Autentificare în doi pași (2FA): ce este și de ce contează chiar dacă îți fură parola

Autentificarea în doi pași (2FA) este un al doilea nivel de verificare, adăugat peste parolă, prin care confirmi că tu ești cel care se conectează — de obicei un cod temporar, o notificare pe telefon sau o cheie fizică. Chiar dacă un atacator îți fură parola printr-un phishing sau o scurgere de date, nu poate intra în cont fără acest al doilea factor, pe care doar tu îl deții.

Ce este, mai exact, autentificarea în doi pași

Ideea din spatele 2FA este simplă: pentru a intra într-un cont, trebuie să dovedești două lucruri diferite, nu doar unul. De obicei sunt combinate ceva ce știi (parola) cu ceva ce ai (telefonul, o aplicație, o cheie fizică) sau, mai rar, ceva ce ești (amprenta, recunoașterea facială). Dacă un atacator obține parola, tot mai are nevoie de al doilea element — pe care, în mod normal, nu îl poate obține de la distanță.

De ce contează chiar dacă îți fură parola

Parolele ajung în mâini greșite mult mai des decât cred oamenii: printr-un mesaj de phishing care imită o pagină reală, printr-o scurgere de date de la un serviciu terț sau pur și simplu pentru că ai folosit aceeași parolă în mai multe locuri. 2FA transformă o parolă furată dintr-un dezastru într-un incident minor: atacatorul are „cheia", dar nu are și „codul de la seif". Dacă vrei să verifici dacă vreuna dintre parolele tale a apărut deja într-o scurgere cunoscută, vezi cum verifici dacă o parolă a fost compromisă.

Tipurile de 2FA: SMS, aplicație sau cheie fizică

• Cod prin SMS — cel mai răspândit și mai ușor de configurat, dar și cel mai vulnerabil: poate fi interceptat printr-un atac de tip „SIM swap" (portarea frauduloasă a numărului tău la un alt operator) sau printr-un smishing bine construit.
• Aplicație autentificator (tip Google Authenticator, Microsoft Authenticator, Authy) — generează coduri care se schimbă la 30 de secunde, direct pe telefon, fără să treacă prin rețeaua de telefonie. Mult mai sigură decât SMS-ul și gratuită.
• Cheie fizică de securitate (standard FIDO2/U2F) — un dispozitiv mic, conectat prin USB sau NFC, considerat cea mai sigură variantă: rezistă și la atacuri de phishing sofisticate, pentru că verifică inclusiv adresa reală a site-ului.
• Notificare push în aplicație — primești o cerere pe telefon pe care o aprobi sau o respingi dintr-un tap, folosită frecvent de bănci și servicii de e-mail.

Dacă ai de ales, ordinea de preferință este: cheie fizică sau aplicație autentificator, apoi notificare push, iar SMS-ul doar atunci când nu ai altă opțiune disponibilă.

2FA nu e infailibilă, dar reduce riscul drastic

Trebuie spus cinstit: nici 2FA nu te face invulnerabil. Există atacuri de phishing sofisticate, de tip „adversary-in-the-middle", care afișează o pagină falsă identică cu cea reală și interceptează în timp real inclusiv codul 2FA, pe măsură ce îl introduci. Din acest motiv, o cheie fizică de securitate rămâne cea mai rezistentă variantă — verifică automat adresa reală a site-ului și nu poate fi păcălită de o pagină clonă, indiferent cât de bine arată.

Cu toate acestea, marea majoritate a atacurilor reale nu sunt atât de sofisticate: sunt încercări automate cu parole furate din scurgeri vechi sau reciclate. Împotriva acestora, orice formă de 2FA — chiar și SMS — oprește aproape toate tentativele. Nu renunța la 2FA pentru că „nu e perfectă"; e, oricum, cu mult peste a nu avea niciun al doilea factor.

Cum activezi 2FA pe conturile tale

1. Intră în setările contului (e-mail, rețea socială, bancă online) și caută secțiunea „Securitate" sau „Autentificare în doi pași".
2. Alege metoda preferată — de obicei aplicație autentificator, prin scanarea unui cod QR.
3. Salvează codurile de rezervă pe care ți le oferă serviciul, într-un loc sigur (nu într-o poză pe telefon) — sunt singura ta cale de acces dacă pierzi telefonul.
4. Repetă pentru toate conturile importante: e-mail principal (cel mai important, pentru că resetează parolele celorlalte conturi), bancă, servicii de plată, rețele sociale.

Greșeli frecvente la 2FA

• Nu salvezi codurile de rezervă — rămâi blocat afară din cont dacă pierzi telefonul sau îl schimbi.
• Folosești doar SMS când aplicația e disponibilă și e gratuită și mai sigură.
• Aprobi automat notificările push fără să citești de unde vin — atacatorii trimit cereri repetate, mizând pe „oboseala" utilizatorului (MFA fatigue). Aprobă doar o cerere pe care tu ai inițiat-o.
• Activezi 2FA doar pe conturile „importante" și uiți de e-mailul principal — care e, de fapt, cel mai important dintre toate.

Pentru a reduce și mai mult riscul, combină 2FA cu o parolă sigură, unică pentru fiecare cont — gestionată eventual printr-un manager de parole, care poate stoca și codurile 2FA în multe cazuri.

2FA în firmă: de la opțiune la obligație

La nivel de organizație, 2FA nu ar trebui să fie o opțiune lăsată la latitudinea fiecărui angajat, ci o regulă impusă tehnic pe toate conturile critice: e-mail, VPN, aplicații financiare, panouri de administrare. Un singur cont fără al doilea factor, uitat undeva într-o companie de altfel bine protejată, poate fi exact punctul pe unde intră un atac. Verificarea acestor „găuri" face parte firească dintr-un audit de securitate cibernetică, iar o soluție de protecție EDR pentru business completează tabloul, semnalând autentificările suspecte chiar și atunci când al doilea factor a fost, cumva, compromis.

Ai o firmă și vrei ca 2FA să fie obligatorie pentru toți angajații? Cere un audit de securitate — verificăm exact unde lipsește al doilea factor de autentificare și cât de expusă e organizația.

Întrebări frecvente