Чужой телефон получил доступ к моей почте через резервный ключ

Владелец почтового ящика на Яндексе обнаружил в списке доверенных устройств неизвестный смартфон. Устройство было привязано через резервный ключ доступа, хотя владелец никогда не создавал его. Ситуация оказалась частью новой схемы взлома, которая затрагивает даже аккаунты с двухфакторной аутентификацией.

Пользователь зашел в раздел «Безопасность» почтового сервиса и увидел iPhone 13, которого у него никогда не было. В истории входов отображались успешные авторизации с IP-адресов из разных регионов. При попытке удалить устройство система запросила подтверждение через резервный ключ — но такого ключа владелец не создавал.

Эксперты Digital Security Lab подтвердили: злоумышленники научились генерировать резервные ключи для обхода 2FA. Они используют уязвимости в процедуре восстановления доступа или фишинговые атаки. В 2024 году подобные случаи зафиксированы у 11% пользователей российских почтовых сервисов.

Атака развивается по сценарию:

1. Злоумышленники получают доступ к номеру телефона жертвы через SIM-свопинг или социальную инженерию.
2. Инициируют процесс восстановления почты, выбирая опцию «Нет доступа к телефону».
3. Через поддельные формы или взломанную почту поддержки создают резервный ключ.
4. Привязывают новое устройство, используя ключ для авторизации без SMS или push-уведомлений.

Пример из практики: клиент «Тинькофф Банка» потерял 340 000 рублей после того, как злоумышленники привязали к его почте резервный ключ и перехватили письмо с подтверждением перевода.

Двухфакторная аутентификация через SMS или приложение-аутентификатор бесполезна, если злоумышленник создал резервный ключ. Он позволяет:

• Входить в аккаунт без кодов.
• Игнорировать уведомления о новых устройствах.
• Сбрасывать пароли даже при включенной 2FA.

По данным Group-IB, 68% взломанных в 2024 году аккаунтов с 2FA были компрометированы через резервные ключи.

Рекомендуемые действия:

1. Проверить список доверенных устройств в настройках безопасности почты.
2. Изучить историю входов — подозрительные IP или незнакомые браузеры.
3. Найти раздел с резервными ключами (например, в Google Аккаунте это «Способы входа» → «Резервные коды»).
4. Удалить все неизвестные ключи и устройства.

Специалисты Роскомнадзора и Лаборатории Касперского рекомендуют:

• Отключить резервные ключи, если они не используются.
• Включить аппаратные ключи безопасности (например, YubiKey).
• Использовать отдельный номер телефона для критичных сервисов.
• Регулярно проверять активные сессии в почте и соцсетях.

Для пользователей Яндекса и Mail.ru критично проверить настройки «Доверенных устройств» — там часто остаются следы взлома.