Двухфакторная аутентификация добавляет к логину и паролю второй способ подтверждения входа. Она помогает защитить рабочие данные, если пароль украли, подобрали или получили через поддельную страницу: зная только логин и пароль, посторонний не сможет войти в аккаунт. Это одна из мер защиты данных в Битрикс24 наряду с шифрованием соединений, защитой файлов и проактивной защитой.
Как ограничить доступ в Битрикс24 по IP-адресу

Почему одного пароля недостаточно

Даже сложный пароль не гарантирует безопасность: злоумышленники используют подбор, автоматическую подстановку украденных паролей и приемы социальной инженерии. Рассмотрим три распространенных сценария.

Фишинг и социальная инженерия. Пользователь получает письмо или сообщение со ссылкой на страницу, похожую на настоящий корпоративный сервис. Его убеждают ввести логин и пароль, после чего эти данные попадают к злоумышленнику.
Фишинг: что это и как защитить компанию
Как распознать фишинг: 10 вопросов для самопроверки

Повторное использование пароля. Если одна и та же пара логин–пароль используется в нескольких сервисах, украденные данные могут автоматически проверить на других сайтах, в том числе в рабочем аккаунте.

Вредоносная программа. Программа-инфостилерИнфостилер — это вредоносная программа, которая собирает данные с устройства и передает их злоумышленнику. может похитить сохраненные в браузере пароли, данные сессий и другие идентификаторы.

Во всех этих случаях проблема не обязательно связана со сложностью пароля. Если пароль стал известен постороннему, одного этапа проверки уже недостаточно.

Как второй фактор защищает аккаунт

При обычном входе достаточно правильно ввести логин и пароль. Если эти данные попадут к злоумышленнику, он сможет попытаться войти под именем сотрудника.

При включенной двухфакторной аутентификации вход проходит в два этапа:

1. Пользователь вводит логин и пароль.
2. Битрикс24 запрашивает подтверждение входа в мобильном приложении по СМС или e-mail.

Без второго подтверждения войти в аккаунт не получится. Например, если сотрудник ввел пароль на поддельной странице, злоумышленник получит учетные данные и попробует использовать их для входа. Битрикс24 отправит запрос на доверенное устройство сотрудника. Если сотрудник не подтвердит запрос, вход не состоится.
Новая двухфакторная аутентификация в Битрикс24
Частые вопросы о безопасности Битрикс24

Так двухфакторная аутентификация помогает защитить аккаунт при фишинге, подборе пароля и автоматической проверке паролей из утечек: одного пароля для входа уже недостаточно.