Вход через Google, Apple ID и соцсети может стать вашей фатальной ошибкой. Почему

Single Sign-On — безопасно или нет?

Сервисы единого входа (Single Sign-On, SSO) появились уже относительно давно. И хотя все специалисты кибербезопасности наперебой советуют вам не использовать одну и ту же связку логин-пароль для разных сайтов, авторизация через такие сервисы часто безопаснее, чем передавать данные напрямую серверу.

Почему так? Как правило, рядовые сайты, где вы регистрируетесь вручную, редко имеет серьезную защиту. Его базу данных легко скомпрометировать, а ваш аккаунт — украсть. И вот тут-то точно не стоит использовать пароль, который также открывает, например, ваш профиль в соцсетях или электронную почту.

Когда вы используете условный Google или Apple, вы доверяете безопасность компаниям, которые вкладывают миллиарды в защиту. Они не обмениваются этими данными с конечным сайтом, обычно третья сторона получает только ваше имя, email и фото профиля — и то только если вы разрешили.

Однако дьявол кроется в нюансах. Со временем к этому вашему единому аккаунту привязывается все большее и большее количество точек входа.

По сути, вы создаете постоянную связь между каждым приложением и своей основной учетной записью. Если с вашим основным аккаунтом что-то случится, полететь может все.

Риски единого входа

Главный риск SSO — централизация. Все завязано на одном аккаунте. Если вы потеряете доступ к нему, вы потеряете доступ ко всем сервисам, куда когда-либо заходили через единый вход.

Киберугрозы

Как объяснил руководитель Kaspersky GReAT в России Дмитрий Галов, риски чаще возникают не из-за самой технологии авторизации, а из-за небезопасных действий пользователей.

Если вы не собираетесь отказываться от этого удобного способа авторизации, особенно важно уделить внимание защите основного аккаунта. Например, включить двухфакторную аутентификацию.

Дополнительный риск связан с современными атаками типа Adversary-in-the-Middle. В таких сценариях злоумышленники могут перехватывать сессионные токены даже при включенной двухфакторной аутентификации. Но тут, что называется, везде соломки не подстелешь.

А в апреле 2026 года стало известно о новой технике взлома Google-аккаунтов без пароля. Хакеры используют вредоносное ПО для кражи аутентификационных cookies. И эти cookies позволяют обойти двухфакторную аутентификацию.

Даже если вы смените пароль, хакер все равно сможет оставаться в системе. Инфостилеры вроде Lumma и Rhadamanthys уже используют эту технику, воруя данные для входа в аккаунт из Chrome.

Блокировки сверху

Если от фишинга и вирусов еще реально защититься с помощью повышения киберграмотности и защищенности устройств и аккаунтов, то от угрозы, что вас просто заблокируют модераторы этого самого удобного сервиса, так просто не отмахнешься.

За примерами далеко ходить не надо. В начале 2026 года у десятков и сотен россиян начали блокировать Apple ID буквально на ровном месте. Под чистку алгоритмов попали, в частности, однофамильцы людей, попавших в западные санкционные списки. Восстанавливать аккаунты приходилось через техподдержку, и далеко не всем это удалось с первого раза.

Аналогично с Google ID. Под блокировку аккаунта можно попасть как за нарушения правил пользования сервисом, например, м использовать почту для рассылки спама и фишинга, так и в результате нелепого стечения обстоятельств.

Например, весной 2026 года Google-аккаунт вместе со всеми привязанными сервисами (а это, на минуточку, почта, Google Диск с кучей важных документов, рабочие аккаунты и аккаунты в ИИ-сервисах) забанили у семьи подростка, который решил использовать сервисы 18+ нейросети Gemini. 14-летний мальчик отправил в чат-бот интимное фото — и профили всей семьи просто снесли без разбирательств, чтобы подобное не повторилось.

Обратная сторона медали: чужие ID

Цифровые сквозные ID по сути выполняют роль вашего интернет-паспорта, пусть и их действие ограничено ресурсами, которые поддерживают такой способ авторизации. Поэтому логично не раздавать пароль от них кому попало. Но есть и другой нюанс, о котором задумываются куда реже: вводить чужие ID на своих устройствах тоже ни в коем случае не надо.

Последствия могут быть плачевными. Например, известен кейс, как россиянка продавала айфон, и потенциальный покупательница попросил войти в него под Apple ID ее мужа, якобы чтобы проверить работоспособность. Стоило это сделать, как смартфон заблокировали удаленно и потребовали за разблокировку кругленькую сумму.

А женщина еще удивлялась, как это столь ценными данными так легко поделились.

Когда стоит использовать единый вход, а когда — нет

Единый вход — это хороший выбор для низкорисковых аккаунтов: новостные сайты, форумы, приложения, которые вы пробуете, или сервисы, которыми не планируете пользоваться долго. Также он имеет смысл, если вы пользуетесь сервисами единой экосистемы, не выходя за ее контуры.

А вот для важных рабочих инструментов или любого приложения, которое запрашивает доступ больше, чем к базовой информации профиля, лучше создать отдельную учетную запись. Это дает вам больше контроля и ограничивает ваши риски, если что-то пойдет не так.

Особенно это касается рабочих сервисов, электронной почты, облачных хранилищ, AI-инструментов и систем умного дома. Для них лучше заводить отдельный логин, использовать сложный пароль и двухфакторную аутентификацию.

Как защитить свой SSO-аккаунт

Если вы все же используете единый вход (а кто его не использует?), вот что нужно сделать прямо сейчас.

• Проверьте, какие приложения имеют доступ. Обычно список прячется в разделах настроек «Приложения, имеющие доступ к аккаунту», «Пароль и безопасность», «Сервисы и сайты» и так далее. Там при необходимости можно отозвать лишние доступы.
• Включите двухфакторную аутентификацию везде, где можно. Раздел можно найти по ключевым словам «двухэтапная аутентификация», «вход и безопасность» и другим комбинациям.
• Используйте ключи доступа (passkeys). Это технология, поддерживаемая Google и Apple, которая заменяет пароли криптографическими ключами. Она делает практически невозможным фишинг и перехват данных.
• Регулярно проверяйте список авторизованных OAuth-приложений. Особенно в корпоративных аккаунтах. Как показала атака на Drift в августе 2025 года (затронувшая более 700 организаций), OAuth-токены могут украсть и использовать для доступа к данным незаметно для пользователей.

Теперь вы знаете, что удобство и безопасность далеко не всегда работают в одной связке. Так что, возможно, настала пора провести ревизию ваших авторизаций. И, кстати, не забывайте иногда обновлять свои пароли в головных SSO-сервисах, ведь по нынешним временам это даже не паранойя, а азы кибербеза.