Почему SMS-авторизация для внутренних сервисов мертва и опасна

Когда генеральный директор или служба безопасности ставит задачу «внедрить второй фактор», у руководства часто возникает соблазн пойти по пути наименьшего сопротивления: *«Пусть при входе отправляется СМС с кодом на телефон, как в онлайн-банке! Всем привычно, никаких программ ставить не нужно»*.

Если в вашем техническом стеке до сих пор живёт эта идея — срочно остановитесь.

SMS-аутентификация для корпоративного сектора признана небезопасной американским институтом NIST ещё в 2016 году (NIST SP 800-63B). А в сегодняшних реалиях использование SMS для защиты внутренних сервисов компании — это не просто финансовая дыра в бюджете, но и прямая угроза взлома.

Вот четыре причины, почему SMS-фактор должен умереть.

---

1. SIM-своп и дырявый протокол SS7

SMS никогда не проектировался как криптографический инструмент. Это древний сервисный протокол сотовых сетей GSM, где сообщения передаются в открытом виде через инфраструктуру операторов связи.

Чтобы получить ваш одноразовый код, злоумышленнику даже не нужно ломать ваш телефон:

• Перевыпуск SIM-карты (SIM-Swapping). Поддельная нотариальная доверенность, подкуп недобросовестного сотрудника в салоне связи или социальная инженерия с оформлением дубликата eSIM — и сотовый номер жертвы оживает в телефоне атакующего. Настоящий телефон теряет сеть, а хакер получает все ваши SMS-коды.
• Уязвимости в сигнальных сетях SS7 / Diameter. На уровне операторских узлов существуют известные архитектурные уязвимости, позволяющие перенаправлять SMS-трафик на подконтрольные злоумышленникам шлюзы без ведома абонента.

---

2. Утечка через экран блокировки

Посмотрите вокруг в вашем офисе или опенспейсе: у скольких коллег смартфоны лежат на столе экраном вверх?

У 90% пользователей в настройках включен предпросмотр уведомлений на заблокированном экране.

Когда приходит SMS от сервиса:

• Телефон загорается;
• Текст *«Ваш проверочный код: 849201»* крупными буквами виден любому проходящему мимо коллеге, клинеру, курьеру или гостю офиса;
• Для перехвата фактора телефон даже не нужно трогать руками.

---

3. Экономика абсурда: как сжечь миллион на воздухе

Давайте посчитаем чистую математику на пальцах.

Возьмём скромную компанию на 120 сотрудников.

Каждый сотрудник:

• Логинится утром на рабочем компьютере (1 вход);
• Логинится после обеда или разблокировки экрана (1 вход);
• Открывает рабочий сервис на телефоне или планшете (2 входа).

Итого: 4 авторизации в день на человека.

120 человек × 4 входа × 22 рабочих дня = 10 560 SMS в месяц.

При средней коммерческой стоимости сервисного SMS-сообщения по РФ в 5–7 рублей:

> Компания платит от 52 000 до 75 000 рублей в месяц просто за то, чтобы оператор связи слал циферки по радиоканалу.

За год набегает более 600 000–900 000 рублей чистых расходов на воздух. За эти деньги можно купить пару отличных серверов или оплатить полноценный шлюз доступа на несколько лет вперёд.

---

4. Подвалы, роуминг и капризы операторов

SMS зависит от слишком длинной цепочки посредников:

• Ваш сервер отправляет запрос через SMS-агрегатора;
• Агрегатор шлёт оператору абонента;
• Оператор проверяет спам-фильтры, шаблоны и задержки доставки.

Что происходит в реальной жизни:

• Архитектор сидит в серверной в подвале — связи нет, SMS не приходит, деплой остановлен;
• Тимлид улетел в отпуск или командировку — роуминговые SMS застревают на 15 минут, код протухает;
• Агрегатор попал под блокировку или исчерпал баланс — работа всей компании парализована.

---

Как перейти на надежный стандарт без переплат

Вместо хрупких и дорогих SMS современная индустрия перешла на два стандарта:

1. TOTP (RFC 6238): Приложения-аутентификаторы (Яндекс Ключ, Google Authenticator, 2FAS).

2. FIDO2 / WebAuthn: Биометрия (Touch ID / Face ID) и аппаратные USB-ключи.

В шлюзе доступа OwnGate второй фактор работает локально:

• 0 рублей дополнительных расходов. Никаких интеграций с SMS-провайдерами и абонентской платы за трафик.
• Работает оффлайн. Коды генерируются математически на основе таймера и симметричного ключа — телефон может быть в режиме «В самолёте» без сети.
• Невозможно перехватить через сотового оператора. Закрытый ключ 2FA хранится локально на устройстве сотрудника.

Откажитесь от SMS-авторизации: вы сбережёте бюджет компании и закроете критическую брешь в безопасности.