За даними Verizon Data Breach Investigations Report 2025, 88% атак на базові вебзастосунки починаються з використання викрадених облікових даних. Аналогічно, раніше у 2024 році повідомлялось, що 77% атак у рамках базових вебатак містять компрометацію облікових даних. У криптоіндустрії шахраї постійно шукають нові лазівки — від банальних фішингових листів до складних схем SIM-swapping.

Тому питання кіберзахисту вже давно не обмежується наявністю пароля чи стандартної двофакторної аутентифікації. Останні тренди в інфраструктурі безпеки показують два важливі зсуви: гнучка (customizable) 2FA та passkeys — парольні ключі, прив’язані до конкретного пристрою. Кирило Хом’яков, регіональний голова Binance в Центральній та Східній Європі, Центральній Азії та Африці, пояснює, як найкраще захистити свої дані.

Що таке «кастомізована» 2FA?

Хоча використання двофакторної автентифікації (2FA) значно підвищує безпеку, воно не позбавлене недоліків. Хакери знайшли способи обійти традиційні методи 2FA, виявивши слабкі місця в системі.

Наприклад, SMS-коди можуть бути перехоплені або викрадені шляхом заміни SIM-картки, коли хакери обманом змушують постачальників телекомунікаційних послуг перенести номер телефону жертви на нову SIM-картку. Аналогічно, коди електронної пошти вразливі до фішингових атак, коли хакери обманом змушують користувачів розкривати свої облікові дані електронної пошти, щоб перехопити коди підтвердження. Одноразові паролі на основі часу (TOTP) також вразливі до шкідливого програмного забезпечення, яке може або викрасти початкове значення, що використовується для генерації кодів, або синхронізувати дані з хакерським додатком.

Фішинг залишається найпоширенішою тактикою, яка використовується для отримання кодів підтвердження. Хакери часто надсилають фальшиві SMS-повідомлення або електронні листи, видаючи себе за надійні платформи, закликаючи користувачів «перевірити» або «оновити» свою інформацію. Потім жертву перенаправляють на підроблений вебсайт, де вона несвідомо вводить свої облікові дані для входу та коди 2FA, надаючи хакеру негайний доступ до своїх облікових записів.

Модель гнучкої 2FA дозволяє самому визначати, коли система має запитувати додаткову перевірку. Це може бути:

• тільки при вході,
• при спробі вивести кошти,
• під час зміни налаштувань,
• або в будь-якій іншій критичній точці.

Таким чином, користувач отримує баланс між зручністю і захистом: швидкий доступ до дрібних дій, але максимальний контроль над ризиковими.

Passkeys: крок за межі паролів

Passkeys — це новий стандарт автентифікації, який працює на основі криптографії з відкритим ключем. Його ключові риси:

Паролів більше немає: верифікація відбувається біометрично (Face ID, Touch ID) чи через PIN пристрою.

Захист від фішингу: приватний ключ ніколи не залишає пристрій. Навіть якщо шахрай отримає ваші дані, він не зможе авторизуватися без фізичного доступу.

Стійкість до SIM-swapping: на відміну від SMS-коду, немає «слабкої ланки» у вигляді мобільного номера.

Синхронізація: passkeys зберігаються у вашій екосистемі (Apple, Google тощо) та доступні на всіх власних пристроях.

Фактично, це спроба зробити безпеку водночас і сильнішою, і зручнішою.

Чому важлива комбінація

Ідеальний підхід — поєднувати обидва інструменти. Наприклад:

• для швидких входів — passkey;
• для виводу коштів чи змін у налаштуваннях — комбінація з додатковим кодом.

Це створює персоналізований «щит», який підлаштовується під ваш стиль взаємодії з платформою.

Що це означає для користувачів?

Відмова від SMS-коду — це не про зручність, а про мінімізацію ризиків. SIM-swapping став надто поширеним, щоб покладатися на нього як на головний бар’єр.

Персоналізація безпеки означає, що тепер ви можете обирати не «один розмір для всіх», а власний рівень контролю.

Passkeys — наступний стандарт. Ймовірно, у найближчі роки вони стануть базовим методом автентифікації не лише у крипті, а й у банківських чи державних сервісах.

Перехід до passkeys — це не лише технічна зручність. Це основа нової культури цифрової довіри, де користувач сам формує рівень свого захисту. 

Ще у 2022 році Apple, Google і Microsoft офіційно підтримали стандарт безпарольного входу від FIDO Alliance. Відтоді adoption тільки зростає: за даними Dashlane, у 2024 році використання passkeys збільшилося на 400%, і вже кожен п’ятий активний користувач мав хоча б один ключ. Google повідомляв про понад 1 мільярд входів за допомогою passkeys та підтримку цієї технології для 400 мільйонів облікових записів. У 2025-му Microsoft зробив ще один крок — нові акаунти створюються з passkeys за замовчуванням, а старі паролі поступово зникають із Authenticator. Тим часом Google активував опцію «skip password when possible», переводячи мільйони користувачів у режим passwordless-майбутнього.

У світі Web3, де активи належать тільки вам, така персоналізація — не розкіш, а необхідність. Сучасні інструменти дозволяють вибудувати індивідуальну систему захисту, яка відповідає вашому ритму життя і рівню ризику. Не чекати на злам, а діяти на випередження — ось головна стратегія цифрової доби.

Автор: Кирило Хом’яков, регіональний голова Binance в Центральній та Східній Європі, Центральній Азії та Африці