MFA для админок: почему SMS уже слабый второй фактор
Сайт чаще открывают чужим паролем, чем редкой уязвимостью. SMS-код создаёт ощущение защиты, которое легко обойти.
Панель CMS, админка магазина, хостинг и почта - ключи от одного и того же бизнеса. Их кладут в общую таблицу, пересылают в мессенджер и оставляют у человека, который уже не работает. Второй фактор это ломает только если он не слабее первого.
Почему код из SMS проигрывает
SMS перехватывают через подмену SIM и через ту же социальную инженерию, которой выманивают пароль. Приложение-аутентификатор или аппаратный ключ поднимает цену атаки сильнее. Для почты руководителя и для хостинга разница практическая: письмо с кодом приходит в ящик, который как раз и пытаются захватить.
Минимальный набор
- Второй фактор на почте, хостинге, CMS, рекламных кабинетах и реестре домена.
- Отдельные роли вместо одной учётки admin на всех.
- Отзыв доступа в день ухода человека, включая токены и ключи.
- Короткая привычка смотреть странные входы, а не только «сайт открывается».
Если панелей много и никто не помнит полный список, начинать стоит с инвентаря доступов, а не с покупки ещё одного сервиса. Lexora делает короткий разбор админок и говорит, что усилить первым. Это спокойнее, чем разбор дефейса на следующий день.
Связанные услуги Lexora
Не уверены, кто ещё входит в панели?
Соберём список доступов и предложим усиления по приоритету.