Минцифры предупредило о постепенном отказе от входа на «Госуслуги» по СМС.

Вход по СМС-коду давно стал привычным способом авторизации на портале «Госуслуги», особенно со смартфона. Однако Минцифры объявило, что постепенно откажется от такого варианта входа из-за роста числа мошенничеств. Пользователей будут переводить на более устойчивые к хищению данных методы подтверждения личности.

Минцифры — это Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации, которое отвечает за государственные цифровые сервисы, в том числе портал «Госуслуги».

Кажется, эта женщина чем-то недовольна. Изображение сгенерировано нейросетью.

Что меняется для мобильных пользователей?

Сейчас изменения в первую очередь затрагивают тех, кто заходит на «Госуслуги» с мобильных устройств. Ведомство официально подтвердило, что от СМС-подтверждения будут поэтапно отказываться именно в мобильном сценарии входа.

«Из-за растущего числа случаев мошенничества, когда пользователи «Госуслуг» непреднамеренно передают СМС-коды для входа на портал, было принято решение постепенно отказаться от подтверждения входа на портал через СМС — пока это решение касается только входа через мобильные устройства», — сообщили в Минцифры.

На практике часть пользователей уже сталкивается с тем, что после ввода логина мобильная версия сервиса или приложение предлагают подключить мессенджер Max для получения кодов подтверждения, а кнопки «пропустить» нет. При этом при входе через браузер на компьютере СМС по-прежнему остается доступным вариантом подтверждения.

Подтверждение входа — это второй шаг после ввода логина и пароля, который требуется, чтобы убедиться, что к аккаунту обращается именно владелец, а не злоумышленник.

Какие способы входа будут доступны вместо СМС?

Минцифры заявляет, что у пользователей «Госуслуг» остаются несколько вариантов второго фактора защиты учетной записи. Их можно выбрать в разделе настроек безопасности.

Основные доступные способы подтверждения входа:

• одноразовый код в национальном мессенджере Max;
• одноразовый код в специальном приложении-генераторе;
• подтверждение по биометрии на самом устройстве (отпечаток пальца, распознавание лица).

Двухфакторная аутентификация — это схема, когда для входа в аккаунт нужно два элемента: например, пароль (то, что вы знаете) и одноразовый код или биометрия (то, чем вы владеете или что вас уникально характеризует).

Ведомство подчеркивает, что именно двухфакторная аутентификация позволяет лучше защитить учетные записи от несанкционированного доступа, а отказ от СМС — шаг к более устойчивым техническим решениям.

Почему СМС признали уязвимым способом защиты?

Технически одноразовый пароль из СМС считается относительно надежным: он быстро истекает, не хранится на серверах мошенников и связан с конкретным номером телефона. Однако у него есть слабое место — человек. Именно на этом выстроены схемы социальной инженерии, когда злоумышленники выманивают код под любым предлогом.

Мошенники представляются сотрудниками банков, служб безопасности или госорганов, под различными предлогами убеждают «подтвердить операцию» и просят продиктовать или переслать СМС-код. В результате сообщение, которое должно было защитить аккаунт, превращается в ключ для входа.

«Позиция Минцифры как технического регулятора заключается в том, что любой код, который приходит в смске, — это сейчас зло», — говорил ранее глава ведомства Максут Шадаев.

По словам министра, логика проста: пока основной фактор защиты приходит по СМС, его легко выманить у невнимательного пользователя. Варианты с кодами в отдельном приложении, чат-ботом, задающим уточняющие вопросы, или биометрией позволяют усложнить жизнь злоумышленникам и снизить число успешных атак.

Социальная инженерия — это вид мошенничества, когда преступники воздействуют на человека психологически, чтобы добровольно получить от него нужные данные: логины, пароли, коды и другую конфиденциальную информацию.

Роль национального мессенджера Max и претензии к его продвижению.

Отдельная часть реформы связана с национальным мессенджером Max, за развитие которого отвечает структура крупного российского IT-холдинга. В середине лета ему официально присвоили статус национального мессенджера. Внутри Max уже доступны денежные переводы, нейросеть, мини-приложения российских компаний и каналы СМИ.

Через Max работают и некоторые государственные сервисы. В частности, приложение «Госключ», с помощью которого граждане, предприниматели и организации подписывают документы усиленной электронной подписью, теперь завязано на национальный мессенджер.

Усиленная электронная подпись — это цифровой аналог собственноручной подписи, который позволяет официально заключать договоры и подтверждать юридически значимые действия в электронном виде.

Часть пользователей уже обратила внимание, что при попытке входа на «Госуслуги» с мобильного им фактически навязывают установку Max: отказаться от подключения мессенджера бывает невозможно. На этом фоне в соцсетях и комментариях звучат подозрения, что отказ от СМС — это не только защита от мошенников, но и способ ускоренного продвижения нового мессенджера.

Официально Минцифры такие предположения не комментирует, акцентируя внимание именно на снижении рисков мошенничества и повышении защищенности аккаунтов.

Что делать пользователям уже сейчас и к чему готовиться?

Ведомство переводит систему авторизации на новый режим постепенно, но пользователям лучше не ждать, пока привычный СМС-код исчезнет окончательно. Уже сейчас можно зайти в личный кабинет на «Госуслугах», открыть раздел «Безопасность» и выбрать подходящий способ подтверждения входа — через Max, приложение-генератор кодов или биометрию устройства.

Приложение-генератор одноразовых кодов — это программа на смартфоне, которая каждые несколько секунд создает новый защитный код. Для входа на сайт достаточно ввести актуальный код из приложения, и СМС не требуется.

Особое внимание стоит уделить пожилым пользователям и тем, кто пользуется старыми телефонами: им сложнее осваивать новые схемы и устанавливать дополнительные приложения. Для таких категорий граждан сохраняется возможность входа через СМС в десктопной версии, однако со временем и этот механизм может быть пересмотрен.

В долгосрочной перспективе отказ от СМС как ключевого способа подтверждения входа должен сократить число успешных атак, сделав учетные записи на «Госуслугах» менее уязвимыми. При этом многое будет зависеть от того, насколько прозрачно государство объяснит гражданам новые правила и обеспечит им комфортный переход: от качества этой коммуникации напрямую зависит доверие к цифровым сервисам и готовность россиян пользоваться ими в дальнейшем.