OTP код что это? Как работает OTP аутентификация?

Коды OTP применяются большинством банков и онлайн-сервисов для защиты информации пользователей и онлайн-счетов. Так что же такое OTP-код? Что следует учитывать при использовании OTP-кода? Об этом Вы узнаете из нашей статьи.

Что такое OTP-код?

​

Одноразовый пароль или OTP (One Time Password) — это код безопасности, созданный для использования при входе в систему и не подлежащий повторному использованию.

Кроме того, OTP-коды также известны как одноразовые PIN-коды, одноразовые коды авторизации (OTAC) или динамические пароли. Время действия OTP-кода обычно очень короткое, всего от 30 секунд до 5 минут (согласно статье 10 Циркуляра 35/2016/TT-NHNN).

OTP-код будет отправлен в виде автоматически сгенерированного 6-значного числа или символьного кода. OTP стал глобальным стандартным методом безопасности для входа в систему в особых ситуациях, таких как: активация карты, банковский платеж, вход в учетную запись, подтверждение действительной транзакции, идентификация устройства, восстановление пароля…

Существует много типов OTP-кодов, но SMS OTP, Voice OTP, Token и Smart OTP — четыре самых популярных типа.

• SMS OTP: по данным охранной компании «Касперский», 74% пользователей предпочитают одноразовые пароли (OTP), получаемые через SMS для всех электронных транзакций (по данным на 2022 г.).
• Голосовой OTP: голосовой OTP-код будет передаваться посредством телефонного звонка непосредственно на мобильный телефон. Он не хранится на устройстве в целях обеспечения безопасности.
• Токен: существует два основных типа токенов: Hard Token и Soft Token.
  • Hard Token — это небольшое USB-устройство, которое можно легко носить с собой для получения OTP-кода. Soft Token — это программное обеспечение, установленное на вашем компьютере, телефоне или планшете, которое предоставляет вам коды токенов при совершении транзакций.
  • Smart OTP: аналогично Soft Token, но для Smart OTP не требуется физическое устройство. Код Smart OTP повысит безопасность за счет использования таких факторов, как географическое местоположение пользователя, отпечаток пальца, распознавание лица (Face ID). Благодаря этому пользователи могут легко получить код и снизить риск взлома вашей учетной записи.
• OTP по электронной почте. В дополнение к 4 популярным типам, указанным выше, также часто используется OTP по электронной почте. Вместо отправки кода по телефону, например, с помощью SMS, этот тип кода будет отправляться по электронной почте, которую вы зарегистрировали.

Важная роль OTP-кода в финансовых транзакциях

Согласно отчету «Лаборатории Касперского», в 2023 году данные для входа в систему были украдены с помощью вредоносного ПО почти на 10 миллионах устройств.

Киберпреступники часто используют эту украденную информацию в незаконных целях, таких как проведение кибератак, слив аккаунтов или продажа и распространение информации на форумах даркнета (подпольном незаконном рынке).

В этом контексте OTP-коды играют роль, помогая обеспечить лучшую защиту личной информации и транзакций.

Потому что этот тип кода безопасности используется в качестве меры двухфакторной аутентификации (2FA) перед аутентификацией транзакции, чтобы минимизировать риск мошенничества и поддерживать высокий уровень безопасности.

Кроме того, коды OTP также более безопасны, чем статические пароли, поскольку их нельзя повторно использовать в нескольких учетных записях, и они отправляются только на номер телефона или адрес электронной почты, с которым вы первоначально зарегистрировались.

Как получить OTP-код при совершении транзакции

Способ получения OTP-кода на телефоне или в приложении может различаться в зависимости от банка или услуги, которую вы используете.

• SMS OTP, OTP по электронной почте, голосовой OTP: эти типы OTP-кодов будут отправлены вам на основе первоначально зарегистрированной информации. После получения введите OTP-код, чтобы продолжить аутентификацию.
• Smart OTP: после совершения транзакции в мобильном банке/приложении вам будет предложено использовать FaceID, отпечаток пальца или пин-код. После этого на экране устройства примерно на 2 минуты появится Smart OTP-код.
• Токен-устройство (Hard Token): при нажатии кнопки на токен-устройстве на экране появится OTP-код. Вы введете отображаемый код для завершения аутентификации.

Если вы не получили OTP-код, вам следует проверить сетевое подключение вашего устройства. Если вы не знаете, как это сделать, обратитесь к поставщику услуг за подробными инструкциями.

Примечания по использованию OTP-кода

OTP-код считается уровнем защиты ключа в платежных транзакциях. Поэтому необходимо обратить внимание на следующие моменты, чтобы избежать нежелательных рисков:

• Введите код OTP сразу после его отправки: поскольку код OTP действителен в течение очень короткого времени, если вы не введете его немедленно, вам придется повторить операцию снова, чтобы получить другой код.
• Не сообщайте OTP-коды незнакомцам. Во избежание мошенничества вы ни в коем случае не должны предоставлять OTP никому, включая людей, выдающих себя за представителей органов власти или сотрудников банка.
• Не вводите коды OTP для ссылок неизвестного происхождения: пользователи могут быть атакованы с помощью фишинга через ссылки (URL-адреса), электронные письма, автоматические диалоговые окна... Они будут выглядеть как URL-адрес электронной почты корневого поставщика с поддоменом. Например: bytwork.com (настоящий), xyz.byt_work.com (фейковый).
• Немедленно заблокируйте SMS OTP, если вы потеряете свой телефон: даже если вы установите пароль, код SMS OTP все равно может появиться на экране режима ожидания, или вор может разблокировать телефон, чтобы получить код.
• Установите пароль для своего телефона. С ростом популярности интернет-банкинга телефон теперь похож на второй кошелек. Пользователям необходимо защитить свои телефоны, добавив биометрические данные, чтобы снизить риск утечки личной информации и кодов OTP в SMS.

Использование OTP-кодов — важный шаг в защите от рисков кибербезопасности. Однако деятельность по краже информации становится все более изощренной, например, атаки MITM (Man-in-the-Middle).

Поэтому эксперты все еще ищут более комплексные решения, в последнее время требующие биометрии для банковских транзакций.

Подробнее: Что такое «Человек посередине»? Кибератака «Атака посредника» (MITM). Как работает? Примеры