Список проголосовавших за комментарий "КриптоУлитка, <blockquote>Но смс получают левые пользователи, да, даже без доступа к телефону :(<br/> Для чего тогда их везде пихают мне неясно.</blockquote><br/> Этой дыре, насколько я помню, не так много времени. Возможно, она даже этого года. Потому что пушам много лет, банки давно на них намекали, рекомендовали всячески, а не так давно тупо перевели всех, дав возможность вручную вернуть смс.<br/> <br/> <blockquote>как правило, все приложения авторизованы и, если злоумышленник получит доступ к смартфону — он получит доступ ко всему сразу</blockquote><br/> Не всё так просто. Вы наверно не пользователь приложений? :) Приложения прикрыты либо 4-5-значным кодом, либо отпечатком пальца, т.е. нельзя просто ткнуть в банковское приложение и стырить деньги, даже если смартфон лежит разблокированный, скажем, в баре. Даже если хозяин запустил приложение и свернул/переключил экран на другое, не делая выход. Также заблокированы госуслуги, налоги, а некоторые смартфоны позволяют заблочить любое приложение. <br/> <br/> Фундаментально смартфон — это дыра, я согласен — и приложение, и ключ на одном устройстве, т.е. двухфакторная аутентификация со смартфоном становится однофакторной. Но я смотрю шире — имея доступ к сим-карте в большинстве случаев логин-пароль перестают быть проблемой, т.е. как бы логин-пароль — это легаси, «потому что так принято», его легко сбросить/восстановить, а дополнительный код — «настоящий» пароль. Обратите внимание на рассказы о мошенниках — им только кода из смс не хватает для взлома. <br/> <br/> Лично я бы предпочёл просто аппаратный ключ (личный генератор кодов в виде отдельного девайса с экранчиком а-ля 90-е), но актуальность этой идеи с т.з. маркетинга