एक अकेला पासवर्ड किसी दूसरे का बनने से बस एक अनुमान, एक लीक या एक फ़िशिंग पेज दूर होता है। बहु-कारक प्रमाणीकरण (Multifactor authentication - MFA) एक दूसरा सबूत जोड़ता है, इसलिए केवल एक चोरी हुआ पासवर्ड काफी नहीं होता है। यह उन सबसे प्रभावी एकल कदमों में से एक है जिन्हें आप किसी खाते के लिए उठा सकते हैं, और यह अलग-अलग तरीकों से काम करता है। कुछ विधियां लगभग हर बड़े पैमाने के हमले को रोकती हैं, और अन्य उन तरकीबों के सामने विफल हो जाती हैं जिनका उपयोग हमलावर सबसे अधिक करते हैं।
यह पृष्ठ बताता है कि MFA क्या है, यह कितनी मदद करता है, मुख्य विधियों की तुलना कैसे होती है, और प्रत्येक किसे नहीं रोक सकती है। यह विशिष्ट ऐप्स या कुंजियों की सिफारिश नहीं करता है। आप जिस चीज़ की सुरक्षा कर रहे हैं उसके हिसाब से विधि चुनें, जिसे तय करने में थ्रेट मॉडलिंग (threat modeling) आपकी मदद करता है।
सरल शब्दों में MFA क्या है
प्रमाणीकरण (Authentication) का अर्थ है यह साबित करना कि आप आप हैं। सबूत तीन प्रकार के होते हैं: कोई ऐसी चीज़ जो आप जानते हैं (जैसे पासवर्ड), कोई ऐसी चीज़ जो आपके पास है (जैसे फ़ोन या सुरक्षा कुंजी), और कोई ऐसी चीज़ जो आप हैं (जैसे फ़िंगरप्रिंट)। MFA कम से कम दो अलग-अलग प्रकार के सबूत माँगता है। एक पासवर्ड के साथ आपके फ़ोन से आया कोड MFA है। एक पासवर्ड के साथ दूसरा पासवर्ड MFA नहीं है, क्योंकि दोनों ऐसी चीज़ें हैं जिन्हें आप जानते हैं।
आप “टू-फैक्टर प्रमाणीकरण” (2FA) और “टू-स्टेप सत्यापन” (two-step verification) भी देखेंगे। वे ज़्यादातर एक ही चीज़ का वर्णन करते हैं: एक पासवर्ड और एक अतिरिक्त जांच।
विचार सरल है। एक लीक हुआ पासवर्ड उस व्यक्ति के लिए बेकार है जिसे आपके फ़ोन की भी आवश्यकता है। आम लोगों पर अधिकांश हमले चुराए गए, पुन: उपयोग किए गए या अनुमान लगाए गए पासवर्ड से शुरू होते हैं (जिसे सामान्य खतरे (common threats) कवर करता है), इसलिए एक दूसरा कारक सबसे आम रास्ते को बंद कर देता है।
यह कितनी मदद करता है
दो बड़े अध्ययन सीमाओं के साथ सर्वोत्तम आंकड़े देते हैं।
माइक्रोसॉफ्ट के शोधकर्ताओं ने 2022 में कई महीनों में संदिग्ध गतिविधि दिखाने वाले वाणिज्यिक खातों का अध्ययन किया। उन्होंने पाया कि MFA ने आबादी में समझौते के जोखिम को 99.22% कम कर दिया, और उन खातों के लिए 98.56% कम कर दिया जिनके क्रेडेंशियल पहले ही लीक हो चुके थे। उन्होंने यह भी पाया कि एक समर्पित ऑथेंटिकेटर ऐप ने एसएमएस कोड से बेहतर प्रदर्शन किया, हालांकि दोनों बिना किसी MFA के बहुत बेहतर थे। ये एक प्रदाता के प्लेटफॉर्म पर काम के खाते थे, इसलिए आंकड़े सीधे आपके व्यक्तिगत खातों में स्थानांतरित नहीं होंगे।
न्यूयॉर्क यूनिवर्सिटी और यूनिवर्सिटी ऑफ कैलिफोर्निया, सैन डिएगो के साथ गूगल के 2019 के अध्ययन ने व्यक्तिगत खातों पर ध्यान दिया। रिकवरी फ़ोन पर भेजे गए एक एसएमएस कोड ने सभी स्वचालित बॉट, 96% बल्क फ़िशिंग हमले और 76% लक्षित हमलों को रोक दिया। ऑन-डिवाइस प्रॉम्प्ट ने 100%, 99% और 90% को रोक दिया। अध्ययन के दौरान केवल सुरक्षा कुंजियों पर भरोसा करने वाला कोई भी उपयोगकर्ता लक्षित फ़िशिंग का शिकार नहीं हुआ।
पैटर्न स्पष्ट है। कोई भी दूसरा कारक लगभग सभी बड़े पैमाने के हमलों को रोकता है, और जैसे-जैसे हमलावर अधिक दृढ़निश्चयी होते जाते हैं, विधि का चुनाव अधिक मायने रखने लगता है।
मुख्य विधियां और प्रत्येक क्या रोकती है
अमेरिकी साइबर सुरक्षा एजेंसी CISA विधियों को इस आधार पर समूहित करती है कि वे वास्तविक दुनिया में देखे जाने वाले हमलों का कितनी अच्छी तरह विरोध करती हैं। इसका मार्गदर्शन संगठनों के लिए लिखा गया है, लेकिन रैंकिंग आप पर भी लागू होती है।
| विधि | बड़े पैमाने पर पासवर्ड हमले | पुश बॉम्बिंग (Push bombing) | फ़िशिंग | मुख्य कमजोरी |
|---|---|---|---|---|
| टेक्स्ट मैसेज या वॉयस कोड | रोक दिए गए | लागू नहीं | संवेदनशील (Vulnerable) | सिम स्वैप, फ़िशिंग और इंटरसेप्शन |
| ईमेल कोड | यदि इनबॉक्स सुरक्षित है तो रोक दिए गए | लागू नहीं | संवेदनशील | केवल उतना ही सुरक्षित जितना ईमेल खाता |
| नंबर मैचिंग के बिना पुश प्रॉम्प्ट | रोक दिए गए | संवेदनशील | संवेदनशील | गलती से या झुंझलाहट में स्वीकृत करना |
| नंबर मैचिंग के साथ पुश प्रॉम्प्ट | रोक दिए गए | प्रतिरोधी (Resistant) | संवेदनशील | फ़िशिंग |
| ऑथेंटिकेटर ऐप कोड (TOTP) | रोक दिए गए | प्रतिरोधी | संवेदनशील | फ़िशिंग; डिवाइस खो जाना |
| सुरक्षा कुंजी या पासकी (FIDO/WebAuthn) | रोक दिए गए | प्रतिरोधी | प्रतिरोधी | लागत, समर्थन और रिकवरी योजना |
ईमेल-कोड रेटिंग हमारी अपनी व्याख्या है। CISA की प्रकाशित रैंकिंग अन्य पंक्तियों को कवर करती है।
टेक्स्ट मैसेज और वॉयस कोड
ये आपके फ़ोन नंबर पर वन-टाइम कोड भेजते हैं। वे सेट अप करने में सबसे आसान और सबसे कमजोर सामान्य विकल्प हैं। CISA की तथ्य-पत्रिका (fact sheet) कहती है कि एसएमएस और वॉयस कोड फ़िशिंग, फ़ोन नेटवर्क की कमज़ोरियों और सिम स्वैप के प्रति संवेदनशील हैं, और उन्हें अंतिम विकल्प होना चाहिए। अमेरिकी मानक निकाय NIST, एसएमएस-आधारित सत्यापन को एक “प्रतिबंधित” ऑथेंटिकेटर के रूप में वर्गीकृत करता है, जिसे जानबूझकर स्वीकार किए गए जोखिम के साथ अनुमति दी जाती है। एक सिम स्वैप, जहाँ एक धोखेबाज़ आपके प्रदाता को आपका नंबर उनके सिम में स्थानांतरित करने के लिए मना लेता है, आपके कोड उन्हें भेज देता है। सामान्य खतरे (common threats) बताता है कि यह कैसे काम करता है।
यह टेक्स्ट कोड को बेकार नहीं बनाता है। ऊपर दिए गए गूगल के आंकड़े बताते हैं कि वे अधिकांश स्वचालित हमलों को रोकते हैं। वे बिना किसी चीज़ के होने से एक बड़ा कदम आगे हैं, और उन खातों के लिए एक खराब विकल्प हैं जो वास्तव में मायने रखते हैं।
पुश प्रॉम्प्ट (Push prompts)
आपके फ़ोन में एक ऐप आपसे साइन-इन को स्वीकृत (approve) या अस्वीकृत (deny) करने के लिए कहता है। यह सुविधाजनक है, और इसकी एक ज्ञात कमजोरी है। पुश बॉम्बिंग (जिसे MFA थकान/fatigue भी कहा जाता है) में, एक हमलावर जिसके पास पहले से ही आपका पासवर्ड है, तब तक प्रॉम्प्ट ट्रिगर करता रहता है जब तक आप एक को स्वीकृत नहीं कर देते। CISA इसे किसी उपयोगकर्ता पर तब तक बौछार करने के रूप में वर्णित करता है जब तक कि वे गलती से या झुंझलाहट में आकर इसे स्वीकृत न कर दें।
2022 का उबर (Uber) डेटा उल्लंघन सबसे प्रसिद्ध मामला है। रिपोर्टों के अनुसार, एक हमलावर ने एक ठेकेदार के क्रेडेंशियल खरीदे, पुश अनुरोधों की एक श्रृंखला भेजी और फिर व्हाट्सएप पर आईटी के रूप में बनकर ठेकेदार को मैसेज भेजा कि यदि एक स्वीकृत हो गया तो अनुरोध बंद हो जाएंगे। ठेकेदार ने एक स्वीकृत कर दिया। CISA नंबर मैचिंग (number matching) की सलाह देता है, जहाँ आपको ऐप में लॉगिन स्क्रीन पर दिखाया गया नंबर टाइप करना होता है, जो बिना देखे स्वीकृति को रोकता है।
ऑथेंटिकेटर ऐप कोड (Authenticator app codes)
एक ऑथेंटिकेटर ऐप छह अंकों का कोड दिखाता है जो हर 30 सेकंड में बदलता है। यह टाइम-बेस्ड वन-टाइम पासवर्ड (TOTP) विधि है, जिसे RFC 6238 नामक इंटरनेट मानक में परिभाषित किया गया है। जब आप इसे सेट करते हैं (आमतौर पर एक QR कोड स्कैन करके), तो सेवा और आपका ऐप एक गुप्त जानकारी साझा करते हैं। उसके बाद, दोनों गुप्त जानकारी और वर्तमान समय से एक ही कोड की गणना करते हैं, इसलिए कोड बिना कनेक्शन के भी काम करता है।
TOTP पुश बॉम्बिंग और सिम स्वैप का विरोध करता है, क्योंकि कोड कभी भी फ़ोन नेटवर्क पर यात्रा नहीं करता है। इसकी कमजोरी यह है कि आप कोड को एक पेज में टाइप करते हैं, और एक नकली पेज इसे कैप्चर कर सकता है और तुरंत इसका उपयोग कर सकता है। CISA ऐप-आधारित वन-टाइम कोड को पुश बॉम्बिंग के प्रति प्रतिरोधी लेकिन फ़िशिंग के प्रति संवेदनशील के रूप में सूचीबद्ध करता है।
सुरक्षा कुंजियां और पासकी (Security keys and passkeys)
ये FIDO और WebAuthn मानकों का उपयोग करते हैं, जो पब्लिक-की क्रिप्टोग्राफी (public-key cryptography) पर निर्भर करते हैं। आपका डिवाइस या सुरक्षा कुंजी एक प्राइवेट कुंजी रखती है, और सेवा केवल मेल खाती हुई पब्लिक कुंजी रखती है। प्रत्येक क्रेडेंशियल एक सेवा के लिए अनूठा होता है। चोरी करने के लिए कोई साझा रहस्य नहीं है, और लॉगिन वास्तविक वेबसाइट के पते से जुड़ा होता है। एक नकली साइट इसका उपयोग नहीं कर सकती है, और यही कारण है कि CISA FIDO/WebAuthn को एकमात्र व्यापक रूप से उपलब्ध फ़िशिंग-प्रतिरोधी विधि कहता है।
एक सुरक्षा कुंजी एक छोटा भौतिक उपकरण है जिसे आप प्लग इन करते हैं या टैप करते हैं। एक पासकी आपके फ़ोन या कंप्यूटर पर संग्रहीत वही तकनीक है, जो अक्सर आपके सभी डिवाइसों में सिंक होती है। FIDO एलायंस का कहना है कि पासकी पुराने पासवर्ड-प्लस-कोड प्रवाह को बदल सकती हैं, और NIST का 2025 मार्गदर्शन सिंक करने योग्य पासकीज़ को बहु-कारक के रूप में मान्यता देता है। जब आप साइन अप करते हैं तो खाता निर्माण (account creation) पासकीज़ को कवर करता है।
नुकसान लागत, विभिन्न सेवाओं में असमान समर्थन और डिवाइस खो जाने पर योजना बनाने की आवश्यकता हैं।
MFA किसे नहीं रोकता
MFA कोई बल-क्षेत्र (force field) नहीं है। इसकी सीमाओं को जानें।
- कोड के लिए फ़िशिंग। एक आश्वस्त करने वाली नकली साइट आपका पासवर्ड और आपका कोड एकत्र कर सकती है और उन्हें वास्तविक समय में वास्तविक साइट पर भेज सकती है। केवल फ़िशिंग-प्रतिरोधी विधियां ही इसे रोकती हैं।
- दबाव और धोखा। पुश बॉम्बिंग और “सहायता” (support) से आने वाले कॉल आपसे किसी चीज़ को स्वीकृत करने के लिए कहते हैं। किसी भी ऐसे प्रॉम्प्ट को अस्वीकार करें जिसे आपने शुरू नहीं किया था, और कभी भी किसी कॉलर को कोड पढ़कर न सुनाएं।
- फ़ोन नंबर अधिग्रहण। एक सिम स्वैप टेक्स्ट कोड को हरा देता है और हमलावर को उन खातों तक पहुँचने देता है जो रिकवरी के लिए आपके नंबर का उपयोग करते हैं।
- कमजोर रिकवरी मार्ग। यदि कोई हमलावर किसी असुरक्षित ईमेल खाते या हेल्पडेस्क के माध्यम से आपका पासवर्ड रीसेट कर सकता है, तो दूसरा कारक इसमें काम नहीं आएगा। अपने ईमेल को पहले MFA से सुरक्षित रखें।
खाते से बाहर होना (Getting locked out)
मजबूत MFA डिवाइस खोने की लागत को बढ़ाता है। हमारी सलाह का यह हिस्सा किसी अध्ययन से नहीं लिया गया है, बल्कि यह इस बात से निकलता है कि विधियां कैसे काम करती हैं।
- एक बैकअप पंजीकृत करें। आवश्यकता पड़ने से पहले एक दूसरी सुरक्षा कुंजी या एक दूसरा ऑथेंटिकेटर डिवाइस जोड़ें।
- रिकवरी कोड सहेजें। जब आप MFA चालू करते हैं तो कई सेवाएं आपको वन-टाइम कोड देती हैं। उन्हें ऑफ़लाइन स्टोर करें, उसी स्थान पर नहीं जहाँ आपके पासवर्ड हैं।
- जानें कि आपके ऑथेंटिकेटर के रहस्य (secrets) कहाँ रहते हैं। यदि आपका ऑथेंटिकेटर ऐप बैकअप या सिंक नहीं करता है, तो एक खोया हुआ फ़ोन आपको उस पर मौजूद हर खाते से बाहर कर सकता है।
- जांचें कि और क्या आपको साइन इन करा सकता है। एक खाता उतना ही मजबूत होता है जितना कि अभी भी सक्षम सबसे कमजोर विधि। यदि आप एक सुरक्षा कुंजी का उपयोग करते हैं लेकिन टेक्स्ट कोड को चालू छोड़ देते हैं, तो एक हमलावर इसके बजाय टेक्स्ट कोड का उपयोग कर सकता है।
कहाँ से शुरुआत करें
ये कदम सबसे उपयोगी से कम उपयोगी की ओर चलते हैं।
- पहले अपने ईमेल के लिए MFA चालू करें, फिर अपने पासवर्ड मैनेजर और अपने बैंक के लिए। ईमेल बाकी सब चीज़ों को रीसेट करता है।
- प्रत्येक सेवा द्वारा दी जाने वाली सबसे मजबूत विधि का उपयोग करें। मोटे क्रम में वह सुरक्षा कुंजी या पासकी है, फिर एक ऑथेंटिकेटर ऐप या नंबर-मैचिंग पुश, फिर टेक्स्ट कोड।
- यदि आप पुश प्रॉम्प्ट का उपयोग करते हैं, तो उपलब्ध होने पर नंबर मैचिंग चालू करें, और किसी भी ऐसे प्रॉम्प्ट को अस्वीकार करें जिसे आपने शुरू नहीं किया था।
- इनमें से किसी पर भी भरोसा करने से पहले एक बैकअप विधि सेट करें और रिकवरी कोड ऑफ़लाइन सहेजें।
- जहाँ एक मजबूत विधि उपलब्ध है, उस खाते के लिए कमजोर विधियों को बंद कर दें ताकि उनका उपयोग बाईपास के रूप में न किया जा सके।
कितना आगे बढ़ना है यह इस बात पर निर्भर करता है कि खाता किसकी सुरक्षा करता है। एक बेकार फ़ोरम खाते को सुरक्षा कुंजी की आवश्यकता नहीं है। आपके ईमेल को हो सकती है। पासवर्ड परिचय (Introduction to passwords) पहले कारक को कवर करता है।
स्रोत (Sources)
- Implementing Phishing-Resistant MFA, Cybersecurity and Infrastructure Security Agency, अक्टूबर 2022.
- CISA Discourages Use of App-Based, SMS and Voice MFAs and Encourages Phishing-Resistant MFAs, Bricker Graydon, 2022.
- Implementing Phishing-resistant MFA, CompliancePoint, 2022 (CISA तथ्य-पत्रिका का सारांश).
- Why you need phishing-resistant MFA, Route Fifty, 2022.
- How effective is multifactor authentication at deterring cyberattacks?, Microsoft Research (Meyer et al.), 2023.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- What Is MFA Fatigue (Push Bombing)?, PowerDMARC, एक्सेस किया गया अक्टूबर 2026 (2022 उबर उल्लंघन पर रिपोर्टिंग).
- How Uber Was Breached Through MFA Fatigue, Centrex IT, एक्सेस किया गया अक्टूबर 2026.
- What is TOTP?, Logto, एक्सेस किया गया अक्टूबर 2026 (RFC 6238 की व्याख्या).
- What is TOTP? A short guide for developers (RFC 6238 explained), Authgear, एक्सेस किया गया अक्टूबर 2026.
- How FIDO works, FIDO Alliance, एक्सेस किया गया अक्टूबर 2026.
- Passkeys, FIDO Alliance, एक्सेस किया गया अक्टूबर 2026.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, National Institute of Standards and Technology, 2025.
- NIST 800-63 Article 22, Presencis, एक्सेस किया गया अक्टूबर 2026 (एसएमएस और सिंक करने योग्य पासकी के एनआईएसटी के उपचार का सारांश).
- FTC Issues Guidance On Protecting Against SIM Swap Attacks, BleepingComputer, एफटीसी मार्गदर्शन की रिपोर्टिंग.