Вы поставили двадцатисимвольный пароль и включили второй фактор. А потом сервис предложил задать контрольный вопрос для восстановления — и вы честно ответили, что вашу первую собаку звали Бим. Поздравляю: у аккаунта появился запасной вход с паролем из трёх букв, который знает половина ваших знакомых.
Почему это слабое место
Контрольный вопрос — обходной путь мимо всей вашей защиты. Он существует именно для того, чтобы пустить человека без пароля, и часто без второго фактора тоже. Значит, стойкость аккаунта равна стойкости самого слабого входа, а не самого сильного.
А стойкость типичных ответов близка к нулю. Девичья фамилия матери есть в социальных сетях и в списках родственников. Город рождения — в анкете. Кличка питомца — в подписи к фотографии. Марка первой машины угадывается с трёх попыток по региону и возрасту.
Хуже того, у многих вопросов мало вариантов ответа в принципе. «Любимый цвет» — это перебор из десяти слов. «Марка первого автомобиля» в большинстве стран — из полутора десятков.
Что делать
Отвечать неправдой. Самое простое и самое действенное. Вопрос «кличка первого питомца» не обязывает вас отвечать честно — сервису всё равно, он просто сравнивает строку. Ответ «мKq7-veranda-9» работает точно так же, как «Бим», но не находится в соцсетях.
Хранить ответ в менеджере паролей. Придуманный ответ невозможно вспомнить через два года — а именно тогда он и понадобится. Записывайте его рядом с паролем, в поле для заметок. Без этого весь приём превращается в способ навсегда потерять доступ.
Использовать генератор. Подойдёт парольная фраза из трёх-четырёх слов: её можно продиктовать оператору поддержки по телефону, а угадать нельзя. Случайная строка тоже годится, но диктовать её мучительно.
Отказываться, где можно. Часть сервисов позволяет не задавать контрольный вопрос вовсе или заменить его резервными кодами. Резервные коды лучше: они одноразовые и не привязаны к угадываемым фактам.
Особый случай: поддержка по телефону
Иногда контрольный вопрос задаёт живой оператор. Здесь придуманный ответ создаёт трудность: «мKq7-veranda-9» по телефону не продиктуешь без мучений, а оператор может ввести его с ошибкой.
Решение — ответ из обычных слов, но не связанных с вами: «синий чайник тридцать» вместо клички собаки. Диктуется легко, не гуглится, в памяти не нужен, потому что записан в менеджере.
Проверьте старые аккаунты
Контрольные вопросы вы, скорее всего, задавали много лет назад и честно. Стоит пройтись по важному — почта, банк, госуслуги — и посмотреть, что там стоит.
Если ответы честные, замените их на придуманные и сохраните в менеджере. Это займёт полчаса и закроет самый недооценённый способ угона: не подбор пароля, а восстановление доступа человеком, который знает о вас чуть больше, чем вы думаете.