаг вперёд по сравнению с SMS. Они генерируют на устройстве одноразовые пароли на основе времени, которые меняются со временем, и тем самым полностью обходят телефонную сеть. Кроме того, в корпоративных решениях, например в приложении Microsoft Authenticator, такие функции, как сопоставление чисел, нейтрализуют атаки с бомбардировкой запросами. Пользователь должен посмотреть на экран входа, прочитать случайное число и ввести его в мобильном приложении. Так он осознанно подтверждает попытку входа, которую действительно инициировал сам.

Устойчивые к фишингу ключи доступа и ключи безопасности

Золотой стандарт современной аутентификации — это аппаратные ключи, устойчивые к фишингу, или платформенные ключи доступа (passkeys). Эти механизмы основаны на криптографии с открытым ключом. Устройство хранит закрытый криптографический ключ, который никогда не покидает аппаратное обеспечение. При входе сайт отправляет криптографический запрос, и ваше устройство подписывает его. Поддельный фишинговый сайт не может подделать эту подпись, поэтому атаки «человек посередине» становятся полностью безрезультатными. Собственные метрики Microsoft показывают, что вход с помощью ключей доступа заметно быстрее, чем вход по паролю с последующим стандартным запросом MFA. Это доказывает, что более высокий уровень безопасности не обязательно достигается ценой удобства пользователей.

Управление переходом в вашей организации

Внедрение политики, которая запрещает аутентификацию по SMS, может вызвать сопротивление, если подойти к этому без должной осторожности. Администраторам ИТ необходимо стратегически планировать развёртывание. Начните с учётных записей повышенного риска, таких как глобальные администраторы, сотрудники финансового отдела и пользователи, имеющие доступ к порталам критически важной инфраструктуры. Предоставьте пользователям как минимум два действительных способа подтверждения и понятные, протестированные процедуры восстановления доступа, чтобы законные пользователи не оказались заблокированы, если телефон потерян или заменён.

Заключение и следующие шаги

Любая форма многофакторной аутентификации, безусловно, лучше, чем полагаться только на пароль, однако использование текстовых SMS-кодов оставляет современные облачные среды открытыми для риск��в, которых можно было бы избежать. Переход на приложения-аутентификаторы с сопоставлением чисел или на полностью устойчивые к фишингу ключи доступа превращает вашу позицию в области безопасности из хрупкого препятствия в надёжную защиту.

Чтобы глубже разобраться в механизмах защиты идентификации, конфигурациях безопасности облачных сервисов и современных стратегиях аутентификации, обязательно послушайте связанное обсуждение в нашем подкасте. Слушайте полный выпуск и присоединяйтесь к нам, когда мы разберём всё, что нужно для защиты сред Microsoft 365 и Azure.

Часто задаваемые вопросы

Почему SMS считается слабым методом многофакторной аутентификации?

SMS-коды передаются через телекоммуникационную сеть, а не по защищённому каналу приложения. Это делает их уязвимыми для атак с подменой SIM-карты, когда злоумышленники обманом убеждают операторов перенести ваш номер телефона на устройство, которое контролируют сами.

Может ли Microsoft 365 позволить администраторам отключить аутентификацию по SMS?

Да, администраторы Microsoft 365 могут использовать элементы управления политикой методов проверки подлинности в Entra ID, чтобы ограничить или отключить варианты с SMS и голосовыми звонками. Это подталкивает пользователей к более безопасным вариантам, например к приложению Microsoft Authenticator или ключам FIDO2.

Как сопоставление чисел в приложениях-аутентификаторах защищает от фишинга?

Сопоставление чисел требует, чтобы пользователь ввёл в приложении-аутентификаторе конкретное число, отображаемое на экране входа. Это не позволяет пользователям вслепую нажимать «Подтвердить» из-за усталости от запросов или при атаках «человек посередине».

Какая лучшая альтернатива SMS-кодам для корпоративных пользователей?

Ключи безопасности FIDO2 и современные passkey обеспечивают самый высокий уровень защиты, поскольку полностью устойчивы к фишингу и опираются на криптографию с открытым ключом, а не на многоразовые коды.