Двухфакторная аутентификация: как защитить аккаунт на Wildberries, Ozon и Яндекс Маркете

Чужой заказ в истории покупок, изменённый адрес доставки, незнакомая карта в профиле — так выглядит аккаунт на маркетплейсе, к которому получил доступ посторонний. Пароль при этом человек никому не передавал. Что такое двухфакторная аутентификация простыми словами? Это дополнительная проверка при входе: одного пароля мало, нужен второй подтверждающий шаг — код из SMS, приложение на телефоне или физический ключ. Для площадок, где лежат данные карт и адреса, такая защита давно перестала быть чем-то из ряда вон выходящим.

Что такое двухфакторная аутентификация простыми словами

Если коротко: это проверка личности по двум разным «документам». Первый — то, что вы знаете (пароль). Второй — то, чем владеете только вы: телефон, приложение-аутентификатор или аппаратный ключ. Мошенник может украсть пароль через фишинг или утечку базы данных, но без второго фактора вход всё равно не состоится.

Путаница с терминами возникает часто, и ниже мы разберём, чем это отличается от двухэтапной проверки. Пока держите в голове главное: двухфакторная аутентификация — про два разных типа подтверждения, а не про два одинаковых шага.

Как работает двухфакторная аутентификация

Схема простая. Вы вводите логин и пароль. Система просит второй код. Вы берёте его из приложения, из SMS или с аппаратного ключа — и только тогда попадаете внутрь. Код живёт ограниченное время: обычно от 30 секунд до нескольких минут. Подсмотрел злоумышленник пароль, но до телефона не добрался — дальше входа дело не пойдёт.

В жизни это выглядит по-разному. При входе с нового устройства Ozon просит код из SMS, звонка или сообщения в чате «Безопасность», даже если раньше вы отключали проверку. Яндекс ID предлагает на выбор «Пароль + SMS» или «Пароль + одноразовый пароль» из приложения «Яндекс ID». Wildberries для продавцов требует два кода подряд: сначала на телефон, потом на почту. Для покупателей на Wildberries классическая 2FA не является обязательной, но дополнительные подтверждения при заказе там есть.

Отдельно стоит сказать про проверку пароля. Яндекс, например, сверяет введённый пароль с базами утечек и предлагает сменить скомпрометированный. А если вы входите из неожиданного места, с нового устройства или через VPN, система просит пройти проверку: ввести код из SMS или ответить на контрольный вопрос. Это тоже часть двухфакторной логики — просто работает автоматически, без вашего участия в настройках.

Какие бывают факторы и методы 2FA

Все способы делятся на три большие группы. Первая — «что-то, что вы знаете»: пароль, PIN, ответ на секретный вопрос. Вторая — «что-то, что у вас есть»: телефон, приложение, аппаратный ключ. Третья — «что-то, что является вами»: отпечаток пальца, лицо, сетчатка. Для полноценной защиты нужно сочетать минимум две разные категории, а не два пароля из одной.

Коды в SMS

Самый распространённый, но не самый надёжный вариант. Код приходит текстовым сообщением. Удобно: телефон всегда под рукой. Но есть нюансы. Мошенники умеют перехватывать SMS через подмену SIM-карты или вредоносное ПО. К тому же если вы в роуминге или в зоне плохого приёма, вход превращается в квест. Для маркетплейса это приемлемый уровень, но для почты или банка лучше выбрать что-то посерьёзнее.

Приложения-аутентификаторы

Google Authenticator, Яндекс ID (Ключ), Authy — все они генерируют одноразовые коды прямо на устройстве, без участия сотовой сети. Код обновляется каждые 30 секунд. Приложения аутентификатор работают офлайн, их сложнее перехватить. Именно этот способ Ozon рекомендует как основной при настройке 2FA. Яндекс также поддерживает любое приложение на базе алгоритма TOTP.

Push-уведомления

Вместо ввода цифр вы просто нажимаете «Подтвердить» во всплывающем окне на телефоне. Быстро и удобно. Минус — можно машинально нажать «Да» на фишинговый запрос. Некоторые сервисы добавляют защиту: показывают карту мира с местом попытки входа, чтобы вы оценили, ваша это геолокация или нет. У Ozon подтверждение приходит и в чат «Безопасность» — там же видны уведомления о входе.

Биометрия

Отпечаток пальца или сканер лица. Работает как второй фактор в связке с паролем или как самостоятельный способ на доверенном устройстве. На маркетплейсах биометрия чаще встречается в мобильных приложениях: например, для подтверждения заказа или входа по Face ID. В Ozon её включают в профиле: на iOS — вход по Touch ID или Face ID, на Android — автоматический вход. Это удобно, но привязано к конкретному гаджету.

Аппаратные ключи безопасности

Физическое устройство размером с флешку. Его нужно вставить в порт или приложить к телефону с NFC. Аппаратный ключ практически невозможно удалённо взломать: без физического носителя вход не состоится. Яндекс ID поддерживает работу с ключами доступа, включая «Рутокен MFA». Для обычного покупателя маркетплейса это избыточно, но если вы продавец с большими оборотами — стоит рассмотреть.

Чем двухфакторная аутентификация отличается от двухэтапной

С путаницей в терминах сталкиваются почти все, и из-за неё люди думают, что защита включена, хотя на деле — нет.

Двухэтапная проверка использует два шага, но факторы могут быть одного типа. Пример: пароль плюс секретный вопрос. И то, и другое — «то, что вы знаете». Если мошенник узнал ответ на вопрос (а многие используют девичью фамилию матери или кличку собаки, которые легко найти в соцсетях), он обойдёт защиту.

Двухфакторная аутентификация требует именно разных категорий. Пароль (знание) плюс код из приложения (владение устройством). Или отпечаток пальца (биометрия) плюс аппаратный ключ (владение). Только такая комбинация даёт реальный барьер. Поэтому когда маркетплейс просит ввести код из SMS после пароля — это двухфакторная защита. А когда просит придумать контрольный вопрос — это скорее дополнительный, но менее надёжный этап.

Почему взламывают аккаунты на маркетплейсах

Деньги — главный мотив. У покупателей привязаны карты, у продавцов — балансы и выручка, и в сезон распродаж бдительность падает. Второй сценарий — использовать чужой кабинет как трамплин: оформить заказ на чужой адрес, поменять контакты, а потом рассылать фишинговые ссылки от вашего имени. Мошенники часто давят на эмоции: просят проголосовать за ребёнка в конкурсе или получить подписку в подарок — а в итоге человек сам передаёт код авторизации.

И отдельно стоит помнить про правила Wildberries: в оферте сказано, что за утерю данных для входа и их переход к постороннему отвечает сам пользователь, включая материальные последствия. Восстановить доступ в таком случае нельзя — кабинет можно только удалить.

Как мошенники получают доступ к аккаунтам Wildberries, Ozon и Яндекс Маркета

Чаще всего работает фишинг. Приходит ссылка на «страницу маркетплейса», вы вводите логин, пароль, иногда код из SMS — и данные уходят злоумышленникам. Прокуратура прямо предупреждает: не вводите код подтверждения на сторонних сайтах, даже если они выглядят как копия оригинала. Подделку обычно видно по адресу: официальный сайт Ozon — https://www.ozon.ru, а мошенники меняют букву на цифру или подсовывают другой домен вроде «.su» вместо «.ru». Соединение без «https://» — тоже тревожный сигнал. И запомните: Ozon не пишет в Viber или WhatsApp.

Не меньше хлопот доставляет социальная инженерия. Звонок «из службы безопасности», сообщение «ваш заказ отменён, подтвердите данные для возврата», просьба «проголосовать» от взломанного друга — всё это давит на эмоции: страх потерять деньги или желание помочь. Классическая телефонная схема: сначала звонят «из банка», потом «из правоохранительных органов» и просят выполнить действия мошенника «для его поимки», запрещая разглашать информацию. Или звонят «из поддержки сервиса» и просят код из SMS «для защиты аккаунта». Ни маркетплейсы, ни банки никогда не спрашивают пароль, PIN, CVV или код из SMS.

Есть и более техничный вариант — перехват активной сессии. Вредоносное расширение браузера (например, «для поиска скидок») крадёт cookie-файлы, и 2FA уже пройдена: мошенник действует от вашего имени, пока вы ничего не подозреваете. Похожая история — «скидка сотрудника» в мессенджере со ссылкой на поддельную оплату: кроме акций в приложении или на официальном сайте, никаких скидок не предоставляется.

Как включить двухфакторную аутентификацию на Wildberries

Покупатели могут включить дополнительную защиту по желанию, но интерфейс может отличаться в зависимости от версии приложения.

Регистрация и вход на Wildberries идут через сервис WB ID. Если в вашей версии приложения есть раздел «Безопасность» или «Подтверждение входа» — включите его. Если нет, значит, на данный момент площадка не предлагает классическую 2FA для покупателей, но стоит включить хотя бы подтверждение по коду при заказе, если такая опция доступна. И не забывайте: код для получения заказа живёт в личном кабинете и больше нигде. Диктовать его по телефону нельзя никому — только показать сотруднику ПВЗ в момент выдачи, вместе с QR-кодом из приложения, если так удобнее.

Как включить двухфакторную аутентификацию на Ozon

Ozon использует собственную систему безопасности на базе Ozon ID — единого сервиса авторизации на Ozon и в Ozon Банке. Это значит, что защита аккаунта на маркетплейсе и в банке — по сути одна и та же настройка.

В настройках профиля (раздел «Безопасность») найдите пункт «Двухфакторная аутентификация». Система предложит выбрать способ: SMS-код или приложение-аутентификатор (Google Authenticator, Authy и аналоги). Если выбираете приложение, отсканируйте QR-код или введите секретный ключ вручную. После этого сохраните резервные коды — это одноразовые комбинации, которые позволят войти, если телефон потеряется или приложение слетит. Держите их в надёжном месте, но не в заметках на том же телефоне.

После активации при входе с нового устройства Ozon будет запрашивать код. С марта 2026 года площадка ужесточила правила: даже если вы ранее отключали 2FA, при первом входе с незнакомого гаджета система всё равно попросит подтверждение. Это не баг, а дополнительная страховка. Код может прийти не только SMS: пуш-уведомление и сообщение в чат «Безопасность», звонок, письмо на почту. Так что жалоба «не приходит SMS» решается запросом кода другим способом.

Как защитить аккаунт на Яндекс Маркете

Яндекс Маркет работает через единую экосистему Яндекс ID. Поэтому защита аккаунта на Маркете — это настройка безопасности вашего Яндекс ID, которая автоматически распространяется на Почту, Диск, Маркет и другие сервисы.

Зайдите в настройки Яндекс ID, раздел «Безопасность». В блоке «Способ входа» выберите «Пароль + одноразовый пароль» — это самый надёжный вариант, классическая двухфакторная аутентификация через приложение. Вам предложат установить приложение «Яндекс ID» (Ключ) или использовать любое TOTP-приложение. Отсканируйте QR-код, введите сгенерированный код для подтверждения — готово.

Если не хотите ставить отдельное приложение, выберите «Пароль + SMS» — попроще: второй шаг — короткий код из сообщения или пуша. Есть и режим с обычным паролем, но он держится только на сложности и уникальности самого пароля. Отдельно — вход по QR-коду: сканируете его телефоном и попадаете в аккаунт в один клик, по сути подтверждая вход на доверенном устройстве.

После включения Яндекс начнёт требовать второй фактор при входе с новых устройств или при подозрительной активности. Плюс он сам оповещает о любом входе с нового компьютера, смартфона или планшета и мониторит аномалии — например, всплеск попыток входа из далёкой страны.

Дополнительные способы защитить аккаунт на маркетплейсе

2FA — это фундамент, но не единственная мера. Вот что стоит сделать в комплекте.

А если вы хотите удалить сохранённые платёжные данные, есть инструкция, как отвязать карту от Wildberries.

Надёжный пароль и менеджер паролей

Пароль вида «qwerty123» или дата рождения взламывается за секунды. Нужен уникальный набор букв, цифр и символов длиной от 12 знаков. И желательно разный для каждого сервиса. Запомнить десяток таких паролей невозможно, поэтому используйте менеджер паролей — программу, которая хранит их в зашифрованном виде. Главный пароль от менеджера придётся помнить только вам.

Ozon советует не брать готовые слова, а собирать пароль из фразы: выбросить гласные, взять первые буквы строки из любимой песни, добавить цифры и знаки. Чем длиннее и случайнее выйдет — тем лучше. И менять его раз в несколько месяцев.

Актуальные почта и номер телефона

Если вы сменили номер, а в аккаунте маркетплейса остался старый, вы рискуете потерять доступ навсегда. Хуже того: оператор связи может передать «забытый» номер новому владельцу, и тот получит доступ к вашим кодам восстановления. Проверьте в настройках профиля, что телефон и почта актуальны. Заодно включите уведомления о входах.

Отдельно — про сим-карту. Поставьте на неё PIN-код: большинство аккаунтов привязаны к номеру телефона, и если злоумышленник получит доступ к телефону, даже заблокированному, карту можно вставить в другой аппарат. И блокируйте сам телефон паролем или биометрией.

Проверка активных сессий и привязанных устройств

Раз в месяц заглядывайте в раздел «Безопасность» или «Устройства» в личном кабинете. Ozon ID, например, показывает список устройств, с которых входили в аккаунт, и связанные сервисы (Госуслуги, VK ID). Если видите незнакомый телефон, планшет или браузер, который вы не узнаёте, — завершайте сессию немедленно и меняйте пароль. Мошенники часто оставляют «запасной вход», чтобы вернуться позже.

Как понять, что аккаунт взломали

Тревожные звоночки, которые нельзя игнорировать:

• Приходят SMS или push-уведомления с кодами подтверждения, которые вы не запрашивали. Это значит, кто-то знает ваш пароль и пытается войти.

• В истории заказов появились покупки, которых вы не делали. Или адрес доставки изменён на незнакомый.

• Из личного кабинета пропали бонусы, баллы или сохранённые карты.

• Друзья получают от вашего имени странные сообщения с просьбами перевести деньги или проголосовать.

• Вы не можете войти в аккаунт: пароль внезапно «не подходит».

Если заметили хотя бы один признак — действуйте быстро, не надеясь, что «само рассосётся».

Что делать, если аккаунт на маркетплейсе угнали

Действовать лучше по порядку, а не метаться между звонками. Вот последовательность шагов, которая поможет минимизировать потери.

А если восстановить доступ не получается, иногда остаётся только удалить аккаунт — есть инструкция для Яндекс Маркета.

Срочные действия в первые минуты

Первым делом попробуйте восстановить пароль через привязанную почту или телефон. Если мошенник не успел сменить контакты, вы вернёте контроль. Если не получается — сразу звоните в поддержку маркетплейса. Параллельно проверьте привязанную банковскую карту: если с неё списывали деньги, звоните в банк и блокируйте карту. Чем быстрее вы это сделаете, тем выше шанс оспорить операции. Если потеряли телефон — попросите маркетплейс временно заблокировать кабинет и заблокируйте сим-карту у оператора.

Как восстановить доступ к аккаунту

На Wildberries и Ozon есть процедура восстановления через службу поддержки. Понадобится подтвердить личность: обычно просят назвать номер заказа, сумму последней покупки, привязанный телефон или email. Если аккаунт был привязан к Яндекс ID (как на Яндекс Маркете), восстановление идёт через процедуру восстановления Яндекс ID — там можно использовать резервные коды или обратиться в поддержку Яндекса.

Со сменой номера у Ozon есть нюанс. Если доступа к старому телефону нет, процедура проходит только в браузерной версии личного кабинета: на странице Ozon ID выбираете изменение данных, затем вариант без подтверждения, вводите новый номер и подтверждаете его. Но номер приживётся не сразу — на это уйдёт две недели. Войти по почте получится при нескольких условиях: аккаунт не заблокирован, к нему не привязана карта и нет рассрочки, а адрес почты подтверждён.

Как обратиться в поддержку маркетплейса

Не пишите в свободной форме «помогите, меня взломали». Чётко изложите: когда заметили проблему, что именно изменилось, какие заказы или списания видите. Приложите скриншоты. Если есть возможность, укажите примерное время последнего успешного входа, который был вашим. Это ускорит проверку. Ozon, например, просит сообщать о взломе в чат поддержки на официальном сайте.

Как вернуть деньги, если с аккаунта списали средства

Списание могло пройти через привязанную карту или с внутреннего баланса (у продавцов). В первом случае алгоритм такой: звоните в банк, заявляете о несанкционированной операции, блокируете карту, пишете заявление на чарджбэк (возврат платежа). Банк запросит у маркетплейса подтверждение операции. Если вы докажете, что заказ делали не вы (например, адрес доставки в другом городе), шансы на возврат высоки.

С внутренним балансом сложнее: маркетплейс будет разбираться, была ли компрометация аккаунта по вашей вине. Если вы включили 2FA и соблюдали правила, позиция сильнее. Если пароль был простым и передавался третьим лицам — могут отказать. Помните про правило Wildberries: за утерю данных для входа отвечает сам пользователь. Так что второй фактор — это ещё и аргумент в вашу пользу при разборе.

Как защитить аккаунт от взлома в будущем

• Включите 2FA и не отключайте. Даже если кажется, что «меня не взломают» — взламывают не по заказу, а по возможности. Массовые атаки не выбирают жертву, они ищут слабое звено.

• Не переходите по ссылкам из SMS и мессенджеров, даже если сообщение пришло от друга. Если друг просит денег или голос — позвоните ему по обычной связи и уточните. Взломанный аккаунт может рассылать такие просьбы автоматически. Проверяйте адрес отправителя письма: «@ozon-skidki.ru» вместо «@ozon.ru» — верный признак обмана.

• Раз в полгода проверяйте, какие устройства имеют доступ к вашему аккаунту. Удаляйте старые телефоны и незнакомые браузеры.

• Есть и бытовые вещи, которые часто недооценивают. Общественный Wi-Fi для входа в аккаунт или покупок — плохая идея: сеть и шифрование в ней могут быть настроены злоумышленником. Обновления приложений игнорировать тоже не стоит — вместе с новыми функциями они часто приносят улучшения защиты. Антивирус и периодическая проверка устройства не помешают. И при установке приложений даже из официальных магазинов смотрите, какие доступы они просят: доступ к SMS, например, должен настораживать.

• И меняйте пароль после любой подозрительной ситуации. Пять минут возни — меньше, чем потом