Опубліковано: · Оновлено: · автор: kodewright
Як захистити акаунт Google і Apple ID у 2026 році
Як захистити акаунт Google і Apple ID: ключі доступу або апаратні ключі, робочі способи відновлення, чистка пристроїв і застосунків та налаштування, що мають значення.
Щоб захистити акаунт Google і Apple ID (у 2024 році Apple перейменувала його на «Акаунт Apple»), зробіть чотири речі: входьте з ключем доступу (passkey) або апаратним ключем замість SMS-кодів, перевірте, що резервні email і телефон актуальні й захищені, приберіть пристрої та застосунки, якими більше не користуєтеся, і ввімкніть додатковий захист, який пропонує кожна платформа. Через ці два акаунти відновлюються паролі майже до всього іншого, що у вас є, тож вони заслуговують на найсильніший захист.
Порядок важить більше, ніж здається. Щоразу, коли я допомагав комусь повернути доступ до акаунта, заважало одне й те саме: людина не знала пароля від резервної пошти й не мала налаштованої 2FA. Тому відновлення в цьому посібнику стоїть на початку, а не в кінці.
Чому ці два акаунти — перші
Акаунт Google чи Apple зазвичай є адресою для відновлення банку, соцмереж і робочих інструментів, а часто й самим входом через «Увійти через Google» або «Вхід з Apple». Хто його контролює, той може запросити скидання пароля майже будь-де й прочитати лист для скидання. Там же лежить синхронізоване сховище паролів (Google Password Manager або «Зв'язка ключів iCloud»), фото, резервні копії та історія місцеперебувань.
Ці акаунти рідко зламують «в лоб». Типові шляхи — фішингові сторінки, що в реальному часі пересилають ваш пароль і код, повторно використані паролі з інших витоків, SIM-swap (перевипуск SIM-картки шахраями), щоб перехопити SMS-коди, і шкідливі програми, які крадуть сесійні cookie з браузера, де ви вже ввійшли. Кожен крок нижче закриває один із цих шляхів.
Унікальний згенерований пароль
Ні Google, ні Apple не розкривають, як зберігають паролі, і офлайн-злам їхньої бази паролів — не реалістична загроза. Реалістична — повторне використання. Якщо ваш пароль від Google також стоїть на форумі, який зливає базу, інструменти для credential stuffing спробують його на Google в тому самому прогоні.
Дайте кожному акаунту унікальний випадковий пароль від 16 символів і тримайте його в менеджері паролів. Генератор паролів створює такий пароль просто у вкладці браузера й нічого не надсилає на сервер. Чому саме така довжина, я пояснював у статті чому 12 символів — це мінімум.
Коли налаштуєте ключі доступу, вводитимете цей пароль рідко, і в цьому весь сенс: пароль, який ви не вводите, неможливо ввести на фішинговій сторінці.
Замініть SMS-коди на ключі доступу або ключі безпеки
Другі фактори відрізняються тим, від чого реально захищають:
| Метод | Захищає від повторного пароля | Захищає від SIM-swap | Захищає від фішингу в реальному часі |
|---|---|---|---|
| Код у SMS чи дзвінку | Так | Ні | Ні |
| Застосунок-автентифікатор (TOTP) | Так | Так | Ні |
| Запит на телефоні («Це ви?») | Так | Так | Ні |
| Ключ доступу (passkey) | Так | Так | Так |
| Апаратний ключ FIDO2 | Так | Так | Так |
Фішингові набори на кшталт Evilginx стають між вами й справжньою сторінкою входу та пересилають усе, що ви вводите, включно з кодами з SMS і TOTP, а потім забирають сесійну cookie. Ключі доступу й апаратні ключі підписують запит для конкретного домену, тож домен-двійник не отримує нічого придатного. Щоб перевірити, чи підтримують ваш браузер і пристрій ключі доступу, перш ніж на них покладатися, скористайтеся Перевіркою Passkey.
У жовтні 2023 року Google зробив ключі доступу стандартним способом входу для особистих акаунтів. Відкрийте myaccount.google.com/security, розділ «Як ви входите в Google», і:
- Додайте ключ доступу на телефоні та на основному комп'ютері або зареєструйте апаратний ключ безпеки.
- Увімкніть «Пропускати пароль, коли це можливо», щоб першим використовувався ключ доступу.
- Завантажте й роздрукуйте резервні коди в розділі двоетапної перевірки та зберігайте їх офлайн.
- Коли матимете два надійні методи, приберіть SMS із двоетапної перевірки.
Програма Advanced Protection варта уваги, якщо ви журналіст, адміністратор чогось важливого або з інших причин імовірна ціль. З липня 2024 року вона приймає ключі доступу, тож апаратний ключ більше не обов'язковий. Програма вимагає ключ доступу або ключ безпеки під час входу, робить Chrome суворішим до завантажень і обмежує, які застосунки мають доступ до ваших даних Google. Ціна — деякі незручності зі старими сторонніми поштовими клієнтами.
Не плутайте її з Advanced Protection на телефонах з Android 16 (Налаштування → Безпека й конфіденційність → Інші налаштування → Додатковий захист). Ця функція захищає сам пристрій: блокує встановлення застосунків не з Google Play, забороняє підключення до мереж 2G і додає блокування на випадок крадіжки. Її необов'язковий крок «Захист облікового запису» реєструє ваш акаунт Google у програмі, описаній вище.
Apple
Двофакторна автентифікація Apple надсилає коди на ваші довірені пристрої, а SMS чи дзвінок на довірений номер — запасний варіант. Саме цей запасний варіант і вразливий до SIM-swap. Рішення — ключі безпеки: на iPhone відкрийте Параметри → ваше ім'я → Вхід і безпека → Двофакторна автентифікація → Ключі безпеки. Apple вимагає щонайменше два ключі з сертифікацією FIDO (максимум шість) і iOS 16.3, iPadOS 16.3 або macOS 13.2 на кожному пристрої, де виконано вхід.
Після цього для входу потрібні пароль і ключ або довірений пристрій поруч, а шестизначні коди перестають працювати. Прочитайте попередження Apple, перш ніж це робити: якщо втратите всі довірені пристрої й усі ключі, доступ можна втратити назавжди. Зберігайте другий ключ не на тій самій зв'язці, що й перший.
На iPhone також увімкніть «Захист викраденого пристрою» (Параметри → Face ID і код допуску). Поза знайомими місцями він вимагає Face ID або Touch ID, перш ніж хтось зможе змінити пароль Акаунта Apple, і додає затримку на годину. Це зупиняє злодія, який підгледів ваш код допуску.
Налаштуйте відновлення, поки воно не знадобилося
Способи відновлення — це ваш шлях назад до акаунта і шлях для зловмисника, якщо вони слабші за вхід. Перевірте кожен:
- Резервний email. Йому потрібні власний унікальний пароль і власна 2FA, а ви маєте знати цей пароль уже сьогодні. Саме цю прогалину я найчастіше бачу, коли мене просять допомогти.
- Резервний телефон. Це має бути номер, який залишиться з вами на роки, з PIN-кодом SIM-картки чи захистом від перенесення номера, якщо оператор це пропонує.
- Резервні коди або ключ відновлення. Google дає резервні коди для друку. Apple пропонує ключ відновлення з 28 символів (Параметри → ваше ім'я → Вхід і безпека → Ключ відновлення), який замінює стандартний процес відновлення Apple. Apple не зможе його вам повернути, тож вмикайте його, лише якщо надійно збережете.
- Контакти для відновлення. Людина, якій ви довіряєте, підтверджує, що це ви, коли інші способи не спрацювали, і при цьому не отримує жодного доступу до акаунта. Apple дозволяє до п'яти таких контактів (Параметри → ваше ім'я → Вхід і безпека → Контакти для відновлення): під час відновлення контакт диктує вам шестизначний код, а сам має пристрій Apple з iOS 15 або новішою. Google додав контакти для відновлення в жовтні 2025 року (myaccount.google.com → Безпека й вхід → Контакти для відновлення): до 10 людей, які підтверджують вашу особу, вибираючи на своєму телефоні відповідне число. Новий контакт Google зможе допомогти лише через 7 днів після того, як прийме запрошення, тож додайте його зараз, а не тоді, коли вже втратите доступ. В акаунтах із програмою Google Advanced Protection контактів для відновлення бути не може, і це ще одна причина, чому програма підходить тим, хто зберігає резервні ключі.
Уникайте замкнених ланцюжків, коли Gmail відновлюється через адресу iCloud, яка відновлюється через номер телефону, чий акаунт у мобільного оператора відновлюється через Gmail. Тоді одна слабка ланка відкриває все.
Надійніша схема: резервна пошта в іншого провайдера з власною сильною 2FA, роздруковані резервні коди вдома й жодного акаунта, який можна відновити лише через SMS.
Приберіть пристрої та застосунки, якими не користуєтеся
Старі сесії та під'єднані застосунки продовжують працювати після зміни пароля, тож розчистіть їх.
Google: myaccount.google.com/device-activity показує всі пристрої, з яких входили за останні 28 днів; вийдіть з усього, чого не впізнаєте або чим більше не володієте. Потім відкрийте myaccount.google.com/connections, де перелічені застосунки й сервіси, пов'язані з акаунтом, включно з «Увійти через Google», і видаліть ті, якими не користуєтеся.
Apple: список пристроїв — унизу екрана Параметри → ваше ім'я; торкніться пристрою, який вам більше не належить, і виберіть «Вилучити з акаунта». Під'єднання «Вхід з Apple» — у Параметри → ваше ім'я → Вхід з Apple, де можна видалити застосунки, якими ви більше не користуєтеся.
Проданий телефон, з якого ви не вийшли, може досі бути довіреним пристроєм і отримувати запити. Вилучіть його.
Увімкніть додатковий захист
Перевірка безпеки Google (myaccount.google.com/security-checkup) збирає все вищезгадане на одній сторінці: недавні події безпеки, пристрої, доступ сторонніх сервісів і збережені паролі, які позначила Перевірка паролів. Запускайте її після будь-яких змін.
Розширений захист даних Apple (Параметри → ваше ім'я → iCloud → Розширений захист даних) розширює наскрізне шифрування з 15 до 25 категорій даних iCloud, додаючи резервні копії iCloud, Фото, Нотатки й iCloud Drive. Коли він увімкнений, Apple не має ключів до цих даних і не зможе їх для вас відновити, тому для налаштування потрібен ключ відновлення або контакт для відновлення. Пошта iCloud, Контакти й Календарі в будь-якому разі залишаються без наскрізного шифрування. З лютого 2025 року Apple не пропонує цю функцію новим користувачам у Великій Британії.
Нарешті, сприймайте критичні сповіщення безпеки від Google і листи Apple про новий вхід серйозно. Якщо ви їх не спричинили, відкрийте список пристроїв, вийдіть з невідомого пристрою й змініть пароль з пристрою, якому довіряєте. Що робити після підтвердженого витоку, я описав в окремому чеклісті: перші 48 годин після витоку даних.
Якщо сьогодні у вас є лише десять хвилин, витратьте їх на дві речі: додайте ключ доступу до кожного акаунта й перевірте, що можете прямо зараз увійти в резервну пошту.
FAQ
Який найважливіший крок, щоб захистити акаунт Google?
Додайте ключ доступу або апаратний ключ безпеки, а потім приберіть SMS із двоетапної перевірки. З усіх варіантів, які пропонує Google, лише ці два витримують фішингові сторінки, що пересилають коди в реальному часі.
Чи можуть зламати Apple ID, навіть якщо ввімкнена двофакторна автентифікація?
Так. Фішингова сторінка може зібрати ваш пароль і шестизначний код, а SIM-swap дозволяє перехопити коди з SMS. Два ключі безпеки на акаунті прибирають коди як спосіб входу, а «Захист викраденого пристрою» покриває випадок, коли хтось має ваш телефон і знає код допуску.
Що таке програма Google Advanced Protection?
Це найвищий рівень безпеки Google для акаунтів, яким загрожують цільові атаки. Ви реєструєтеся з двома ключами доступу чи ключами безпеки (або з одним плюс способи відновлення), після чого Google вимагає їх під час входу, суворіше перевіряє завантаження в Chrome і обмежує доступ сторонніх сервісів до ваших даних.
Чи варто вмикати розширений захист даних (Advanced Data Protection) в iCloud?
Так, якщо ви впевнені, що збережете ключ відновлення або контакт для відновлення. Він захищає резервні копії, фото, нотатки й iCloud Drive наскрізним шифруванням, але Apple більше не зможе допомогти відновити ці дані, якщо ви втратите доступ.