Autentificarea în doi factori (2FA) rămâne una dintre cele mai eficiente bariere împotriva furtului de conturi, dar nu toate metodele 2FA oferă același nivel de protecție. Dacă vrei un răspuns scurt: cele mai sigure variante în prezent sunt cheile hardware de securitate (FIDO2/WebAuthn) și codurile TOTP generate de o aplicație de autentificare (Authy, Google Authenticator, 2FAS, Bitwarden), în timp ce SMS-ul și e-mailul sunt cele mai vulnerabile și ar trebui evitate ori de câte ori există o alternativă. Mai jos găsești o analiză detaliată, bazată pe date recente și pe incidente reale, care te ajută să alegi metoda potrivită pentru conturile tale.
Ce este 2FA și de ce o simplă parolă nu mai este suficientă
2FA (Two-Factor Authentication) este un mecanism de securitate care adaugă un al doilea strat de verificare peste parolă. Chiar dacă atacatorul îți obține parola printr-o breșă de date, un keylogger sau un atac de tip phishing, el nu poate accesa contul fără acest al doilea factor.
Potrivit Verizon Data Breach Investigations Report 2024, aproximativ 68% dintre breșele de securitate implică credentiale furate (parolă, nume de utilizator sau e-mail). În același raport, atacurile de tip phishing și pretexting rămân în top 3 vectori de compromitere. Practic, parola singură nu mai este o apărare realistă.
Cum funcționează metodele 2FA și de ce diferența contează
În esență, 2FA combină „ceva ce știi” (parola) cu „ceva ce ai” (telefon, token hardware) sau „ceva ce ești” (biometric). Problema apare la calitatea acelui al doilea factor. Unele metode pot fi ocolite printr-un simplu SMS, altele necesită prezența fizică a unui dispozitiv sau o confirmare biometrică locală.
Principalele tipuri de 2FA folosite astăzi
- Coduri trimise prin SMS – un cod numeric primit pe telefon.
- Coduri trimise prin e-mail – un link sau cod primit în inbox.
- Coduri TOTP (Time-Based One-Time Password) – generate local de o aplicație, valabile 30 de secunde.
- Notificări push – aprobare printr-o aplicație de tip Duo sau Microsoft Authenticator.
- Chei hardware de securitate – dispozitive fizice compatibile FIDO2/WebAuthn (YubiKey, Titan Key, OnlyKey).
- Biometrie locală – amprentă sau recunoaștere facială stocate pe dispozitiv (Passkeys).
Comparație directă între metodele 2FA
| Metodă 2FA | Nivel de securitate | Rezistență la phishing | Dependență de internet/telefon | Recomandare |
|---|---|---|---|---|
| SMS | Scăzut | Foarte slabă (SIM swap, SS7) | Da, rețea mobilă | Evită |
| Scăzut–mediu | Slabă (cont compromis = cont deschis) | Da, conexiune internet | Folosește doar ca ultimă soluție | |
| TOTP (aplicație) | Mediu–ridicat | Medie (poate fi păcălit prin phishing în timp real) | Nu, funcționează offline | Recomandat pentru majoritatea utilizatorilor |
| Notificare push | Ridicat | Medie–ridicată | Da, internet | Recomandat, atenție la „MFA fatigue” |
| Cheie hardware (FIDO2) | Foarte ridicat | Aproape imposibil de ocolit prin phishing | Nu pentru funcționare, da pentru pairing | Recomandat pentru conturi critice |
| Passkey (biometric local) | Foarte ridicat | Aproape imposibil de ocolit | Da, sincronizare cloud | Recomandat acolo unde este disponibil |
Care metodă 2FA este cu adevărat sigură în 2025
Microsoft a publicat în 2019, și reconfirmat în rapoartele ulterioare, faptul că 2FA bazată pe aplicație sau pe chei hardware blochează 99,9% dintre atacurile automate asupra conturilor. Google, într-un studiu realizat împreună cu NYU, arată că cheile hardware de securitate au redus la zero atacurile de phishing reușite asupra celor peste 85.000 de angajați testați.
Pe scurt, ierarhia de încredere arată astfel:
- Chei hardware FIDO2 (YubiKey, Titan, OnlyKey) – cel mai înalt nivel, imune la phishing și la interceptare la distanță.
- Passkeys (chei de acces stocate în Apple/Google/Microsoft/1Password) – experiență modernă, fără parolă, cu confirmare biometrică locală.
- Coduri TOTP dintr-o aplicație de autentificare – echilibru bun între securitate și ușurință în utilizare.
- Notificări push – sigure, dar vulnerabile la bombardarea utilizatorului cu cereri false (MFA fatigue attack).
- E-mail și SMS – ultimele opțiuni, folosite doar când nu există alternativă.
Studiu de caz: cum a fost spart un cont protejat cu SMS 2FA
În septembrie 2022, chiar compania Uber a suferit un incident în care un atacator a obținut acces la contul intern al unui angajat folosind o tehnică de SIM swapping. Atacatorul a convins operatorul de telefonie să transfere numărul de telefon al victimei pe un SIM aflat sub controlul său, primind astfel codul SMS de autentificare trimis de Uber. Incidentul, documentat de The Verge și confirmat de Uber în comunicatul oficial, a dus la compromiterea unor sisteme interne.
Același principiu explică și de ce FBI, NSA și directoratul de securitate internă al SUA (CISA) recomandă în ghidurile publice evitarea SMS-ului ca metodă 2FA pentru conturile sensibile. Mesajul este clar: dacă un singur apel telefonic la operatorul tău poate anula întreaga protecție, nu este o protecție reală.
Greșeli frecvente care anulează chiar și cel mai bun 2FA
- Stocarea codurilor de rezervă în același e-mail – echivalent cu a lăsa cheia de rezervă sub preș.
- Acceptarea oricărei notificări push primite – atacatorii trimit zeci de cereri până când utilizatorul apasă „Aprobă” din oboseală.
- Folosirea SMS-ului ca unic 2FA – expus la SIM swap și atacuri la nivel de rețea SS7.
- Neactivarea 2FA pe conturile vechi – un cont de email nerevendicate poate deveni poarta de intrare.
Cum aplici asta începând de astăzi
- Instalează o aplicație TOTP (2FAS, Aegis sau Bitwarden Authenticator) pe telefonul principal și un backup pe tabletă sau un al doilea telefon.
- Achiziționează cel puțin o cheie hardware (YubiKey 5 NFC sau o alternativă open-source precum OnlyKey). Înregistreaz-o ca metodă principală pe Gmail, Microsoft, GitHub și banca ta.
- Activează Passkeys acolo unde sunt disponibile (Apple, Google, Microsoft, PayPal, Adobe). Folosesc biometria locală a dispozitivului tău și nu pot fi furate prin phishing.
- Dezactivează 2FA prin SMS și e-mail pe toate conturile care oferă alternative mai bune.
- Salvează codurile de rezervă într-un manager de parole offline (KeePass, Bitwarden export criptat) sau pe hârtie, într-un loc sigur.
Întrebări frecvente
2FA prin SMS este sigură?
Nu în 2025. SMS-ul este vulnerabil la atacuri de tip SIM swap, la interceptări la nivelul rețelei SS7 și la phishing direcționat. Este totuși mai bun decât nimic, așa că, dacă este singura opțiune disponibilă, activează-o – dar mută-te rapid către o aplicație TOTP sau o cheie hardware.
Care este cea mai sigură aplicație de autentificare?
Aplicațiile open-source precum 2FAS, Aegis sau Bitwarden Authenticator sunt considerate cele mai sigure, deoarece codul lor poate fi auditat public, nu colectează telemetrie și permit backup criptat. Google Authenticator și Authy sunt populare, dar unele versiuni mai vechi au limitări la exportul codurilor.
Pot folosi același dispozitiv pentru parolă și pentru 2FA?
Da, dar cu condiția ca dispozitivul să fie protejat cu PIN sau biometrie și să aibă actualizări la zi. Ideal, folosești un dispozitiv separat pentru cheia hardware (de exemplu, o cheie USB pe care o conectezi doar când ai nevoie) și telefonul principal pentru TOTP.
Ce se întâmplă dacă îmi pierd telefonul cu aplicația 2FA?
Poți recupera accesul folosind codurile de rezervă salvate la activarea 2FA sau prin cheile hardware înregistrate ca metodă alternativă. De aceea este esențial să stochezi codurile de rezervă într-un loc sigur, separat de telefon.
Passkeys vor înlocui 2FA?
Da, pe termen lung. Passkeys sunt considerate de FIDO Alliance și de Google drept succesorul natural al parolei + 2FA, deoarece elimină complet parola și folosesc criptografie cu chei publice, imposibil de furat prin phishing. Tranziția este în plină desfășurare, dar 2FA rămâne soluția de tranziție recomandată pentru următorii ani.
