Почему не нужно экономить на 2FA

Двухфакторная аутентификация (2FA) – один из самых эффективных способов защиты учетных записей от взлома. Без нее мошенники могут легко получить доступ к учетным записям, а с ними и к корпоративным данным, что может привести к финансовым потерям, утечке информации и репутационным рискам. Разберемся, почему 2FA — это не лишняя мера предосторожности, а необходимость.

Чем полезна двухфакторная аутентификация

Если коротко, то она помогает защитить учетные записи сотрудников от несанкционированного проникновения. 

Представим, что у ООО «Компания» есть внутренняя инфраструктура: серверы с базами данным клиентов и сотрудников и рабочие сервисы, например, Outlook и корпоративная база знаний. Эта инфраструктура потенциально подвержена атакам, в том числе, через учетные записи сотрудников. 

При однофакторной аутентификации учетную запись легко похитить. Достаточно собрать, например, сайт, до степени смешения похожий на корпоративный портал компании и прислать «жертве» письмо с призывом аутентифицироваться и ссылкой.  

Видно, что хотя в письме ссылка ведет на адрес сайта «Компании», имя отправителя указано с ошибкой.

На поддельном сайте название написано верно, а в строке браузера — с ошибкой. 

Если пользователь перейдет по ссылке и введет логин и пароль, то они достанутся злоумышленникам. А с учетной записью злоумышленник может зайти на внутренние ресурсы компании и похитить коммерческие и персональные данные. 

Подключенная двухфакторная аутентификация помогает предупредить до 99,9% атак на аккаунты сотрудников. Теперь злоумышленнику нужно не только получить логин и пароль, но и «раздобыть» второй фактор, например, код из пуш-уведомления. 

При подключенной двухфакторной аутентификации сотрудники службы ИБ меньше переживают из-за утечек данных — логина и пароля будет просто недостаточно для входа в систему. 

Двухфакторная аутентификация

ID — защита учетных записей сотрудников: подключений через VPN, RDG, ActiveSync, ADFS (протоколы OpenID Connect, SAML), защита входа в Windows, OWA.

Оставить заявку

К каким последствиям приводит отсутствие двухфакторной аутентификации?

Если коротко, то все зависит от того, какие доступы были у сотрудника со взломанной учетной записью. С учетной записью технического директора можно заблокировать все серверы или зашифровать чувствительные данные компании. 

В целом утечка данных может привести к следующим рискам. 

Репутационные риски. Утечка личных данных клиентов или соискателей неизбежно снижает их доверие к компании, а некоторые из них и вовсе прекращают сотрудничество. Если же в открытом доступе оказываются персональные данные сотрудников, это может привести к их увольнению, а также стать причиной судебных разбирательств.

Операционные риски. Взлом инфраструктуры или утечка данных могут парализовать бизнес-процессы компании. Например, если злоумышленники уничтожат базу данных с финансовыми операциями, ее восстановление может занять недели или даже месяцы. В этот период компании будет сложнее проводить платежи сотрудникам, партнерам и клиентам, что негативно скажется на ее деятельности.

Финансовые риски. Хакерские атаки и злоумышленные действия могут обернуться серьезными финансовыми потерями. Пострадавшие от утечки данных клиенты могут подать иск, требуя компенсации, или полностью отказаться от сотрудничества, что повлечет за собой значительные убытки.

Кроме этого компании могут получить штраф за утечку данных. Например, с 30 мая 2025 за незаконную передачу информации о людях в количестве от 1 тыс. до 10 тыс. ИП и компаниям может грозить штраф от 3 млн до 5 млн руб.

Сочетание этих факторов в итоге может привести даже к серьезным последствиям. Компания будет сложно одновременно отбиваться от судебных исков, стараться не потерять партнеров и клиентов и восстанавливать инфраструктуру, чтобы не останавливать операционную деятельность. 

Как можно защитить инфраструктуру без двухфакторной аутентификации (Спойлер: никак)

Двухфакторная аутентификация помогает защитить точки входа в инфраструктуру компании. Вместо нее в теории можно использовать следующие меры:

Ввести и соблюдать парольные политики

Во многих компаниях действуют парольные политики, но не всегда сотрудники их строго соблюдают. Важно не только зафиксировать все требования к паролям, но и зафиксировать их обязательное соблюдение в правилах трудового распорядка или трудовом договоре. 

Фильтровать рассылки

Одна из главных причин утечки данных — это фишинговые рассылки. И компания может защититься от них используя решение для фильтрации писем. 

Разработать или приобрести решение для антифишинга

Оно будет сравнивать URL-адреса, по которым переходят сотрудники, с базой данных известных фишинговых сайтов. Если будет найдено соответствие, соединение с URL-адресом прекратится, и пользователь увидит предупреждение об опасности.

Эти меры хорошо работают в дополнении к двухфакторной аутентификации, но не заменяют ее полностью. Подключая 2FA, компания проводит одно серьезное изменение в цифровой инфраструктуре, при этом снижая угрозы в несколько раз. 

Почему не стоит использовать бесплатные решения для двухфакторной аутентификации

Компании периодически используют бесплатные решения для 2FA, чтобы защититься от инцидентов и при этом сэкономить. У бесплатных решений есть 4 минуса: они могут не подойти под инфраструктуру компании, быть небезопасными, у них не бывает поддержки и нет гарантий эффективности. 

Не подходят под инфраструктуру компании

Например, решение работает только на устройствах с OC Windows, а данные в компании хранятся на серверах с Linux. Также в решении может быть не реализована защита подключения по одному из протоколов, например, SSH. 

Не обеспечена безопасность

Проблема бесплатных решений в том, что они опенсорсные и их код доступен для просмотра. Если в коде решения будут найдены уязвимости, то о них вскоре узнает все профессиональное сообщество и не только. Значит этими уязвимостями смогут воспользоваться злоумышленники. 

Нет поддержки

Решения для двухфакторной аутентификации чаще всего приобретают для внедрения в больших компаниях. При внедрении на большом количестве устройств многое может пойти не так. Без техподдержки системному администратору придется затратить гораздо больше ресурсов. 

Нет гарантий

Компании, которые продают коммерческие решения для 2FA, имеют ресурсы на постоянные обновления и улучшения. Также они могут гарантировать, что решение будет доступно 99,9% времени. Вендоры бесплатных решений, как правило, никаких гарантий не дают.

Двухфакторная аутентификация помогает защитить учетные записи сотрудников от несанкционированного проникновения и в итоге снизить риски утечек данных в компании. Подключая двухфакторную аутентификацию, компания проводит одно серьезное изменение в цифровой инфраструктуре, снижая угрозы в несколько раз. При этом стоить выбирать надежные решения, которые могут обеспечить безопасность, интегрируются в инфраструктуру компании и будут бесперебойно работать. 

Одно из таких решений — Контур.ID. Чтобы протестировать все возможности решения, оставьте заявку по ссылке.

Тестировать