Не приходить SMS від банку за кордоном: як зберегти 2FA у подорожі

Класичний сценарій виглядає так: ти приземляєшся, встановлюєш тревел-eSIM і вимикаєш фізичну SIM або взагалі лишаєш її вдома. Через тиждень банк просить код входу — і надсилає його на номер, який більше нічого не приймає. На боці банку нічого не зламалося, на твоєму теж; повідомленню просто нікуди прийти.

Навіть із домашньою SIM у телефоні доставка не гарантована. Якщо роумінг на тарифі вимкнений, повідомлення зупиняються на кордоні. Міжнародні SMS ідуть через з’єднання між операторами, які можуть тихо губити чи затримувати одноразові коди, а деякі відправники взагалі обмежують доставку в закордонні мережі. Ти нічого не бачиш: банк звітує, що код надіслано, а телефон мовчить.

Обхідні шляхи, за які хапаються першими, теж часто не працюють. Багато банків відмовляють VoIP і віртуальним номерам у верифікації, бо їх легко отримати шахрайським шляхом, тож переадресація номера на інтернет-сервіс може вбити канал повністю. А зміна зареєстрованого номера посеред поїздки зазвичай вимагає — так, вгадав — коду на старий номер або візиту у відділення.

Найнадійніша схема використовує обидва слоти SIM для різних завдань. Домашній номер лишається в першому слоті — фізична SIM чи eSIM — з увімкненим роумінгом і вимкненими мобільними даними для нього. Його єдина робота — приймати повідомлення й зрідка дзвінок від банку. У більшості напрямків отримання SMS у роумінгу нічого не коштує; страшні рахунки генерують вихідні дзвінки й мобільні дані.

Тревел-eSIM іде в другий слот і стає лінією даних за замовчуванням. Такий поділ дає дешевий інтернет за місцевими тарифами для всього — банківських застосунків, автентифікаторів, месенджерів, — поки домашній номер тихо виконує роль рятувальної лінії. Перевір дві речі в домашнього оператора до виїзду: що роумінг справді увімкнений на твоєму тарифі та скільки тариф бере за отримання повідомлень у твоїх країнах.

Якщо домашній номер передплачений, перевір правила його згоряння. Багато передплачених SIM деактивуються після періоду без поповнень чи активності — часто десь між трьома й дванадцятьма місяцями, — а перевипущений номер це проблема безпеки, не просто незручність: наступний власник може отримувати твої коди. Постав повторюване нагадування поповнювати рахунок чи генерувати активність.

SMS — найслабший канал 2FA навіть удома, а за кордоном ще й найненадійніший. Де банк пропонує альтернативу — бери її. Звичний шлях апгрейду: пуш-підтвердження в застосунку спершу, застосунок-автентифікатор другим, passkey там, де вони вже є. Усі три працюють через будь-яке інтернет-з’єднання й не зважають, яка в тебе SIM, номер чи країна.

Пуш-підтвердження в банківському застосунку — найлегша перемога: банк надсилає запит у сам застосунок, ти підтверджуєш відбитком чи обличчям, готово. Застосунки-автентифікатори (TOTP) генерують шестизначні коди офлайн зі збереженого секрету, тож працюють навіть без з’єднання взагалі. Увімкни їх у налаштуваннях безпеки кожного рахунку й збережи бекап-коди, які сервіс показує під час налаштування.

Головний вибір з автентифікаторами — хмарна синхронізація проти прив’язки до пристрою. Хмарна синхронізація (як у багатьох масових застосунках) означає, що втрата телефона не втрачає коди — але той, хто зламає той хмарний акаунт, успадкує їх. Прив’язка до пристрою сильніша проти віддалених атак і гірша проти крадіжки чи втрати. Для подорожей синхронізація плюс сильний, захищений passkey хмарний акаунт — прагматична середина; хай там що вибереш, експортуй чи занотуй матеріал відновлення до вильоту.

Passkey стають типовим варіантом для пошти й платформних акаунтів і поступово з’являються в банках. Вони стійкі до фішингу, не потребують коду взагалі й синхронізуються через платформний акаунт. Де грошовий рахунок пропонує passkey, додати його нічого не коштує — і це канал, якого не торкнеться жодна проблема з SIM.

Апаратний ключ безпеки — маленький пристрій USB-C чи NFC, який відповідає на запити входу фізично. Він не потрібен для кожного рахунку — але для двох-трьох, що охороняють усе решта, це найсильніший наявний варіант. Для більшості номадів це основна пошта (центр відновлення всього) і, якщо тримаєш крипту, біржові акаунти.

Тревел-правило апаратних ключів: ніколи не носи один — носи два. Зареєструй обидва ключі на кожному рахунку, який їх підтримує, тримай один на зв’язці чи в рюкзаку, а другий — в іншому багажі чи в житлі. Єдиний ключ, що зникає з украденою сумкою, перетворює найсильніший 2FA на найважчий локаут.

Практичність важлива: обирай ключі з USB-C і NFC одночасно, щоб працювали і з ноутбуком, і з телефоном, і перевір, що потрібні тобі сервіси їх приймають — серед банків підтримка досі рідкість, тоді як поштові провайдери й великі біржі підтримують їх широко.

Коди входу — лише половина проблеми. Онлайн-платежі карткою дедалі частіше вимагають, щоб емітент підтвердив, що це справді ти: у ЄЕЗ і Британії цього вимагають правила SCA, а деінде 3-D Secure став стандартом багатьох мерчантів. Коли платиш, checkout передає слово твоєму банку для підтвердження. Якщо це підтвердження — код на мертвий номер, платіж падає.

Симптом збиває з пантелику: фізична картка нормально працює в магазинах і банкоматах, але онлайн-оплати — квитки, готелі, візові портали — відхиляються з розмитою помилкою. Емітенти підтверджують по-різному: хтось шле пуш у застосунок, хтось показує запит із біометрією, а хтось досі має тільки SMS без альтернатив. Який тип у твоєї картки, краще знати до поїздки, а не посеред бронювання готелю.

У більшості випадків працюють два запобіжники. Перший: відкрий налаштування безпеки чи 3-D Secure у банківському застосунку й переведи підтвердження на застосунок усюди, де це пропонують, — один дотик зараз рятує зірваний checkout потім. Другий: оплати гаманцем через Apple Pay чи Google Pay часто автентифікуються самим пристроєм, повністю оминаючи SMS-коло для мерчантів, які їх приймають.

Будь-який канал, на який покладаєшся, може померти: телефони падають у море, застосунки псуються, номери згоряють. Резервний шар — те, що перетворює це з події, яка ламає поїздку, на вечір адміністративної роботи. Перший компонент — бекап-коди, одноразові коди, які кожен сервіс видає під час увімкнення 2FA. Зберігай їх двічі: роздрукованими на папері окремо від телефона й у менеджері паролів.

Другий компонент — другий довірений пристрій. Старий телефон чи планшет, залишений у житлі, з відновленим автентифікатором і залогіненими банківськими застосунками означає, що втрата основного телефона не позбавляє тебе доступу ні до чого. Тримай його оновленим і час від часу заряджай; мертвий бекап — це декорація.

Третій — гігієна пошти відновлення. Скидання паролів усіх твоїх акаунтів тече через одну-дві скриньки; якщо самі ці скриньки захищені лише SMS на домашній номер, уся конструкція висить на каналі, що найімовірніше відмовить. Дай пошті відновлення найсильніший 2FA, який маєш, — passkey чи апаратний ключ — і переконайся, що її власні опції відновлення не вказують назад на той самий номер телефона.

Банки не афішують дизайн свого 2FA, але групуються в упізнавані патерни. App-first банки й фінтехи здебільшого підтверджують усе пушем і майже не використовують SMS. Традиційні роздрібні банки часто змішують застосунок для входів і SMS для платежів. Меншає група тих, у кого тільки SMS для всього, — і саме ці рахунки ламаються за кордоном найсильніше.

Канал банку зазвичай не зміниш — але можеш обирати, на які рахунки спиратися в подорожі. Пройдися таблицею нижче по кожному своєму рахунку й вважай гроші, до яких не дістанешся без SMS, умовно доступними, поки не протестуєш доставку з-за кордону чи не переведеш рахунок на кращий канал.

Аудит займає менш ніж годину й прибирає цілу категорію несподіванок. Випиши кожен рахунок, що торкається грошей: банки, брокери, платіжні застосунки, біржі, поштові адреси за ними й сам менеджер паролів. Для кожного запиши, як він підтверджує входи й платежі сьогодні — чесну відповідь, а не ту, яку припускаєш.

Тоді проведи вирішальний тест: постав телефон на Wi-Fi з вийнятою чи вимкненою домашньою SIM і спробуй увійти в кожен рахунок та зробити маленький онлайн-платіж карткою. Що впаде у твоїй вітальні, впаде і в аеропорту опівночі. Виправляй збої, поки виправляти легко — деякі зміни, як реєстрація нового методу 2FA чи зміна номера телефона, самі вимагають підтвердження старим каналом або візиту у відділення, що можливо лише вдома.