Wycieki danych logowania zdarzają się dziś regularnie i obejmują miliony kont. Hasło można nam też wykraść, w ogóle go nie łamiąc. Wystarczy, że wpiszemy je na podrobionej stronie logowania, podszywającej się pod bank czy popularny serwis. Z tego powodu nawet najsilniejsze hasło samo w sobie przestało wystarczać do ochrony konta.
Rozwiązaniem, które realnie utrudnia przejęcie konta, jest uwierzytelnianie dwuskładnikowe, w skrócie 2FA, a w szerszym ujęciu uwierzytelnianie wieloskładnikowe, czyli MFA. Polega na tym, że obok hasła podajemy jeszcze jeden, niezależny dowód tożsamości, najczęściej coś, co mamy fizycznie przy sobie, na przykład telefon z aplikacją uwierzytelniającą albo fizyczny klucz bezpieczeństwa. Nawet jeśli ktoś pozna nasze hasło, bez tego drugiego elementu i tak się nie zaloguje.
Kody SMS to najprostsza opcja, ale i najsłabsza. Przestępcy potrafią przejąć cudzy numer, wyrabiając duplikat karty SIM (tzw. SIM swapping), a wiadomość bywa przechwytywana. Lepszym wyborem są aplikacje uwierzytelniające, takie jak Google Authenticator czy Microsoft Authenticator, które generują w telefonie kody zmieniające się co kilkadziesiąt sekund. Działają bez zasięgu, a kod nigdzie nie jest przesyłany. Najwyższy poziom dają klucze sprzętowe oraz klucze dostępu (passkeys), odporne na phishing, bo działają wyłącznie na prawdziwej stronie danej usługi.
