Как перейти с SMS 2FA на passkey в любом аккаунте

Почему стоит перейти с SMS 2FA на passkey сейчас?

SMS-коды можно перехватить внутри телефонных сетей, а passkey рассчитан на устойчивость к фишингу, и крупные компании отходят от SMS: Microsoft убирает собственные коды по SMS и голосовому звонку для большинства рабочих и учебных аккаунтов с 1 февраля 2027 года ^[1][8].

Риск не теоретический. Компания по мобильной безопасности Enea сообщила 11 ноября 2026 года, что недавно выявленная группа, которую она называет SilentAir, использовала вредоносные запросы обновления местоположения в мобильных сетях для перехвата SMS и звонков, причём связанные с SilentAir элементы сети найдены как минимум в шести странах Азии, а некоторые цели получали коды 2FA сразу после перехвата ^[11]. Полная история — в руководстве Pouyam Is SMS 2FA Safe? What the SilentAir Attacks Show.

Официальные рекомендации указывают в ту же сторону. Агентство по кибербезопасности и защите инфраструктуры США (CISA) в декабре 2024 года сказало людям, подвергающимся целенаправленным атакам: «Не используйте SMS как второй фактор», и поставило ключи безопасности FIDO и passkey выше приложений-аутентификаторов ^[9]. Американский орган по стандартам NIST относит коды по SMS и голосовому звонку к «ограниченным» аутентификаторам, для которых сервисы должны предлагать альтернативу ^[10].

Passkey работает иначе. Это пара криптографических ключей, которая хранится на телефоне, компьютере или ключе безопасности, разблокируется лицом, отпечатком пальца или PIN-кодом экрана, и FIDO Alliance описывает её как устойчивую к фишингу ^[8]. Здесь нет кода, который можно прочитать вслух или переслать, и Google называет passkey «более защищёнными от фишинга», чем пароли ^[2]. Сравнение всех способов рядом — в руководстве Two-Factor Authentication Explained: Which 2FA Method Is Safest?

Как перевести любой аккаунт с SMS 2FA на passkey?

Безопасный порядок одинаков для любого аккаунта: проверьте поддержку passkey, создайте passkey, добавьте второй способ входа, сохраните резервные коды, затем удалите номер телефона как второй шаг и проверьте вход ^[2][3][12]. Пропуск шага с резервным способом — самая частая причина потери доступа.

1. Проверьте поддержку. Откройте настройки безопасности или входа аккаунта и найдите «Passkeys». Общественный каталог passkeys.directory, который ведёт 1Password, перечисляет сайты, предлагающие passkey для входа или как второй фактор ^[12].
2. Создайте passkey на устройстве, которым пользуетесь чаще всего, подтвердив лицом, отпечатком или блокировкой экрана ^[2][4].
3. Добавьте резервный способ. Создайте второй passkey на другом устройстве или аппаратном ключе безопасности либо настройте приложение-аутентификатор. Passkey можно безопасно синхронизировать между устройствами или привязать к одному устройству ^[8].
4. Сохраните коды восстановления, если сервис их выдаёт, и храните их офлайн. Например, Google предлагает резервные коды для печати на случай потери телефона ^[3].
5. Удалите SMS как второй шаг. CISA советует отключать SMS после регистрации более надёжного способа, потому что слабый запасной путь сводит выигрыш на нет ^[9].
6. Проверьте: выйдите из аккаунта и снова войдите с passkey, прежде чем закрывать страницу настроек.

Некоторые сервисы сохраняют номер телефона для восстановления аккаунта даже после отключения SMS-кодов для входа ^[9]. Это не повод откладывать переход, но повод по возможности защитить мобильный номер PIN-кодом оператора или запретом на перенос номера. Как устроены passkey, объясняет руководство What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

Как перевести аккаунт Google на passkey?

Создайте passkey в настройках безопасности аккаунта Google, затем откройте 2-Step Verification и удалите номер телефона самостоятельно, потому что добавление passkey не меняет и не удаляет ни один из существующих способов входа или восстановления ^[2]. Google сообщает, что в аккаунтах с 2-Step Verification вход с passkey пропускает второй шаг, поскольку passkey подтверждает, что вы контролируете устройство ^[2].

1. Откройте аккаунт Google, нажмите Security & sign-in и в разделе How you sign in to Google откройте Passkeys and security keys, чтобы создать passkey ^[2].
2. Подтвердите отпечатком пальца, сканом лица или блокировкой экрана. Google поддерживает passkey в Windows 10, macOS Ventura и ChromeOS 109 или новее, Android 9 и iOS 16 или новее, а также на аппаратных ключах безопасности FIDO2 ^[2].
3. Создайте второй passkey на другом устройстве или добавьте ключ безопасности, чтобы не зависеть от одного телефона.
4. Откройте 2-Step Verification в разделе Security. Скачайте или распечатайте резервные коды; Google описывает их как 8-значные коды на случай потери телефона ^[3].
5. Удалите номер телефона, указанный как способ 2-Step Verification, или замените его на запрос Google или приложение-аутентификатор.

Важны две детали. Во-первых, Google может понадобиться до семи дней, чтобы начать доверять новому номеру, добавленному для 2-Step Verification; доверенный passkey или ключ безопасности может это ускорить ^[3]. Google также напоминает создавать passkey только на устройствах, которые принадлежат лично вам, ведь войти может любой, кто разблокирует устройство ^[2]. Во-вторых, в рабочем или учебном аккаунте Google Workspace решение о входе только по passkey принимает администратор; при этом вы всё равно можете создать passkey как второй фактор и способ восстановления ^[2].

Как добавить passkey в аккаунт Microsoft?

Войдите в Advanced Security Options на account.live.com/proofs/manage, выберите Add a new way to sign in or verify, затем Face, Fingerprint, PIN или Security Key ^[4]. Эта страница относится к личным аккаунтам Microsoft ^[4].

1. Откройте account.live.com/proofs/manage на устройстве, где должен храниться passkey, и войдите ^[4].
2. Выберите Add a new way to sign in or verify ^[4].
3. Выберите Face, Fingerprint, PIN или Security Key и следуйте подсказкам ^[4].
4. Выберите Continue или Create, чтобы сохранить passkey в предложенном месте, либо Save another way, чтобы выбрать телефон или ключ безопасности ^[4].
5. Настройте приложение-аутентификатор, на которое опираются шаги Microsoft для входа без пароля, прежде чем что-либо удалять ^[5].

Microsoft позволяет личным аккаунтам пойти дальше и убрать пароль. В разделе Additional security options выберите Turn on рядом с Passwordless account, затем подтвердите запрос в приложении-аутентификаторе ^[5]. Microsoft отмечает, что при включённой двухэтапной проверке у вас должен быть доступ к двум способам восстановления ^[5].

Чтобы прекратить SMS-коды, в том же разделе безопасности просмотрите список способов подтверждения личности и удалите номер телефона как способ входа, когда passkey и приложение заработают. Microsoft советует при смене телефона удалить способы, привязанные к старому устройству ^[5].

Отказывается ли Microsoft от SMS-кодов для рабочих аккаунтов?

Да, для кодов, которые отправляет сама Microsoft: с 1 февраля 2027 года аутентификация по SMS и голосовому звонку, предоставляемая Microsoft, удаляется в Microsoft Entra ID — службе входа Microsoft для организаций — для всех пользователей, кроме Global Administrators и внешних пользователей ^[1]. Эти две группы последуют 1 июля 2027 года ^[1].

Переход уже начался. С 1 сентября 2026 года passkey стали способом аутентификации по умолчанию в Entra ID и были автоматически включены для пользователей с SMS или голосовым звонком; при входе им предлагают зарегистрировать passkey ^[1]. На странице Microsoft сказано, что SMS и голосовой звонок «больше не позиционируются как безопасные методы аутентификации» ^[1].

Что это значит для вас:

• Если рабочий аккаунт предлагает настроить passkey, соглашайтесь: по плану Microsoft пользователей подталкивают зарегистрировать passkey при входе и прохождении MFA ^[1]. Действуйте только по запросу, который появляется внутри обычной страницы входа Microsoft.
• В зависимости от настроек вашей организации passkey может храниться в Microsoft Authenticator, на ключе безопасности FIDO2, в Windows или в синхронизируемом менеджере учётных данных ^[1].
• Внутренние гостевые пользователи следуют дате 1 февраля 2027 года, а не более поздней ^[1].
• Вопросы о том, какие способы разрешены, адресуйте своему ИТ-отделу, который управляет политикой.

Никогда не подтверждайте запрос на вход или passkey, который вы не начинали сами, и никогда не настраивайте passkey по ссылке из неожиданного письма или сообщения.

Можно ли использовать passkey для аккаунта Apple?

Не как второй фактор: аккаунты Apple используют шестизначный код проверки для двухфакторной аутентификации, а устойчивое к фишингу улучшение, которое предлагает Apple, — это физические ключи безопасности FIDO, а не passkey ^[7]. На странице Apple об этой функции passkey не упоминаются ^[7].

Требования Apple для Security Keys for Apple Account понятны ^[7]:

• Не менее двух ключей безопасности FIDO Certified; можно добавить до шести ^[7].
• iOS 16.3, iPadOS 16.3 или macOS Ventura 13.2 или новее на каждом устройстве, где выполнен вход в аккаунт Apple ^[7].
• Двухфакторная аутентификация уже должна быть включена ^[7].
• Детские аккаунты и Managed Apple Accounts не поддерживаются ^[7].

На iPhone откройте Settings, нажмите на своё имя, затем Sign-in & Security, Two-Factor Authentication и Security Keys и следуйте шагам ^[7]. Apple предупреждает, что неактивные устройства (не использовавшиеся более 90 дней) будут отключены от аккаунта во время настройки и что вы можете навсегда потерять доступ к аккаунту, если потеряете все доверенные устройства и ключи безопасности ^[7]. Если удалить все ключи, аккаунт вернётся к шестизначным кодам ^[7].

Apple описывает ключи безопасности как предназначенные для тех, кому нужна дополнительная защита от целенаправленных атак, таких как фишинг или мошенничество с применением социальной инженерии ^[7].

Как настроить passkey в WhatsApp?

В WhatsApp откройте Settings, нажмите Account, затем Passkeys, Create passkey и Continue и подтвердите блокировкой экрана ^[6]. WhatsApp сообщает, что, в отличие от паролей или SMS-кодов подтверждения, passkey защищены криптографически и доступны только с вашего физического устройства и по вашим биометрическим данным или блокировке экрана ^[6].

1. На Android нужны Android 9 или новее, блокировка экрана и аккаунт менеджера паролей, связанный с телефоном, например Google Password Manager или Samsung Password Manager ^[6].
2. Откройте WhatsApp, нажмите меню, затем Settings ^[6].
3. Нажмите Account, Passkeys, Create passkey, затем Continue ^[6].
4. По запросу подтвердите отпечатком пальца, лицом или блокировкой экрана ^[6].

WhatsApp отмечает, что после создания passkey при переустановке приложения вас могут попросить использовать его во время регистрации ^[6]. Чтобы сменить passkey, удалите его и создайте новый в том же меню ^[6].

На странице WhatsApp не сказано, что passkey заменяет SMS-код при регистрации, поэтому считайте его дополнительным слоем защиты. Сохраните и PIN-код двухшаговой проверки, чтобы тому, кто перехватит ваш номер, всё равно понадобилось то, что знаете только вы.

Какие аккаунты поддерживают passkey вместо SMS?

Google, Microsoft и WhatsApp предлагают passkey как более надёжный вариант, чем SMS-коды, аккаунты Apple вместо этого используют ключи безопасности, а многие небольшие сервисы до сих пор предлагают только SMS или приложение-аутентификатор ^[2][4][6][7]. Таблица ниже показывает, где находится настройка у каждого по состоянию на 15 ноября 2026 года.

Поддержка часто меняется; перед началом проверьте страницу безопасности каждого сервиса. Каталог passkeys.directory перечисляет сервисы, поддерживающие passkey для входа или как второй фактор ^[12].

Начните с аккаунтов, которые открывают доступ ко всему остальному: основная почта, облачный аккаунт телефона (Google или Apple), менеджер паролей, банковские и рабочие аккаунты. Если взломают почту, злоумышленник сможет сбросить большинство остальных паролей.

Что делать, если аккаунт не поддерживает passkey?

Используйте вместо SMS приложение-аутентификатор и отключите SMS как запасной способ, когда приложение заработает ^[9]. CISA ставит приложения-аутентификаторы ниже ключей FIDO и passkey, потому что их коды всё ещё можно выманить фишингом, но говорит, что они лучше SMS, которые не шифруются и могут быть прочитаны при перехвате в сети оператора ^[9]. Перехват через телеком-сигнализацию, метод, который Enea описывает для SilentAir ^[11], нацелен на сообщения, отправляемые по телефонной сети, а коды, созданные внутри приложения, к ним не относятся.

• Выберите приложение-аутентификатор, которое умеет делать резервную копию кодов или переносить их на новый телефон, чтобы потеря телефона не лишила вас доступа.
• Храните коды восстановления сервиса на бумаге.
• Никогда не называйте код тому, кто вам звонит или пишет, даже если он представляется поддержкой сервиса.
• Проверьте снова через несколько месяцев: поддержка passkey быстро расширяется, а отказ Microsoft от SMS в рабочих аккаунтах показывает направление ^[1].

Если банк или государственная услуга предлагает только SMS, изменить это сами вы не можете, но можете снизить риск: защитите мобильный номер PIN-кодом оператора, держите в секрете PIN голосовой почты и обращайте внимание на внезапную потерю сигнала, которая может указывать на подмену SIM-карты (SIM swap). Это общие советы по безопасности; окончательный ответ о настройках каждого сервиса дают его собственные страницы справки.