Двухфакторная аутентификация: СМС или приложение?

Приложения действительно надёжнее, но не стоит драматизировать насчёт СМС - большинство людей не получают взлом из-за того, что оператор перенаправляет их сообщения, это скорее целенаправленная атака на конкретного человека. Хотя если у тебя есть выбор, лучше всё же использовать приложение, оно ничего не стоит и ты спишь спокойнее.

СМС и приложение - это не совсем одного уровня защиты, но не по тем причинам, которые обычно думают. Дело в том, что СМС могут перехватить через SIM swapping или перенаправление у твоего оператора - это редко, но случается особенно если кто-то тебя специально целит. Приложение для аутентификации генерирует коды прямо на телефоне, поэтому перехват практически невозможен. Дальше, если твой телефон украдут или взломают, обе методы могут быть скомпрометированы, но хотя бы с приложением у тебя есть инструмент, который работает без интернета и никто не может его подслушать в сети.

Что действительно нужно понимать - настоящая слабость СМС не столько в техническом перехвате (это остаётся маргинальным явлением), сколько в социальной инженерии. Парень звонит твоему оператору и убеждает его перенаправить СМС на его линию - это проще, чем кажется. С приложением такого вектора атаки нет. Поэтому да, приложение надёжнее, особенно если нужно защитить действительно чувствительный аккаунт. Для менее критичных вещей СМС подойдёт, но если у тебя есть выбор, не раздумывай - берёшь приложение.

Я лично использую оба способа одновременно на важных аккаунтах, и это явно самый лучший подход! Например, для банка или основной почты я перешла на приложение аутентификации, потому что СМС меня тревожили - я читала о SIM swapping и честно, меня это напугало. А для менее критичных вещей, типа соцсетей, СМС более чем достаточно и экономит время. Суть в том, чтобы не класть все яйца в одну корзину!

Честно, вопроса-то особо и нет - приложение объективно безопаснее SMS, и всё тут! SIM swapping стал обычным делом, и коды по СМС запросто могут перехватить, а вот приложение для аутентификации генерирует коды локально, тут уж ничего не поделаешь.