Чому багатофакторна автентифікація через SMS більше не є безпечною для Microsoft 365

By Mirko Peters · 2026-10-26

Дізнайтеся, чому багатофакторна автентифікація через текстові повідомлення SMS залишає клієнти Microsoft 365 вразливими до SIM swapping і фішингу, та що ви маєте використовувати натомість.

Automatically translated with AI from the original post. Read the English original

Багатофакторна автентифікація через текстові повідомлення SMS тривалий час була типовим другим кроком як для ІТ-адміністраторів, так і для кінцевих користувачів. Але її залежність від застарілої телекомунікаційної мережі робить її небезпечно вразливою до сучасних кібератак, зокрема SIM swapping і цільового фішингу.

Головне

• Багатофакторна автентифікація на основі SMS покладається на публічну телефонну мережу, тому вона вразлива до перехоплення та SIM swapping.
• Дослідження Google і Verizon показують, що текстові коди значно частіше не витримують цільових фішингових атак, ніж сучасні push-сповіщення чи passkeys.
• Звіти Verizon's про витоки даних прямо радять не використовувати текстові коди для перевірки входу.
• Перехід від SMS потребує планування подвійних методів перевірки, щоб уникнути перевантаження служби підтримки та постійного блокування користувачів.

Ілюзія безпеки SMS-кодів

Коли організації вперше впроваджують багатофакторну автентифікацію, текстові повідомлення часто здаються перемогою. Вони універсально підтримуються, не потребують встановлення програмного забезпечення та працюють практично на будь-якому мобільному пристрої. Втім, з погляду архітектури безпеки SMS порушує фундаментальне правило надійної перевірки ідентичності: сам механізм доставки принципово хибний.

Текстове повідомлення SMS проходить стандартною телекомунікаційною мережею, перш ніж дістатися до вашого телефону. Оскільки ця інфраструктура створювалася десятиліття тому з дуже малою увагою до безпеки, її можна перехопити, перенаправити або маніпулювати нею. Зловмисники регулярно експлуатують цю вразливість за допомогою техніки, відомої як SIM swapping. Соціальною інженерією переконавши персонал служби підтримки мобільного оператора, нападники переносять ваш номер на SIM-картку у власному смартфоні. Щойно переведення завершено, кожен код автентифікації для вашого облікового запису потрапляє безпосередньо до нападника.

Що показують дослідження про багатофакторну автентифікацію через текстові повідомлення

Дані з безпеки малюють невтішну картину ефективності перевірки через SMS. Текстові коди забезпечують достатній захист від автоматизованих атак credential stuffing з мінімальними зусиллями, але їхня ефективність різко падає, коли йдеться про реальних людей-супротивників.

Визначальні дослідження безпеки від Google показали, що хоча SMS-коди блокували приблизно дев'яносто шість відсотків масових фішингових спроб, їхня ефективність суттєво знижувалася під час цільових кампаній. Коли нападник зосереджує зусилля на конкретній людині чи організації, текстові коди не забезпечують надійного захисту. Тому провідні рамки кібербезпеки та щорічні розслідування витоків, зокрема звіти Verizon, тепер прямо рекомендують відмовитися від текстових повідомлень і голосових дзвінків для перевірки входу загалом.

Атаки типу «зловмисник посередині»

Основне обмеження будь-якого коду, який вводять вручну, полягає в тому, що його можна перенаправити. Під час атаки типу «людина посередині» зловмисник розгортає бездоганну за виглядом копію сторінки входу Microsoft 365. Коли ви вводите пароль і SMS-код на цьому фальшивому порталі, проксі-сервер одразу передає ваші облікові дані справжньому сервісу. Система надає доступ, а зловмисник отримує активний токен сеансу й обходить ваш захист, попри те що ви ввели дійсний код.

Перехід від SMS до сучасних альтернатив

Відмова від текстових повідомлень вимагає розуміння ієрархії доступних другорядних факторів. Щоб справді захистити середовище Microsoft 365, організації мають переводити користувачів на методи, які усувають багаторазові секрети та залежність від телекомунікаційних мереж.

Застосунки-автентифікатори та зіставлення чисел

Застосунки-автентифікатори є суттєвим кроком уперед порівняно з SMS. Вони генерують одноразові паролі на основі часу, які змінюються з часом, локально на пристрої, тож повністю обходять телефонну мережу. Крім того, у корпоративних рішеннях, таких як застосунок Microsoft Authenticator, функції на кшталт зіставлення чисел нейтралізують атаки з масовими запитами на підтвердження. Користувачі мають подивитися на екран входу, прочитати випадкове число та ввести його в мобільний застосунок. Так вони свідомо підтверджують спробу входу, яку справді ініціювали самі.

Стійкі до фішингу ключі доступу та ключі безпеки

Золотим стандартом сучасної автентифікації є стійкі до фішингу апаратні ключі або платформні ключі доступу (passkeys). Ці механізми спираються на криптографію з відкритим ключем. Ваш пристрій зберігає приватний криптографічний ключ, який ніколи не покидає апаратного забезпечення. Під час автентифікації сайт надсилає криптографічний виклик, який пристрій підписує. Фальшивий фішинговий сайт не може підробити цей підпис, тож атаки типу «людина посередині» стають абсолютно неефективними. Власні метрики Microsoft показують, що входи з ключами доступу відбуваються значно швидше, ніж традиційний пароль із стандартним запитом MFA. Це доводить, що вищий рівень безпеки не обов’язково означає гірший користувацький досвід.

Керування переходом у вашій організації

Упровадження політики, яка забороняє автентифікацію через SMS, може викликати спротив, якщо до цього поставитися недбало. ІТ-адміністраторам слід стратегічно планувати розгортання. Почніть із облікових записів підвищеного ризику, зокрема глобальних адміністраторів, фінансового персоналу та користувачів, які мають доступ до критично важливих інфраструктурних порталів. Надайте користувачам принаймні два дійсні методи перевірки та чіткі, протестовані шляхи відновлення доступу, щоб законні користувачі не втратили доступ до свого облікового запису, коли телефон загублено або замінено.

Висновки та наступні кроки

Будь-яка форма багатофакторної автентифікації безперечно краща за самостійний пароль, але використання текстових SMS-кодів залишає сучасні хмарні середовища вразливими до ризиків, яких можна уникнути. Перехід на застосунки-автентифікатори з зіставленням чисел або повністю стійкі до фішингу ключі доступу перетворює вашу систему безпеки з крихкого «лежачого поліцейського» на надійний захист.

Щоб глибше розібратися в механізмах захисту ідентичності, конфігураціях безпеки хмари та сучасних стратегіях автентифікації, обов’язково перегляньте пов’язане обговорення в нашому подкасті. Послухайте повний випуск і приєднуйтесь до нас, коли ми розбиратимемо все, що потрібно для захисту ваших середовищ Microsoft 365 і Azure.

Поширені запитання

Чому SMS вважається слабким методом багатофакторної автентифікації?

SMS-коди передаються телекомунікаційною мережею, а не через зашифрований канал застосунку. Це робить їх уразливими до атак із переміщенням SIM-картки (SIM swapping), коли зловмисники обманом змушують мобільних операторів перенести ваш номер телефону на пристрій, який контролюють самі.

Чи дозволяє Microsoft 365 адміністраторам вимикати автентифікацію через SMS?

Так, адміністратори Microsoft 365 можуть використовувати засоби керування політиками методів автентифікації в Entra ID, щоб обмежити або вимкнути варіанти SMS і голосових дзвінків. Це підштовхує користувачів до безпечніших варіантів, як-от застосунок Microsoft Authenticator або ключі FIDO2.

Як методи зіставлення чисел в застосунках-автентифікаторах запобігають фішингу?

Зіставлення чисел вимагає від користувача ввести в застосунок-автентифікатор конкретне число, яке відображається на екрані входу. Це запобігає автоматичному підтвердженню запитів у разі втоми від запитів (prompt fatigue) або атак типу «людина посередині».

Яка найкраща альтернатива SMS-кодам для корпоративних користувачів?

Ключі безпеки FIDO2 і сучасні паскеї забезпечують найвищий рівень захисту, адже вони повністю стійкі до фішингу та спираються на криптографію з відкритим ключем, а не на багаторазові коди.