אימות דו-שלבי הוא שכבת הגנה שמחייבת, מלבד הסיסמה, הוכחה נוספת שאתם אתם: קוד מאפליקציה, אישור בטלפון, מפתח גישה או מפתח אבטחה. כך גם מי שגנב את הסיסמה שלכם לא יוכל להיכנס לחשבון. ההפעלה לוקחת כמה דקות בכל פלטפורמה, והבחירה בשיטה הנכונה חשובה כמעט כמו ההפעלה עצמה.
במדריך הזה נשווה בין שיטות האימות, נסביר למה קודי גיבוי חשובים כמו האימות עצמו, ונעבור על ההפעלה בפייסבוק, אינסטגרם, וואטסאפ, גוגל, יוטיוב, טיקטוק וטלגרם. ואם אתם חושדים שמישהו כבר בפנים, התחילו בסימנים שמעידים על פריצה לחשבון.
✅ לא שחררנו – לא שילמת · מענה מהיר · ליווי אישי עד שהחשבון חוזר ומאובטח
בקצרה: אימות דו-שלבי שבאמת מגן
- התחילו בתיבת המייל, כי דרכה אפשר לאפס כמעט כל חשבון אחר.
- אפליקציית אימות, מפתח גישה או מפתח אבטחה עדיפים על SMS, שחשוף להעברת מספר ולדיוג.
- שמרו קודי גיבוי מחוץ לטלפון. בלעדיהם, טלפון שאבד יכול לנעול אתכם בחוץ.
- בוואטסאפ מגדירים קוד PIN בן שש ספרות ומוסיפים כתובת מייל לאיפוס.
- אף שיטה לא מגנה עליכם אם מוסרים את הקוד למישהו אחר.
מה זה אימות דו-שלבי, ולמה סיסמה כבר לא מספיקה
סיסמאות דולפות כל הזמן: במאגרי מידע שנפרצו, באתרי דיוג שנראים כמו המקור, או כשמשתמשים באותה סיסמה בכמה אתרים. אימות דו-שלבי מוסיף שלב שני שתלוי במשהו שרק לכם יש, בדרך כלל הטלפון או מפתח פיזי. כך סיסמה גנובה לבדה לא מספיקה כדי להיכנס.
חשוב להבין גם את הגבולות. אימות דו-שלבי לא עוצר את מי שמקליד את הקוד בעצמו בדף מזויף, מוסר אותו ל"נציג תמיכה", או עובד על מחשב עם נוזקה שגונבת התחברויות פעילות. לכן הוא חלק מרכזי בהגנה, אבל לא החלק היחיד.
השוואה: SMS, אפליקציית אימות, מפתח גישה ומפתח אבטחה
| שיטה | רמת הגנה | נקודת התורפה | מתי לבחור בה |
|---|---|---|---|
| קוד ב־SMS | בסיסית | העברת המספר לכרטיס אחר, דיוג ועיכובים בקבלת הקוד | כשיטת גיבוי, או כשאין אפשרות אחרת |
| אפליקציית אימות | טובה | אפשר להקליד את הקוד בדף מזויף, ואובדן הטלפון בלי גיבוי | ברוב החשבונות, כשיטה הראשית |
| אישור בהתראה בטלפון | טובה | אישור בטעות של בקשה שלא אתם יזמתם | בחשבון גוגל, לצד שיטה נוספת |
| מפתח גישה (passkey) | גבוהה | תלוי במכשיר או במנהל הסיסמאות שבו הוא שמור | בכל שירות שתומך בו, במיוחד במייל |
| מפתח אבטחה פיזי | הגבוהה ביותר | עלות רכישה, וצורך במפתח גיבוי במקרה של אובדן | חשבונות קריטיים: מנהלי עמודים, מודעות ומייל ראשי |
| קודי גיבוי | רשת ביטחון | מי שמוצא את הרשימה יכול להשתמש בה | תמיד, שמורים מחוץ לטלפון |
מפתחות גישה ומפתחות אבטחה שונים משאר השיטות בנקודה אחת חשובה: הם קשורים לכתובת האתר האמיתי, ולכן לא יעבדו באתר מזויף גם אם נפלתם בפח. זו הסיבה שהם נחשבים עמידים בפני דיוג, בניגוד לקוד שאפשר להעתיק ולהקליד בכל מקום.
קודי גיבוי: החלק שכולם שוכחים
קודי גיבוי הם רשימה של קודים חד־פעמיים שמאפשרים להיכנס כשאין לכם גישה לטלפון. רוב הפלטפורמות מציעות להפיק אותם במסך הגדרות האימות. הדפיסו או שמרו אותם במנהל סיסמאות, במקום שאינו הטלפון עצמו, והפיקו רשימה חדשה אם הישנה נחשפה.
איך מפעילים אימות דו-שלבי נכון: הסדר המומלץ
- התחילו במייל. חשבון המייל משמש לשחזור של כל השאר. אם הוא מוגן, כל שאר החשבונות מוגנים יותר.
- בחרו שיטה ראשית חזקה. אפליקציית אימות, מפתח גישה או מפתח אבטחה, לפי מה שהפלטפורמה מציעה.
- הוסיפו שיטת גיבוי. מספר טלפון עדכני או מפתח שני, כדי שתקלה במכשיר אחד לא תנעל אתכם בחוץ.
- שמרו קודי גיבוי. הפיקו אותם מיד בסיום ההפעלה, ושמרו מחוץ לטלפון.
- עדכנו פרטי שחזור. ודאו שמייל ומספר השחזור שייכים לכם ופעילים.
- צאו מהתחברויות ישנות. אחרי ההפעלה, עברו על רשימת המכשירים המחוברים ונתקו כל מה שאתם לא מזהים.
- בדקו שזה עובד. התחברו ממכשיר אחר וודאו שהמערכת באמת מבקשת את השלב השני.
- עברו על כל החשבונות לפי סדר חשיבות. מייל, וואטסאפ, פייסבוק ואינסטגרם, ואחר כך יוטיוב, טיקטוק וטלגרם.
מהניסיון שלנו
במקרים שהגיעו אלינו עם אימות דו-שלבי פעיל, הפריצה כמעט תמיד עברה דרך האדם ולא דרך הטכנולוגיה: קוד שהוקלד בדף מזויף, או קוד שנמסר למי שהציג את עצמו כתמיכה. המקרה השני הנפוץ הוא הפוך: אנשים שהחליפו טלפון בלי להעביר את אפליקציית האימות ובלי קודי גיבוי, וננעלו מחוץ לחשבון של עצמם. לכן אנחנו מלמדים לקוחות שני כללים פשוטים: קוד לא מוסרים לאף אחד, ולפני החלפת טלפון מעבירים תחילה את אמצעי האימות. שני הכללים האלה חשובים לא פחות מהבחירה בשיטה עצמה.
אימות דו-שלבי בפייסבוק ובאינסטגרם
בשתי הפלטפורמות ההפעלה נעשית ממרכז החשבונות של מטא: נכנסים לאזור הסיסמה והאבטחה, בוחרים באימות דו-שלבי, מסמנים את החשבון הרצוי ובוחרים שיטה. האפשרויות כוללות אפליקציית אימות, קוד ב־SMS, ובפייסבוק גם מפתח אבטחה. באינסטגרם אפשר בחלק מהמדינות לקבל את הקוד גם בוואטסאפ.
- במסך האימות יש אפשרות להפיק קודי שחזור. עשו זאת מיד.
- באפליקציית פייסבוק לנייד קיימת כיום גם תמיכה במפתחות גישה, שמאפשרים כניסה עם טביעת אצבע, זיהוי פנים או קוד הנעילה של המכשיר.
- מנהלים תיק עסקי? במרכז האבטחה של התיק אפשר לחייב אימות דו-שלבי לכל מי שיש לו גישה, וכך לא תלויים בעובד אחד ששכח. זה גם צעד טוב לפני אימות עסק במטא, שבו מטא בודקת שהתיק שייך לעסק רשום.
אימות דו-שלבי בוואטסאפ: קוד PIN ומפתחות גישה
בוואטסאפ אין סיסמה רגילה, והחשבון מזוהה לפי מספר הטלפון וקוד שנשלח ב־SMS. לכן האימות הדו-שלבי כאן קריטי במיוחד: הוא מונע ממי שהשיג את קוד הרישום שלכם להשתלט על החשבון.
- הפעלה: בהגדרות, תחת חשבון, בוחרים אימות דו-שלבי, מגדירים קוד PIN בן שש ספרות ומוסיפים כתובת מייל לאיפוס הקוד.
- מפתחות גישה: באותו אזור אפשר להוסיף מפתח גישה, כך שאימות החשבון יתבצע בעזרת הנעילה של הטלפון.
- מכשירים מקושרים: עברו גם על רשימת המחשבים והדפדפנים המקושרים, כי חיבור זר שם עוקף את קוד ה־SMS.
שימו לב: תוקפים שמשתלטים על חשבון מגדירים לעיתים PIN משלהם כדי לנעול את הבעלים בחוץ. במצב כזה יכול להיות שתצטרכו להמתין כשבוע לפני שתוכלו להירשם מחדש בלעדיו. פרטים וליווי תמצאו בעמוד שחזור חשבון וואטסאפ.
אימות דו-שלבי בגוגל, ב־Gmail וביוטיוב
בחשבון הגוגל, באזור האבטחה, תחת אפשרויות הכניסה, מפעילים את האימות הדו-שלבי. גוגל מציעה מגוון רחב של שיטות: אישור בהתראה בטלפון, אפליקציית אימות, קוד בהודעה או בשיחה, מפתחות גישה, מפתחות אבטחה וקודי גיבוי. מומלץ להגדיר לפחות שתי שיטות שונות.
יוטיוב מוגן דרך חשבון הגוגל. יוצרים בתוכנית השותפים של יוטיוב נדרשים להפעיל אימות דו-שלבי כדי להיכנס ל־YouTube Studio. בערוץ שמנוהל על ידי כמה אנשים, כל אחד מתחבר עם חשבון הגוגל שלו, ולכן הערוץ מוגן רק כמו החשבון החלש ביותר בצוות. שיטה נפוצה להשתלטות על ערוצים היא קובץ זדוני שנשלח במסווה של הצעת שיתוף פעולה וגונב את ההתחברות מהדפדפן, ולכן אל תפתחו קבצים מצורפים מגורמים לא מוכרים.
ננעלתם מחוץ לחשבון הגוגל או שהערוץ נלקח מכם? ראו את שירות שחזור חשבון גוגל ואת שירות שחזור ערוץ יוטיוב.
אימות דו-שלבי בטיקטוק ובטלגרם
טיקטוק
מהפרופיל נכנסים לתפריט, להגדרות ופרטיות, ומשם לאזור האבטחה, שבו נמצאת האפשרות לאימות בשני שלבים. השיטות המוצעות כוללות קוד ב־SMS, קוד במייל ואפליקציית אימות, ולרוב תתבקשו לבחור יותר משיטה אחת. באותו אזור כדאי לעבור גם על רשימת המכשירים המחוברים. אם מישהו כבר השתלט על החשבון, המשיכו לשירות שחזור חשבון טיקטוק.
טלגרם
בטלגרם הכניסה הרגילה נעשית עם קוד שנשלח לטלפון או לאפליקציה, והאימות הדו-שלבי מוסיף סיסמה נוספת. מפעילים אותו בהגדרות, תחת פרטיות ואבטחה, מגדירים סיסמה ומוסיפים מייל לשחזור. באזור המכשירים אפשר לראות את כל החיבורים הפעילים ולסיים כל חיבור שאינו שלכם. אם מישהו כבר שלט בחשבון או בערוצים שלכם, ראו את שירות שחזור חשבון טלגרם.
כבר ננעלתם מחוץ לחשבון?
אימות דו-שלבי הוא הגנה מעולה לפני פריצה, אבל לפעמים מגיעים אליו מאוחר מדי. אם התוקף כבר בפנים, או שהפעיל אימות משלו כדי לנעול אתכם בחוץ, הצעד הבא הוא מסלול שחזור. אלה עמודי השירות שלנו, לפי פלטפורמה:
- שחרור ושחזור חשבון פייסבוק, כולל עמודים עסקיים ותיקים עסקיים.
- שחזור חשבון אינסטגרם שנפרץ או ששם המשתמש שלו שונה.
- וואטסאפ, גוגל, יוטיוב, טיקטוק וטלגרם: הקישורים לעמודים שלהם מופיעים בכל אחד מהסעיפים למעלה.
בכל המקרים הכלל שלנו זהה: לא שחררנו, לא שילמתם.
אף אחד לא צריך את הקוד שלכם
לא מטא, לא גוגל, לא חבר ששלח קוד "בטעות" ולא נציג שמתקשר אליכם. קוד אימות שנמסר לאדם אחר מבטל את כל ההגנה, וזו דרך הפריצה הנפוצה ביותר לחשבונות שכבר מוגנים.
טעויות נפוצות באימות דו-שלבי
- להפעיל רק SMS: זה עדיף מכלום, אבל משאיר את החשבון תלוי בכרטיס ה־SIM.
- לא לשמור קודי גיבוי: טלפון שאבד או נגנב הופך לתהליך שחזור ארוך.
- להחליף טלפון בלי להעביר את אפליקציית האימות: בדקו שהקודים עוברים למכשיר החדש לפני שמאפסים את הישן.
- להגן על הרשתות ולשכוח את המייל: דרך המייל אפשר לאפס סיסמאות בכל מקום.
- לאשר התראות בלי לקרוא: בקשת אישור שלא יזמתם היא סימן שמישהו אחר מנסה להיכנס עם הסיסמה שלכם.
- להסתפק במנהל אחד מוגן: בעמוד עסקי או בערוץ, כל מי שיש לו גישה צריך אימות דו-שלבי.
איך בודקים שההגנה באמת עובדת
- התחברו מדפדפן חדש וודאו שהמערכת מבקשת את השלב השני.
- בדקו שקודי הגיבוי שמורים ונגישים גם בלי הטלפון.
- עברו על רשימת המכשירים המחוברים בכל חשבון ונתקו מה שלא בשימוש.
- ודאו שמייל ומספר השחזור עדכניים.
- חזרו על הבדיקה פעם בכמה חודשים, ובכל פעם שמחליפים טלפון או מספר.
שאלות נפוצות על אימות דו-שלבי
מה ההבדל בין אימות דו-שלבי לאימות דו-גורמי (2FA)?
בשימוש יומיומי המונחים מתארים את אותו רעיון: שלב נוסף מעבר לסיסמה. כל פלטפורמה משתמשת בשם קצת אחר, אבל העיקרון זהה: כדי להיכנס צריך גם משהו שאתם יודעים וגם משהו שרק לכם יש.
האם אימות ב־SMS מספיק?
הוא עדיף מכלום, אבל חשוף להעברת המספר לכרטיס אחר ולדיוג. מומלץ להשתמש באפליקציית אימות או במפתח גישה כשיטה ראשית, ולהשאיר את ה־SMS כגיבוי בלבד.
החלפתי טלפון ואין לי גישה לאפליקציית האימות. מה עושים?
השתמשו בקודי הגיבוי או בשיטת הגיבוי שהגדרתם. חלק מאפליקציות האימות מאפשרות גיבוי לענן ושחזור במכשיר חדש. בלי אף אחד מאלה, תצטרכו לעבור את מסלול השחזור של הפלטפורמה, שיכול להימשך זמן.
האם אימות דו-שלבי מונע כל פריצה?
לא. הוא עוצר את רוב הניסיונות עם סיסמה גנובה, אבל לא מגן על מי שמוסר את הקוד, מקליד אותו בדף מזויף או עובד על מחשב עם נוזקה. מפתחות גישה ומפתחות אבטחה עמידים יותר בפני דיוג.
מה זה מפתח גישה (passkey)?
מפתח גישה הוא אמצעי זיהוי שנשמר במכשיר או במנהל הסיסמאות ונפתח בטביעת אצבע, בזיהוי פנים או בקוד הנעילה. הוא קשור לאתר האמיתי ולכן לא עובד באתר מזויף. בחלק מהשירותים הוא מחליף את הסיסמה, ובאחרים משמש כשלב השני.
מה עושים אם התוקף הפעיל אימות דו-שלבי על החשבון שלי?
זה מצב נפוץ, כי תוקפים מפעילים אימות כדי לנעול את הבעלים בחוץ. פועלים דרך מסלול השחזור הרשמי של הפלטפורמה, ממכשיר מוכר. בוואטסאפ ייתכן שתצטרכו להמתין כשבוע. אם התהליך תקוע, ליווי מקצועי יכול לעזור.
רוצים להגן על החשבונות, או שכבר ננעלתם בחוץ?
ספרו לנו איזה חשבון מדאיג אתכם, ונעזור לכם להחזיר אותו ולאבטח אותו כמו שצריך. לא שחררנו? לא שילמתם.
