Двоетапна перевірка — це найпростіший спосіб захистити акаунт у месенджері навіть тоді, коли хтось дізнався ваш пароль або перехопив SMS-код. Кілька хвилин налаштувань — і зловмиснику вже недостатньо самого лише номера телефону, щоб зайти у ваше листування. Нижче — покрокові інструкції для WhatsApp, Telegram, Signal, Viber і Facebook Messenger та пояснення, який спосіб підтвердження надійніший за решту.

Що таке двоетапна перевірка

Двоетапна (або двофакторна) перевірка додає до входу другий крок: окрім пароля чи коду з SMS особу потрібно підтвердити ще одним способом — наприклад, PIN-кодом, який знаєте лише ви. Ідея проста: навіть якщо один із факторів скомпрометовано, самого його для доступу вже недостатньо.

У месенджерах ця функція має свою особливість. Здебільшого йдеться не про код при кожному вході, а про PIN чи пароль, який застосунок запитує, коли ваш номер намагаються зареєструвати на новому пристрої. Саме цей крок зупиняє захоплення акаунта через перевипуск або підміну SIM-картки.

Чому SMS-код — не найнадійніший захист

Найпоширеніший другий фактор — одноразовий код у SMS. Він значно кращий, ніж узагалі нічого, але має слабке місце: код можна перехопити. У межах атаки з підміною SIM-картки (SIM-swapping) зловмисник переконує оператора перевипустити ваш номер на свою картку — і починає отримувати ваші повідомлення, зокрема коди підтвердження.

Через це у спільних рекомендаціях щодо мобільного звʼязку наприкінці 2024 року CISA та ФБР прямо радять не використовувати SMS як другий фактор і надавати перевагу стійкішим до фішингу способам — застосункам-автентифікаторам або апаратним і програмним ключам (технологія FIDO, до якої належать і passkeys).

Простими словами, надійність способів підтвердження зростає так: SMS-код — найслабша ланка; застосунок-автентифікатор — помітно краще; ключ безпеки або passkey — найнадійніше. Скрізь, де месенджер дозволяє обрати спосіб, варто відмовлятися від SMS на користь застосунку чи passkey.

WhatsApp: PIN і сучасніша альтернатива — passkey

У WhatsApp двоетапна перевірка — це шестизначний PIN, який застосунок час від часу запитує та обовʼязково вимагає під час реєстрації номера на новому пристрої.

• Відкрийте «Параметри» (Settings) → «Обліковий запис» (Account).
• Виберіть «Двоетапна перевірка» (Two-step verification) і натисніть «Увімкнути».
• Придумайте та підтвердьте шестизначний PIN.
• За бажанням додайте адресу електронної пошти — вона знадобиться, щоб скинути PIN, якщо ви його забудете.

Докладніше про роботу функції — у довідковому центрі WhatsApp. Крім PIN, WhatsApp підтримує passkey — вхід за відбитком пальця, обличчям чи кодом розблокування пристрою замість пароля. Увімкнути його можна в розділі «Параметри» → «Обліковий запис» → «Ключі доступу».

Telegram: хмарний пароль і вхід за passkey

У Telegram базовий другий фактор — це окремий хмарний пароль, який запитують при вході з нового пристрою на додачу до коду з SMS.

• Відкрийте «Налаштування» → «Приватність і безпека».
• Виберіть «Двоетапна перевірка» і натисніть «Встановити додатковий пароль».
• Двічі введіть надійний пароль і, за бажанням, підказку до нього.
• Додайте резервну адресу пошти — без неї відновити доступ у разі втрати пароля буде складно.

Функцію двоетапної перевірки Telegram запровадив ще у 2015 році; відтоді вона лишається базовим захистом акаунта.

Наприкінці 2025 року Telegram додав вхід за passkey — за біометрією (Face ID, відбиток пальця) чи кодом розблокування пристрою замість SMS-коду. Ключ зберігається на пристрої й може синхронізуватися через менеджери паролів від Apple, Google та інших. Створити його можна в розділі «Налаштування» → «Приватність і безпека» → «Ключі доступу». Важливо: passkey спрощує та захищає вхід, але номер телефону досі лишається основою акаунта — тож зберігайте і його, і хмарний пароль. Докладніша інструкція — в окремому матеріалі.

Signal: PIN і блокування реєстрації

Signal просить створити PIN ще під час реєстрації акаунта — він шифрує ваш профіль, налаштування й контакти. Щоб цей PIN додатково не давав нікому перереєструвати ваш номер, увімкніть окрему опцію «Блокування реєстрації» (Registration Lock).

• Відкрийте «Налашьування» (торкніться фото профілю) → «Акаунт».
• Переконайтеся, що PIN створено; за потреби тут його можна змінити або зробити буквено-цифровим замість числового.
• Увімкніть перемикач «Блокувати реєстрацію» (Registration Lock).

Після цього для реєстрації номера завжди потрібен PIN. Важливо: якщо ввести його неправильно кілька разів поспіль, Signal тимчасово заблокує акаунт — доступ відновиться через сім днів. PIN не можна відновити, тож збережіть його надійно.

Viber: шестизначний PIN і біометрія

У Viber двоетапна перевірка — це шестизначний PIN та підтверджена адреса пошти. PIN запитують під час активації Viber на новому телефоні та за спроби змінити частину налаштувань акаунта.

• Відкрийте Viber і торкніться фото профілю вгорі екрана та оберіть «Параметри».
• Перейдіть до розділу «Конфіденційність» → «Двоетапна перевірка».
• Створіть шестизначний PIN і підтвердьте адресу пошти для його відновлення.

За інструкцією Rakuten Viber, якщо ввести PIN неправильно пʼять разів поспіль під час активації нового телефона, спроби заблокують на пʼять днів. Пізніше Viber додав і підтвердження за біометрією — відбитком пальця чи обличчям.

Facebook Messenger: тепер через Accounts Center

Messenger спирається на захист акаунта Facebook, тож двофакторну автентифікацію налаштовують у спільному центрі облікових записів Meta.

• Відкрийте «Центр облікових записів» (Accounts Center) — через «Налаштування» Facebook або Messenger.
• Виберіть «Пароль і безпека» (Password and security) → «Двоетапна перевірка» (Two-factor authentication).
• Виберіть акаунт і спосіб підтвердження. Рекомендований варіант — застосунок-автентифікатор, а не SMS.

Meta пропонує три способи: застосунок-автентифікатор, SMS та апаратний ключ безпеки; як це працює — у довідці Facebook. У квітні 2026 року компанія почала оновлювати «Accounts Center» до «Meta Account» — єдиного акаунта, що централізує пароль, двофакторну автентифікацію й пошту одразу для Facebook, Instagram і Messenger та додає вхід через passkey.

Який спосіб обрати

Загальне правило — вмикати двоетапну перевірку всюди, де вона є, і не покладатися винятково на SMS. Там, де месенджер дозволяє, обирайте застосунок-автентифікатор або passkey. Не забудьте захистити й поштову скриньку, до якої привʼязане відновлення: якщо зловмисник отримає доступ до неї, він зможе скинути PIN. Тому ввімкніть двофакторну автентифікацію і для самої пошти.

Пароль і навіть двоетапна перевірка рятують не від усіх загроз — наприклад, від атаки «людина посередині». Про те, чому довжина PIN важить менше, ніж здається, ми писали окремо, а зберігати складні паролі допоможе менеджер паролів.

Поширені запитання

Чи захистить двоетапна перевірка, якщо зловмисник уже знає мій пароль?

Так. У цьому й сенс: навіть із паролем чи перехопленим SMS-кодом зайти в акаунт без другого фактора — PIN або пароля, який знаєте лише ви, — не вийде.

Що безпечніше — SMS чи застосунок-автентифікатор?

Застосунок-автентифікатор. SMS-коди можна перехопити через підміну SIM-картки, тож CISA та ФБР радять надавати перевагу застосункам або ключам безпеки. Passkey — ще надійніший варіант там, де він доступний.

Що робити, якщо я забув(ла) PIN або пароль?

Якщо ви заздалегідь додали резервну пошту, більшість месенджерів надішлють на неї посилання для скидання. Без резервної пошти відновити доступ складно, а в Signal за ввімкненого блокування реєстрації доведеться чекати сім днів.

Чи потрібно вмикати двоетапну перевірку в кожному месенджері окремо?

Так. Навіть застосунки однієї компанії (наприклад, Messenger і WhatsApp від Meta) захищають окремо — увімкнення в одному не активує захист в іншому.

Ця стаття Двоетапна перевірка у месенджерах: як налаштувати WhatsApp, Telegram, Signal, Viber і Messenger раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Багато хто впевнений: варто змінити 4-значний PIN-код на 6-значний — і смартфон стане надійно захищеним. Дослідження безпеки показують протилежне: проти реального зловмисника, у якого обмежена кількість спроб, різниця між чотирма та шістьма цифрами мінімальна, а подеколи довший код навіть легше вгадати. До того ж сьогодні головна загроза — це вже не підбір коду, а ситуація, коли хтось підглядає, що ви вводите, а потім краде сам пристрій.

Що показало дослідження

Команда фахівців з Рурського університету в Бохумі, Інституту безпеки і приватності імені Макса Планка та Університету Джорджа Вашингтона провела перше масштабне дослідження того, як люди обирають PIN-коди саме для розблокування смартфонів. Учасникам Apple- та Android-пристроїв пропонували встановити чотири- або шестизначний код; частина могла обрати будь-яку комбінацію, частина — лише ту, що не потрапила до «чорного списку» заборонених варіантів.

Ключовий висновок: проти атакувальника, обмеженого кількома десятками спроб (саме так працює розблокування смартфона), 6-значний PIN-код дає мізерний приріст захисту порівняно з 4-значним — а на коротких дистанціях навіть програє.

Конкретні цифри з дослідження — частка кодів, які вдається вгадати:

• 10 спроб (максимум, який допускає iOS): підбирається 4,6% 4-значних і 5,7% 6-значних кодів.
• 30 спроб (менш наполегливий зловмисник на Android): 7,6% проти 8,8%.
• 100 спроб (розумна верхня межа для Android): 16,2% проти 12,5%.

Тобто на перших десятках спроб довший код не лише не допомагає, а навіть частіше відкриває пристрій зловмиснику.

Чому 6 цифр інколи слабші за 4

З погляду математики різниця колосальна. Чотиризначний код — це 10 тисяч можливих комбінацій, шестизначний — мільйон. Якби зловмисник міг перебирати варіанти без обмежень, повний перебір усіх 4-значних кодів зайняв би близько 12 хвилин, а всіх 6-значних — близько 20,5 годин.

Але на практиці смартфон не дає перебирати безкінечно: після кількох помилок вмикаються паузи та блокування. А отже, вирішує не розмір простору комбінацій, а те, наскільки передбачувано люди обирають код. І тут виявилася парадоксальна річ: найпоширеніші 6-значні коди розподілені ще «вужче», ніж 4-значні. Люди масово беруть прості послідовності на кшталт 123456 чи повтори однакових цифр, тож кілька перших здогадок зловмисника спрацьовують навіть частіше.

Які PIN-коди обирати не варто

Дослідники зібрали найпопулярніші комбінації. Якщо ваш код є в цьому переліку або побудований за схожою логікою — його варто змінити:

За цими комбінаціями стоять упізнавані шаблони: 2580 — це вертикальна лінія посередині клавіатури, 5683 на старих кнопкових розкладках складається у слово «LOVE», 159753 малює на цифровому полі літеру «X», а 789456 — це просто рядки клавіатури. Зловмисники чудово знають ці «візерунки» й перевіряють їх першими.

Чому небезпечно просто «дописати дві цифри» до старого коду

Окрема наукова робота дослідила поширену звичку: переходячи на 6-значний код, люди беруть свій старий 4-значний і додають до нього ще дві цифри. Виявилося, що це особливо вразливий сценарій. Якщо зловмисник уже знає ваш попередній 4-значний код, він може вгадати понад 25% таких «подовжених» 6-значних кодів усього за 10 спроб і понад 30% — за 30. Інакше кажучи, новий код успадковує всі слабкості старого.

Головна загроза 2020-х: підгледіти код і вкрасти телефон

Сьогодні зловмисникам часто взагалі не потрібно нічого вгадувати. Поширеною стала схема, яку детально описали журналісти-розслідувачі: у людному місці чи барі хтось підглядає, як власник вводить код розблокування, а потім викрадає сам смартфон. Знаючи код, злодій отримує не просто доступ до пристрою.

PIN-код (passcode) — це «корінь довіри» всієї системи. Біометрія — Face ID, Touch ID, розблокування за відбитком — лише надбудова над ним: щойно сканування не спрацьовує або пристрій перезавантажується, телефон усе одно просить код. А маючи код, зловмисник може змінити пароль облікового запису, вимкнути функції пошуку пристрою, отримати доступ до збережених паролів і банківських застосунків — і заблокувати справжнього власника назавжди. Описані випадки, коли потерпілі втрачали доступ до банківських застосунків ще до того, як устигали позначити телефон як втрачений.

Як виробники відповіли на цю загрозу

Apple. У відповідь на хвилю таких крадіжок Apple додала функцію Stolen Device Protection (захист викраденого пристрою), доступну з iOS 17.3. Коли вона ввімкнена, для найбільш чутливих дій поза «знайомими» місцями (домом чи роботою) самого коду вже недостатньо — система вимагає Face ID або Touch ID. А зміна пароля облікового запису Apple чи вимкнення біометрії передбачає обовʼязкову годинну затримку з повторною біометричною перевіркою. Це дає власнику час заблокувати пристрій дистанційно.

Android. Google вибудувала власний набір захисту від крадіжок. Функція Identity Check (перевірка особи), що зʼявилася в Android 15, вимагає біометрію для критичних дій — зміни PIN-коду, вимкнення захисту, доступу до паролів і банківських застосунків — коли пристрій перебуває поза довіреними локаціями. Доповнюють її Theft Detection Lock (миттєве блокування екрана, якщо телефон вихоплюють із рук), Offline Device Lock, дистанційне блокування через браузер та збільшені паузи після невдалих спроб введення коду. Частину цих функцій потрібно ввімкнути вручну.

Як захистити свій PIN-код і смартфон

• Використовуйте щонайменше 6 цифр, а краще — літерно-цифровий код. Більший приріст безпеки дає не подовження коду, а перехід на складніший пароль із літер і цифр.
• Уникайте дат, повторів і «візерунків» на клавіатурі. Роки народження, 1111, 123456, лінії та фігури на цифровому полі — найперші кандидати на підбір.
• Не робіть новий код «продовженням» старого. Не додавайте дві цифри до колишнього 4-значного коду — обирайте незалежну комбінацію.
• Увімкніть біометрію. Face ID, Touch ID чи розблокування за відбитком зменшують потребу набирати код у публічних місцях, де його можуть підгледіти.
• Активуйте захист від крадіжок. Stolen Device Protection на iPhone та Identity Check і повʼязані функції на Android варто ввімкнути заздалегідь — після крадіжки буде вже пізно.
• Прикривайте екран, коли вводите код. У транспорті, барі чи черзі затуляйте руку — так само, як біля банкомата.

Ця стаття PIN-код на 4 і 6 цифр: чому довший код не гарантує безпеки — і що справді захищає смартфон раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Фахівці у галузі кібербезпеки виявили новий метод атаки, що дозволяє зловмисникам “обдурити” термінал для оплати (POS-термінал) і змусити його думати, що безконтактна картка Mastercard насправді є картою Visa.

За словами експертів, за допомогою цього вектора можна обійти захист ПІН-кодом. Відповідне дослідження опублікували співробітники Швейцарської вищої технічної школи Цюріха (ETHZ), які взяли за основу інший звіт, датований вереснем 2020 року, пише The Hacker News.

Як запевняли фахівці у вересні, зловмисники можуть використовувати вкрадені або загублені банківські карти громадян для оплати дорогих товарів, обходячи при цьому стандартний захист ПІН-кодом від операцій на великі суми.

“Насправді, ця атака серйозніша, ніж може здаватися. Наприклад, злочинці можуть використовувати цей метод для обходу захисту ПІН-кодом”, – писали дослідники.

Новий звіт показує, як зловмисники можуть використовувати “серйозні” уразливості в протоколі EMV, який прийнятий міжнародним стандартом для операцій за банківськими картками з чіпом. На цей раз в зоні ризику банківські карти, випущені Mastercard.

Згідно зі звітом фахівців, атаку можна здійснити за допомогою спеціального Android-додатку, який реалізує атаку “людина посередині” (Man-in-the-Middle, MitM). В результаті додаток зможе не тільки пересилати повідомлення між терміналом і картою, а й вдаватися до NFC-взаємодії.

Іншими словами, зловмисник використовує уразливості в процесі перевірки ідентифікатора AID терміналом. Як правило, POS визначає тип карти, грунтуючись на PAN-номері і AID.

Детальніше з методом атаки можна ознайомитися на відео, яке записали експерти:

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як не стати жертвою кіберзлочину, якщо працюєш вдома? ПОРАДИ

Що таке спуфінг і як запобігти атаці? ПОРАДИ

Чи варто користуватися WhatsApp? П’ять правил безпеки від найбільш розшукуваного хакера світу

Як перенести бесіди з WhatsApp у Telegram на Android? – ІНСТРУКЦІЯ

Як перенести історію чату з WhatsApp у Telegram для iPhone? – ІНСТРУКЦІЯ

Як змінити на Android обліковий запис Google за замовчуванням? – ІНСТРУКЦІЯ

Як дізнатися, які дані Google знає про Вас і видалити їх? – ІНСТРУКЦІЯ

Діяльність одного з найбільших у світі фішингових сервісів для атак на фінансові установи різних країн припинили правоохоронці. Від фішингових атак цього сервісу, який створив та адміністрував 39-річний мешканець Тернопільщини, постраждали 11 країн світу.

Досліднику у галузі кібербезпеки вдалося зламати внутрішні системи понад 35 найбільших компаній, серед яких були Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla та Uber. У цьому фахівцеві допомогла нова атака на ланцюжок поставок софту.

Для обходу захисних поштових шлюзів і фільтрів автори адресних фішингових листів використовують новаторський спосіб приховування шкідливого вмісту сторінки. Теги JavaScript, впроваджувані в HTML-код, шифруються з використанням азбуки Морзе.

Нове сімейство програм-вимагачів під назвою Vovalex поширюється через піратський софт, замаскований під популярні утиліти для Windows – наприклад, CCleaner. Одна цей шифрувальник має певну особливість, що відрізняє його від інших “шкідників” подібного класу.

Ця стаття Нова атака може обдурити термінал для оплати та обійти захист ПІН-кодом раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Сервіс обміну повідомленнями WhatsApp, який належить Facebook, надзвичайно просто налаштувати, але цей процес налаштування означає, що Ваш обліковий запис відкритий для зловживань, якщо Ви не будете обережні.

На щастя, увімкнути додатковий рівень безпеки у Вашому обліковому записі досить просто – це означає, що Ви не втратите його, якщо Ваш шестизначний код активації буде скомпрометований.

На жаль, ці параметри безпеки не позбавлять вас від серйозного зламу – такого як той, що стався з екаунтом генерального директора Amazon Джеффа Безоса. Але принаймні це може запропонувати ще один рівень захисту, якщо комусь вдасться обдурити Вас і реалізувати спільне використання коду безпеки. Це є процесом, відомим як “соціальний злам”, або “соціальна інженерія”.

Скажімо, одна дівчина у неділю вранці, ледве прокинувшись, отримала повідомлення WhatsApp від близької подруги, яка запитала, чи може вона переслати подрузі шестизначний код, який вона збирається отримати SMS-повідомленням. Не замислюючись, і тому, що вона довіряла своїй подрузі, вона надіслала код і раптом виявила, що вийшла зі свого облікового запису WhatsApp.  Ви, мабуть, зрозуміли, що сталося. Це був не будь-який шестизначний код, це шестизначний код, який WhatsApp надсилає на Ваш мобільний номер через SMS, щоб зв’язатись із Вашим обліковим записом WhatsApp. Поділившись цим номером, дівчина ненавмисно дозволила зловмиснику увійти до її екаунта.

Оскільки тепер цей зловмисник мав контроль над її обліковим записом, він міг надсилати повідомлення з її номера на будь-які контакти, з якими вона перебувала в тому ж груповому чаті. Ось так, наприклад, зловмисник зміг попросити шестизначний код підтвердження ще одного її друга через номер іншого друга, він також отримав контроль над цим обліковим записом і використовував його для надсилання повідомлень кожній людині із списку контактів, намагаючись викрасти їхні номери.

Теоретично процедура підтвердження вашого облікового запису WhatsApp має бути досить легкою: просто введіть свій номер телефону в додаток і попросіть його надіслати ще один шестизначний код. Проблема полягає в тому, що хакери можуть “заспамити” Ваш номер купою неправильних шестизначних кодів, щоб Вам заблокували обліковий запис на 12 годин. Тоді, якщо Ви не встановили власний PIN-код, це дозволяє зловмиснику вільно налаштувати власний PIN-код у вашому обліковому записі і заблокувати Вас загалом на сім днів на одному пристрої.

Ось чому так важливо пам’ятати про ці  правила:

1. Ніколи не діліться своїм шестизначним кодом WhatsApp ні з ким – не з батьками, не з найкращим другом і, безумовно, не з Вашим братом/ сестрою. Ніхто ніколи не матиме законних підстав запитувати код, який WhatsApp надсилає вам через SMS, тому навіть не думайте про те, щоб поділитися ним.
2. Якщо трапиться найгірше, то встановлення PIN-коду діятиме як ще один бар’єр, щоб хтось не міг увійти у Ваш обліковий запис – і це реально працює.

Цей PIN-код також, як і код підтвердження, складається з шести цифр. Для того, щоб налаштувати його:

1. Відкрийте WhatsApp і торкніться трьох точок у верхньому правому куті екрана;
2. Натисніть “Налаштування”, оберіть пункт”Обліковий запис”, а потім виберіть “Двоетапна перевірка”
3. Натисніть “Увімкнути” та виберіть шестизначний PIN-код.

Наступний крок не є обов’язковим, але додавання адреси електронної пошти дозволить відновити обліковий запис, якщо Ви забудете свій PIN-код. WhatsApp періодично запитуватиме Вас про свій PIN-код під час його використання, щоб Ви його не забули, але все-таки варто створити резервну копію.

Нагадуємо, що увімкнення функції двоетапної аутентифікації для облікового запису Google дозволить підвищити рівень безпеки Вашого облікового запису. Як це зробити за допомогою iPhone, читайте у статті.

Зверніть увагу, виявили нову фішингову атаку на користувачів WhatsApp – шахраї поширювали за допомогою популярного месенджера повідомлення про те, що Adidas святкує ювілей і дарує футболки і взуття.

Також фірма Malwarebytes, що спеціалізується на кібербезпеці, заявляє, що знайшла попередньо встановлене китайське шкідливе програмне забезпечення на деяких телефонах, закупівлі яких частково фінансуються урядом США.

Microsoft опублікувала рекомендації з безпеки щодо вразливості Internet Explorer (IE), які зараз експлуатуються в реальності – так званий “нульовий день”

Окрім цього, викрили злочинну групу у зламі ліцензійних систем захисту стоматологічного програмного забезпечення – зловмисники спеціалізувалася на зламі програмного забезпечення стоматологічних 3D-сканерів.

Ця стаття Як покращити безпеку облікового запису WhatsApp? раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим