בקצרה
אימות דו־שלבי (2FA) דורש הוכחת זהות שנייה אחרי הסיסמה [4]. כל שיטת 2FA טובה בהרבה מהיעדר אימות כזה: מחקר של Microsoft מצא שהיא מפחיתה את הסיכון לפריצה לחשבון ב-99.22% [8]. השיטות הבטוחות ביותר הן מפתחות אבטחה של FIDO ומפתחות גישה (passkeys), העמידים לפישינג [1][2]. קודים ב-SMS הם האפשרות החלשה ביותר [1].
עיקרי הדברים
- 2FA, שנקרא גם אימות בשני שלבים (2SV) או אימות רב־גורמי (MFA), מוסיף בדיקה שנייה שרק אתם יכולים להשלים [4].
- מחקר של Microsoft Research מצא ש-MFA הפחית את הסיכון לפריצה ב-99.22% בסך הכול, וב-98.56% בחשבונות שפרטי ההתחברות שלהם דלפו [8].
- CISA מדרגת את שיטות ה-MFA מהחזקה לחלשה: FIDO/WebAuthn ו-PKI, אחריהן קודים מאפליקציה או push עם התאמת מספרים, אחר כך push בלי התאמת מספרים, ולבסוף SMS או שיחה קולית [1].
- רק שיטות מבוססות FIDO, כמו מפתחות אבטחה ומפתחות גישה, עמידות לפישינג; קודים מאפליקציות אימות עדיין חשופים לפישינג [2].
- אפשר לגנוב קודי SMS באמצעות החלפת SIM או פרצות ברשת SS7 [1]; ב-2021 קיבל ה-FBI 1,611 תלונות על החלפת SIM עם הפסדים של יותר מ-68 מיליון דולר [6].
- שמרו קודי גיבוי והגדירו שיטה שנייה, כדי שאובדן הטלפון לא ינעל אתכם מחוץ לחשבון [4].
בעמוד הזה 12 חלקים
מהו אימות דו־שלבי?
אימות דו־שלבי (2FA) הוא בדיקה שנייה, אחרי הסיסמה, שמוכיחה שזה באמת אתם שנכנסים לחשבון [4]. המרכז הלאומי לסייבר של בריטניה (NCSC) מציין שהוא נקרא גם אימות בשני שלבים (2SV) או אימות רב־גורמי (MFA) [4]. השלב השני משתמש במשהו שרק לכם יש גישה אליו, כמו הטלפון שלכם או מפתח אבטחה [4].
MFA משלב שני סוגים שונים של גורמים או יותר: משהו שאתם יודעים (סיסמה או קוד PIN), משהו שיש לכם (טלפון או מפתח) או משהו שאתם (טביעת אצבע או פנים) [1]. אם עבריין גונב את הסיסמה שלכם, הוא עדיין אינו יכול להיכנס בלי הגורם השני [1].
האם 2FA באמת עובד?
כן. מחקר של Microsoft Research משנת 2023 על חשבונות Azure Active Directory שהראו פעילות חשודה מצא ש-MFA הפחית את הסיכון לפריצה ב-99.22% בכלל האוכלוסייה. בחשבונות שפרטי ההתחברות שלהם כבר דלפו, ההפחתה הייתה 98.56% [8]. יותר מ-99.99% מהחשבונות שבהם הופעל MFA נשארו מאובטחים לאורך תקופת המחקר [8]. ה-NCSC מציין שכל 2SV עדיף על היעדרו, גם הודעות טקסט [4].
היקף המתקפות על סיסמאות מסביר מדוע. Microsoft דיווחה שב-2024 היא ראתה כ-7,000 מתקפות סיסמה בשנייה, יותר מפי שניים מהקצב ב-2023 [11].
איזו שיטת 2FA הכי בטוחה?
לא כל שיטות ה-2FA חזקות באותה מידה. CISA, הסוכנות האמריקנית לאבטחת סייבר, מדרגת את השיטות מהחזקה לחלשה לפי מידת העמידות שלהן למתקפות נפוצות [1]:
- MFA עמיד לפישינג: FIDO/WebAuthn (מפתחות אבטחה ומפתחות גישה) וכרטיסים חכמים מבוססי PKI. CISA מגדירה זאת כסטנדרט הזהב [1].
- קודים מאפליקציה או push עם התאמת מספרים: קודים חד־פעמיים מאפליקציית אימות או מאסימון חומרה, או בקשות push שבהן מקלידים מספר שמוצג במסך הכניסה [1].
- push בלי התאמת מספרים: בקשה פשוטה מסוג "לאשר?", שחשופה להצפת בקשות (push bombing) [1].
- קודים ב-SMS או בשיחה קולית: לדברי CISA, יש להשתמש בהם רק כמוצא אחרון [1].
CISA קובעת ש-FIDO/WebAuthn היא שיטת האימות היחידה העמידה לפישינג שזמינה באופן נרחב [1]. ההנחיות שלה למכשירים ניידים משנת 2025 חוזרות על הנקודה: קודים מאפליקציות אימות עדיפים על SMS אבל עדיין חשופים לפישינג, ורק אימות FIDO עמיד לפישינג [2]. ה-NCSC הגיע לאותה מסקנה באפריל 2026. הוא העריך שכל שיטות ה-MFA המסורתיות, כולל קודים ב-SMS, קודים בדוא״ל, קודים מאפליקציות ואישורי push, חשופות מטבען לפישינג [5].
מה הופך שיטה לעמידה לפישינג?
NIST מגדיר עמידות לפישינג כיכולת של פרוטוקול הכניסה למנוע חשיפת סודות לאתר מתחזה בלי להסתמך על ערנות המשתמש [3]. שום שיטה שבה קוראים קוד ומקלידים אותו אינה יכולה לעמוד בהגדרה, משום שאפשר להקליד את הקוד באתר מזויף [3]. שיטות FIDO קשורות לאתר האמיתי, ולכן אתר מתחזה אינו יכול להשתמש בהן [5].
איך משתוות שיטות ה-2FA העיקריות?
הטבלה שלהלן מסכמת את ההגנה של כל שיטה מפני המתקפות העיקריות, על סמך הדירוג של CISA וההנחיות של NIST. CISA מחלקת את המתקפות לארבעה סוגים [1]:
- פישינג: דף כניסה מזויף אוסף את הסיסמה שלכם ואת הקוד החד־פעמי [1].
- הצפת בקשות push: התוקף מציף אתכם בבקשות אישור עד שאתם מאשרים אחת מהן [1].
- ניצול SS7: פרצות במערכת האיתות של רשת הטלפון מאפשרות לתוקפים להשיג קודים שנשלחים ב-SMS או בשיחה קולית [1].
- החלפת SIM: עבריינים משכנעים את חברת הסלולר להעביר את המספר שלכם לכרטיס ה-SIM שלהם [1].
למה קודי SMS נחשבים חלשים?
קודים בהודעות טקסט הם הצורה הנפוצה ביותר של 2FA, וה-NCSC מציין שהם ברירת המחדל ברוב השירותים [4]. הם גם הקלים ביותר לגניבה.
- ההודעות אינן מוצפנות. CISA מציינת שכל מי שיש לו גישה לרשת של ספק תקשורת ומיירט הודעות SMS יכול לקרוא אותן [2].
- אפשר לחטוף מספרים. בהחלפת SIM, עבריינים מתחזים לקורבן, משחדים עובד של חברת הסלולר או פורצים למערכות החברה כדי להעביר מספר לכרטיס ה-SIM שלהם [6]. מאותו רגע הם מקבלים את הודעות הטקסט של הקורבן, כולל קודי 2FA והודעות לאיפוס סיסמה [6].
- אפשר לגנוב אותם בפישינג. כמו כל קוד שמקלידים, אפשר להזין קוד SMS באתר מזויף [3].
ההפסדים ממשיים. מרכז התלונות על פשעי אינטרנט של ה-FBI קיבל 320 תלונות על החלפת SIM בין ינואר 2018 לדצמבר 2020, עם הפסדים מתואמים של כ-12 מיליון דולר. ב-2021 לבדה הוא קיבל 1,611 תלונות, עם הפסדים של יותר מ-68 מיליון דולר [6].
ההנחיות של NIST משנת 2025 מסווגות קודי SMS וקודים בשיחה קולית כאמצעי אימות מוגבל. שירותים שמשתמשים בהם חייבים להציע לפחות חלופה אחת שאינה מוגבלת, וצריכים לבדוק אותות סיכון כמו החלפת SIM לאחרונה או ניוד מספר [3]. NIST קובע גם שאסור להשתמש בדוא״ל לאימות מחוץ לערוץ (out-of-band) [3]. ה-NCSC מקל יותר עם אנשים פרטיים: הוא מונה דוא״ל כשלב שני אפשרי, אם מדובר בחשבון אחר מזה שמשמש לאיפוס הסיסמה [4].
האם עדיין כדאי להשתמש ב-SMS אם זו האפשרות היחידה?
כן. לדברי ה-NCSC, הודעות טקסט אינן סוג ה-2SV המאובטח ביותר, אבל הן עדיין שיפור גדול לעומת סיסמה בלבד [4]. CISA מגדירה SMS כמוצא אחרון, אבל כזה שיכול לשמש צעד זמני [1].
איך עובדות אפליקציות אימות ובקשות push?
רוב אפליקציות האימות מפיקות סיסמאות חד־פעמיות מבוססות זמן (TOTP), שמוגדרות בתקן האינטרנט RFC 6238 [7]. בזמן הגדרת האפליקציה, היא והשירות חולקים מפתח סודי. מאותו רגע האפליקציה משלבת את המפתח עם השעה הנוכחית ומפיקה קוד קצר שמשתנה בכל פרק זמן, 30 שניות כברירת מחדל [7]. מאחר שהקוד מחושב בטלפון, אפליקציות אימות אינן זקוקות לקליטה סלולרית [4]. לכן הן שימושיות במקומות שבהם הכיסוי הסלולרי או מסירת ה-SMS אינם אמינים.
אפליקציות אימות עמידות להחלפת SIM ולמתקפות SS7 [1], והמחקר של Microsoft מצא שאפליקציות ייעודיות כמו Microsoft Authenticator עלו בביצועיהן על SMS [8]. נקודת התורפה שלהן היא פישינג: אתר מזויף יכול לבקש את הקוד ולהעביר אותו הלאה מיד [1][2].
מהי התאמת מספרים?
2FA מסוג push שולח בקשת אישור לטלפון שלכם. בלי התאמת מספרים מספיק להקיש על „אישור”, ולכן הצפת בקשות אפשרית. עם התאמת מספרים יש להקליד באפליקציה מספר שמוצג במסך הכניסה, וזו בדיקה נוספת נגד אישורים עיוורים [1]. CISA ממליצה על התאמת מספרים לארגונים שעדיין אינם יכולים להשתמש ב-MFA עמיד לפישינג [1].
איפה משתלבים מפתחות אבטחה ומפתחות גישה?
מפתחות אבטחה ומפתחות גישה משתמשים שניהם בתקני FIDO ובקריפטוגרפיה של מפתח ציבורי [10]. מפתח אבטחה הוא התקן פיזי קטן שמתחבר ב-USB או ב-NFC. מפתח גישה יכול להישמר בטלפון או במחשב שלכם, ונפתח בטביעת האצבע, בפנים או בקוד ה-PIN שלכם [10].
לאנשים בסיכון גבוה למתקפות ממוקדות, CISA קובעת שמפתחות אבטחה פיזיים של FIDO הם האפשרות היעילה ביותר כשהדבר אפשרי, ומפתחות גישה של FIDO הם חלופה מקובלת [2]. לדברי ה-NCSC, מפתחות גישה בטוחים לפחות כמו MFA מסורתי, או בטוחים ממנו, מול כל המתקפות הנפוצות על פרטי התחברות שנצפו בפועל [5]. הוא ממליץ עליהם כבחירה הראשונה בכל מקום שבו שירותים מציעים אותם [12].
מפתח גישה יכול גם לייתר את הצורך בשלב שני נפרד. בחשבון Google, כניסה עם מפתח גישה עוקפת את שלב האימות הדו־שלבי (2-Step Verification) [9]. ה-NCSC מציין שכאשר המכשיר מאמת את המשתמש, אישור FIDO2 הוא רב־גורמי בפני עצמו [5].
איך מגדירים 2FA בצורה בטוחה?
- התחילו בדוא״ל. ה-NCSC ממליץ להפעיל 2SV בחשבונות חשובים, ובמיוחד בדוא״ל, משום שגישה לתיבת הדואר שלכם יכולה לאפשר לעבריינים לאפס את שאר הסיסמאות שלכם [4].
- בחרו בשיטה החזקה ביותר שמוצעת. העדיפו מפתח גישה או מפתח אבטחה, אחריהם אפליקציית אימות, והשתמשו ב-SMS רק כשאין שום אפשרות אחרת [1][2].
- הסירו את החלופה החלשה. CISA מציינת שהרשמה לאפליקציית אימות אינה מסירה אוטומטית את ה-SMS מהחשבון, ומשאירה חלופה חלשה. השביתו את ה-SMS ברגע ששיטה חזקה יותר פועלת [2].
- שמרו קודי גיבוי. אחסנו את קודי הגיבוי החד־פעמיים במקום בטוח, והפיקו קודים חדשים אחרי שהשתמשתם בהם [4].
- הוסיפו שיטה שנייה. ה-NCSC ממליץ על אפשרות גיבוי למקרה שהשלב השני העיקרי שלכם אינו זמין [4].
- הגנו על מספר הטלפון שלכם. CISA מציעה להגדיר קוד PIN אצל ספק הסלולר [2]. ה-FBI ממליץ לעולם לא למסור את קוד ה-PIN או את הסיסמה שלכם למתקשרים שפנו אליכם ביוזמתם [6].
- לעולם אל תאשרו בקשה שלא אתם יזמתם. בקשות push לא צפויות עשויות להיות ניסיון להצפת בקשות [1].
שימו לב לסימני אזהרה. לדברי ה-FBI, אובדן פתאומי של קליטה סלולרית או של שירות ה-SMS עשוי להעיד על החלפת SIM. אם זה קורה, פנו מיד לחברת הסלולר והחליפו את הסיסמאות של החשבונות שלכם [6].
מה משתנה בתחום ה-2FA?
ההנחיות הרשמיות מתרחקות מקודים ועוברות לשיטות עמידות לפישינג. ההנחיות של NIST משנת 2025 מחייבות שירותים ברמת הבטחה AAL2 להציע לפחות אפשרות אחת עמידה לפישינג [3]. NIST מציין גם שהוא עשוי לשנות את הסטטוס המוגבל של קודים ברשת הטלפון בהתאם לשינויים באיומים [3]. באפריל 2026 הודיע ה-NCSC שימליץ על מפתחות גישה בכל מקום שבו שירות תומך בהם, ועל 2SV בכל מקום שבו לא [5].
לרוב האנשים, הדרך המעשית נכון ל-3 בנובמבר 2026 כוללת שלושה צעדים. הפעילו 2FA בכל מקום שבו הוא מוצע. החליפו SMS באפליקציית אימות היכן שאפשר. לאחר מכן העבירו את החשבונות החשובים ביותר שלכם למפתחות גישה או למפתח אבטחה. כל צעד סוגר סוג של מתקפה שהשיטה החלשה יותר משאירה פתוח [1][5].
| שיטה | פישינג | הצפת בקשות push | החלפת SIM / SS7 | העמדה הרשמית |
|---|---|---|---|---|
| מפתח אבטחה של FIDO או מפתח גישה | עמיד [1] | לא רלוונטי [1] | לא רלוונטי [1] | סטנדרט הזהב [1] |
| קוד מאפליקציית אימות (TOTP) | פגיע [1] | לא רלוונטי | לא רלוונטי [1] | עדיף על SMS, עדיין חשוף לפישינג [2] |
| push עם התאמת מספרים | פגיע [1] | עמיד [1] | לא רלוונטי [1] | אפשרות ביניים מקובלת [1] |
| push בלי התאמת מספרים | חשוף לטעות משתמש [1] | פגיע [1] | לא רלוונטי [1] | אפשרות אפליקציה חלשה יותר [1] |
| קוד ב-SMS או בשיחה קולית | פגיע [1] | לא רלוונטי | פגיע [1] | מוצא אחרון [1]; מוגבל לפי NIST [3] |
| קוד בדוא״ל | פגיע [3] | לא רלוונטי | לא רלוונטי | אסור לשימוש מחוץ לערוץ לפי NIST [3] |
טעויות נפוצות
השארת SMS פעיל אחרי הוספת אפליקציית אימות
הדרך הנכונה: CISA מציינת שהרשמה לאפליקציה אינה מסירה את ה-SMS, ומשאירה חלופה חלשה. השביתו את ה-SMS ברגע שהשיטה החזקה יותר פועלת [2].
אי־שמירה של קודי גיבוי
הדרך הנכונה: אחסנו את קודי הגיבוי החד־פעמיים במקום בטוח והגדירו שיטה שנייה, כפי שה-NCSC ממליץ [4].
אישור בקשת כניסה שלא אתם יזמתם
הדרך הנכונה: בקשות חוזרות ולא צפויות הן סימן להצפת בקשות push [1]. דחו אותן והחליפו את הסיסמה שלכם.
הקלדת קוד 2FA בדף שהגעתם אליו דרך קישור
הדרך הנכונה: אתרים מזויפים יכולים להעביר הלאה קודים מאפליקציות ומ-SMS [1]. היכנסו לאתר ישירות, או השתמשו במפתח גישה, שאי אפשר לגנוב בפישינג [5].
שימוש בשאלות אבטחה כגורם שני
הדרך הנכונה: לדברי ה-NCSC, מידע לזיכרון ושאלות אבטחה אינם מעניקים את אותה הגנה כמו 2SV [4].
שאלות נפוצות
האם אימות דו־שלבי שווה את המאמץ?
כן. חוקרי Microsoft מצאו ש-MFA הפחית את הסיכון לפריצה לחשבון ב-99.22% [8], וה-NCSC מציין שכל 2SV, אפילו SMS, עדיף על היעדרו [4].
מהו סוג ה-2FA המאובטח ביותר?
שיטות מבוססות FIDO, כלומר מפתחות אבטחה פיזיים ומפתחות גישה. CISA מגדירה MFA עמיד לפישינג כסטנדרט הזהב [1] ומדרגת מפתחות פיזיים כיעילים ביותר למשתמשים בסיכון גבוה [2].
האם אימות דו־שלבי ב-SMS בטוח?
הוא עדיף על היעדר 2FA [4], אבל הוא האפשרות הנפוצה החלשה ביותר. אפשר ליירט SMS או להסיט אותו באמצעות החלפת SIM ומתקפות SS7 [1], ולכן CISA מגדירה אותו כמוצא אחרון [1].
האם אפליקציות אימות עדיפות על SMS?
כן. הן עמידות להחלפת SIM ולמתקפות SS7 [1] ועלו על SMS במחקר של Microsoft [8]. הן פועלות בלי קליטה סלולרית [4], אבל עדיין אפשר לגנוב את הקודים שלהן בפישינג [2].
מה קורה אם אני מאבד את הטלפון שבו נמצאת אפליקציית האימות?
השתמשו בקודי הגיבוי ששמרתם או בשיטה שנייה שהגדרתם מראש [4]. בלעדיהם תצטרכו לעבור את תהליך שחזור החשבון של השירות.
מילון מונחים
- אימות דו־שלבי (2FA)
- כניסה שדורשת בדיקה שנייה אחרי הסיסמה; נקראת גם 2SV או MFA [4].
- TOTP
- סיסמה חד־פעמית מבוססת זמן: קוד שמופק מסוד משותף ומהשעה הנוכחית, ומוגדר בתקן RFC 6238 [7].
- החלפת SIM (SIM swap)
- הונאה שבה עבריינים גורמים לחברת סלולר להעביר את המספר של הקורבן לכרטיס SIM שבשליטתם [6].
- SS7
- Signalling System 7, פרוטוקול האיתות של רשת הטלפון, שפרצות בו עלולות לחשוף קודים ב-SMS ובשיחות קוליות [1].
- הצפת בקשות push (Push bombing)
- הצפת משתמש בבקשות לאישור כניסה עד שהוא מאשר אחת מהן; נקראת גם עייפות push [1].
- התאמת מספרים
- תכונה של 2FA מסוג push שמחייבת להקליד באפליקציה מספר שמוצג במסך הכניסה לפני האישור [1].
- MFA עמיד לפישינג
- אימות שאי אפשר להעביר הלאה דרך אתר מזויף; בפועל FIDO/WebAuthn או PKI [1].
מקורות
- Implementing Phishing-Resistant MFA (fact sheet) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Setting up 2-Step Verification (2SV) UK National Cyber Security Centre (NCSC) · 2018-08-07
- Passkeys are more secure than traditional ways to log in UK National Cyber Security Centre (Dave Chismon) · 2026-04-23
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public (Alert I-020822-PSA) FBI Internet Crime Complaint Center (IC3) · 2022-02-08
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm Internet Engineering Task Force (IETF)
- How effective is multifactor authentication at deterring cyberattacks? Microsoft (Meyer, Romero, Bertoli, Burt, Weinert, Lavista Ferres), arXiv · 2023-05-01
- Sign in with a passkey instead of a password Google Account Help
- Passkeys: passwordless authentication FIDO Alliance
- Pushing passkeys forward: Microsoft's latest updates for simpler, safer sign-ins Microsoft Security Blog · 2025-05-01
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
תגובות
הערות מובילות