تأیید دو مرحلهای (۲FA) یعنی برای ورود به حساب، علاوه بر رمز عبور، یک مرحلهی دوم هم لازم باشد. این مرحله میتواند کدی از اپ احراز هویت، پیامک، کلید امنیتی یا Passkey باشد. با این کار اگر رمز شما لو برود، فیشینگ شود یا در یک نشت اطلاعات منتشر شود، مهاجم باز هم بدون مرحلهی دوم وارد حساب نمی‌شود. گوگل هم در راهنمای رسمی‌اش همین را می‌گوید: تأیید دو مرحلهای حساب را حتی در صورت دزدیده شدن رمز امن‌تر نگه می‌دارد (راهنمای Google). در ادامه یاد می‌گیرید این قابلیت را در جیمیل، تلگرام، واتساپ و اینستاگرام روشن کنید.
چرا همین حالا؟
این هفته دو خبر امنیتی نشان داد رمز عبور تنها کافی نیست. بانک دولتی هند (SBI) در گزارش رسمی ۲۹ مهر ۱۴۰۵ (۲۱ اکتبر) اعلام کرد که در میان حدود ۳۷۵ هزار رکوردی که در دارک‌وب پیدا شده، ۳٬۸۹۷ رکورد شامل اطلاعات شخصی مشتریانش است، از جمله شماره موبایل، ایمیل و تاریخ تولد (The Hacker News، Mint). چنین اطلاعاتی بیشترین کاربرد را در فیشینگ و جعل هویت دارد.
جدا از این ماجرا، مایکروسافت گزارش داده است که گروه Storm-۰۹۴۰ بین ۱۸ تا ۲۲ مهر یک حمله‌ی گسترده‌ی «Password Spray» (امتحان کردن رمزهای رایج روی تعداد زیادی حساب) را به ۳۲۷ حساب Microsoft ۳۶۵ انجام داد. طبق همین گزارش، در این موج هیچ ورود موفقی ثبت نشد (Microsoft Security Blog). این دو رویداد به هم ربطی ندارند، ولی هر دو یک درس دارند: رمز ممکن است لو برود یا حدس زده شود، و لایه‌ی دوم جلوی ورود را میگیرد.
تأیید دو مرحلهای چطور کار می‌کند؟
مرحلهی دوم معمولاً یکی از این چهار روش است:
- پیامک (SMS): سرویس یک کد یک‌بارمصرف به شماره‌ی شما میفرستد. ساده‌ترین روش است، ولی به آنتن و اپراتور وابسته است.
- اپ احراز هویت: اپ‌هایی مثل Google Authenticator یا Microsoft Authenticator هر ۳۰ ثانیه یک کد ۶ رقمی جدید می‌سازند. این کدها بدون اینترنت و آنتن هم ساخته می‌شوند (راهنمای Microsoft Authenticator).
- کلید امنیتی سخت‌افزاری: یک قطعه‌ی کوچک USB یا NFC (مثل YubiKey) که هنگام ورود به دستگاه وصل یا به گوشی نزدیک میشود.
- Passkey: به‌جای رمز، با اثر انگشت، چهره یا قفل صفحه‌ی گوشی وارد می‌شوید. کلید رمزنگاری روی دستگاه خودتان می‌ماند و برای سایت جعلی کار نمی‌کند (راهنمای Passkey گوگل).
کدام روش امن‌تر است؟
| روش | امنیت | در برابر فیشینگ | مناسب برای |
|---|---|---|---|
| پیامک | پایه | ضعیف (کد را میشود فریب داد و گرفت) | وقتی گزینه‌ی دیگری نیست |
| اپ احراز هویت | خوب | متوسط | بیشتر کاربران |
| Passkey | بسیار خوب | قوی | گوگل، مایکروسافت و سرویس‌های پشتیبانی‌کننده |
| کلید سخت‌افزاری | بسیار خوب | قوی | حساب‌های حساس و مدیران سایت |
خلاصه اینکه هر نوع ۲FA از نداشتنش بهتر است. با این حال اپ احراز هویت از پیامک امن‌تر است و Passkey و کلید سخت‌افزاری از هر دو بهترند، چون کد قابل تحویل دادنی ندارند که کسی با فریب از شما بگیرد.
آموزش قدم‌به‌قدم فعال‌سازی
نام منوها ممکن است با نسخه‌ی اپ کمی فرق کند. مسیرهای زیر طبق راهنماهای رسمی هر سرویس نوشته شده‌اند.
جیمیل و حساب گوگل
- به myaccount.google.com بروید و بخش Security & sign-in (امنیت و ورود به سیستم) را باز کنید.
- زیر «How you sign in to Google» گزینه‌ی Turn on ۲-Step Verification را بزنید و مراحل روی صفحه را دنبال کنید.
- یک روش دوم اضافه کنید: Google prompt روی گوشی، اپ Authenticator، کلید امنیتی یا شماره تلفن.
- از همین بخش Backup codes را بسازید و آن را در جای امنی نگه دارید (راهنمای Google، کدهای پشتیبان).
تلگرام
- به Settings ← Privacy and Security ← ۲-Step Verification بروید.
- یک رمز اضافی (Cloud Password) تعیین کنید. این رمز جدا از کد پیامکی است و هر بار که با شماره‌تان روی دستگاه جدیدی وارد شوید از شما خواسته میشود.
- یک راهنما (Hint) و ایمیل بازیابی وارد کنید و ایمیل را تأیید کنید (سؤالات متداول Telegram).
اگر قبلاً حساب تلگرامتان به خطر افتاده، اول نشانه‌های هک شدن تلگرام را بررسی کنید.
واتساپ
- به Settings ← Account ← Two-step verification بروید و Turn on را بزنید.
- یک رمز (Password) بسازید و تأییدش کنید. واتساپ PIN شش‌رقمی قدیمی را به رمز کامل (حروف، عدد و نماد) ارتقا داده است. اگر هنوز PIN دارید، از همین بخش می‌توانید آن را به رمز تبدیل کنید.
- یک ایمیل اضافه کنید تا اگر رمز را فراموش کردید، بتوانید آن را بازنشانی کنید (راهنمای WhatsApp).
اینستاگرام
- به پروفایل بروید، منوی ☰ (در نسخه‌ی وب: More پایین سمت چپ) و سپس Settings را بزنید، بعد Accounts Center ← Password and security ← Two-factor authentication را باز کنید. در برخی حساب‌ها به‌جای Accounts Center عبارت Meta Account دیده میشود.
- حساب را انتخاب کنید و روش را تعیین کنید: Authentication app (پیشنهادی)، پیامک یا واتساپ.
- مراحل را تمام کنید و کدهای بازیابی را ذخیره کنید (راهنمای Instagram). توجه: روش اپ احراز هویت فقط از اپ اینستاگرام اندروید و آیفون فعال میشود، و برای روش واتساپ باید اول روش پیامک را روشن کنید.
زاویه‌ی ایرانی: پیامک، اپ و فیشینگ «کد تأیید»
- پیامک همیشه نمی‌رسد: کاربران ایرانی زیاد گزارش می‌کنند که پیامک تأیید سرویس‌های خارجی دیر می‌رسد یا اصلاً نمی‌رسد، به‌ویژه در دوره‌های اختلال اینترنت و محدودیت‌های بین‌المللی. این گزارش‌ها کاربری‌اند و آمار رسمی ندارند («غیررسمی»). بنابراین تکیه‌ی کامل بر پیامک میتواند شما را از حساب خودتان بیرون نگه دارد.
- اپ احراز هویت برتری دارد: کد اپ روی خود گوشی ساخته میشود و به اپراتور یا اینترنت نیازی ندارد. برای جیمیل، اینستاگرام و مایکروسافت این روش را روش اصلی قرار دهید.
- کدهای پشتیبان را جدی بگیرید: آن‌ها را چاپ کنید یا در یک پسورد منیجر نگه دارید، نه در گالری گوشی.
- فیشینگ «کد تأیید»: رایج‌ترین ترفند در ایران پیامی است مثل «کدی که برایت آمد را بفرست» از طرف یک آشنا یا «پشتیبانی». هیچ سرویس معتبری کد ورود را از شما نمی‌خواهد. تلگرام هم خودش هشدار می‌دهد که کد ورود را به هیچکس ندهید. اطلاعات نشت‌شده‌ای مثل نمونه‌ی SBI دقیقاً همین پیام‌های جعلی را باورپذیرتر می‌کند.
اگر گوشی گم شد یا کدها از دست رفت
- گوگل: با یکی از کدهای پشتیبان یا روش دومی که قبلاً اضافه کرده‌اید وارد شوید. اگر هیچ‌کدام را ندارید، از مسیر بازیابی حساب استفاده کنید (بازیابی حساب Google).
- تلگرام: اگر رمز دو مرحلهای را فراموش کرده‌اید، لینک بازنشانی به ایمیل بازیابی فرستاده میشود. بدون ایمیل بازیابی، طبق FAQ تلگرام تنها راه حذف حساب و ساختن دوباره‌ی آن است.
- واتساپ: با ایمیل ثبت‌شده رمز (یا PIN قدیمی) را بازنشانی کنید. اگر ایمیل ثبت نکرده باشید، باید چند روز صبر کنید تا امکان بازنشانی فعال شود.
- اینستاگرام: از کدهای بازیابی استفاده کنید یا در صفحه‌ی ورود راهنمای «Need more help» را دنبال کنید.
اگر حساب ایمیلتان هک شده، کارهای ضروری بعد از هک شدن ایمیل را قدم‌به‌قدم انجام دهید. بعد از برگرداندن حساب، روش‌های قبلی ۲FA را حذف و دوباره تنظیم کنید.
پاسخ به سوالات شما
آیا تأیید دو مرحلهای با پیامک کافی است؟
از نداشتن 2FA خیلی بهتر است. ولی در ایران به خاطر مشکل دریافت پیامک و خطر فیشینگ، بهتر است اپ احراز هویت یا Passkey را روش اصلی قرار دهید و پیامک را فقط روش پشتیبان نگه دارید.
اگر اپ Google Authenticator را پاک کنم، کدها از بین میروند؟
اگر همگامسازی با حساب گوگل را روشن نکرده باشید، بله. پیش از پاک کردن یا عوض کردن گوشی، کدها را منتقل کنید و کدهای پشتیبان هر سرویس را داشته باشید.
رمز دو مرحلهای تلگرام با کد پیامکی چه فرقی دارد؟
کد پیامکی را تلگرام برای ورود میفرستد. رمز دو مرحلهای رمزی است که خودتان ساختهاید و بعد از آن کد پرسیده میشود. حتی اگر کسی کد پیامکی شما را به دست بیاورد، بدون این رمز نمیتواند وارد شود.
Passkey جای 2FA را میگیرد؟
Passkey خودش ورودی مقاوم در برابر فیشینگ است و در گوگل میتواند جای رمز و مرحلهی دوم را با هم بگیرد. با این حال روشن نگه داشتن 2FA و کدهای پشتیبان برای روز مبادا همچنان توصیه میشود.
کسی کد تأیید من را خواست؛ چه کنم؟
کد را به هیچکس ندهید، حتی اگر از طرف دوست یا «پشتیبانی» باشد. اگر کد را دادهاید، فوراً رمز را عوض کنید، نشستهای فعال را ببندید و 2FA را روشن کنید.
دیدگاه‌ها