Zweryfikowane konto Google / Gmail nie gwarantuje dostępu. Jak działa dziś weryfikacja Google?

Kupowanie „telefonicznie zweryfikowanych” kont Google może wyglądać jak prosty sposób na zdobycie gotowego konta. Problem w tym, że zweryfikowane konto wcale nie oznacza konta, do którego będziesz miał pewny i trwały dostęp.

Ten artykuł pierwotnie opublikowałem w 2018 roku. Od tego czasu Google mocno zmieniło sposób logowania, zabezpieczania i odzyskiwania kont. Pytania ochronne praktycznie odeszły do historii, znacznie większe znaczenie mają zaufane urządzenia, weryfikacja dwuetapowa, klucze dostępu (passkeys), kody zapasowe oraz dane odzyskiwania.

Jedna rzecz pozostała jednak aktualna:

sama znajomość loginu i hasła – nawet do konta wcześniej zweryfikowanego telefonicznie – nie daje gwarancji, że Google pozwoli Ci z tego konta normalnie korzystać.

Dlaczego „zweryfikowane konto” to za mało?

Załóżmy, że ktoś zakłada konto Google, korzysta z niego przez jakiś czas, a następnie przekazuje Ci login i hasło.

Ty logujesz się:

• z innego komputera lub telefonu,
• z innego adresu IP,
• z innego miasta albo kraju,
• przez innego operatora internetu,
• z przeglądarki, której konto wcześniej nie znało.

Z punktu widzenia systemów bezpieczeństwa Google może to wyglądać jak próba przejęcia konta.

I właśnie tutaj zaczyna się problem.

Google może poprosić o dodatkowe potwierdzenie, że osoba próbująca się zalogować faktycznie jest właścicielem konta. To, że znasz poprawne hasło, nie zawsze musi wystarczyć.

Co Google może sprawdzać przy logowaniu?

Nie ma jednej, zawsze takiej samej procedury.

W zależności od konfiguracji konta i sytuacji Google może wykorzystać m.in.:

• telefon zalogowany wcześniej na konto,
• potwierdzenie od Google wyświetlone na zaufanym urządzeniu,
• numer telefonu powiązany z kontem,
• pomocniczy adres e-mail,
• weryfikację dwuetapową,
• kod zapasowy,
• fizyczny klucz bezpieczeństwa,
• klucz dostępu (passkey),
• urządzenie i lokalizację, z których konto było wcześniej używane.

I to jest podstawowa różnica w stosunku do sytuacji sprzed kilku lat.

Bezpieczeństwo konta jest dziś dużo mocniej związane z urządzeniami i skonfigurowanymi metodami uwierzytelniania.

Nie wystarczy więc zdobyć kilku informacji typu data utworzenia konta czy miejscowość, z której ktoś się wcześniej logował.

Numer telefonu nie daje gwarancji

W opisach sprzedawanych kont nadal można spotkać określenia w rodzaju:

• „phone verified”,
• „PVA”,
• „SMS verified”,
• „zweryfikowane telefonicznie”.

Brzmi dobrze, ale taka informacja mówi przede wszystkim o tym, że w pewnym momencie konto zostało powiązane z numerem telefonu albo numer został wykorzystany podczas weryfikacji.

Nie oznacza to, że właśnie ten fakt zapewni Ci później dostęp do konta.

Jeżeli Google poprosi o potwierdzenie logowania na urządzeniu, do którego nie masz dostępu, sam login, hasło i informacja o wcześniejszej weryfikacji telefonicznej mogą okazać się mało przydatne.

Zmiana numeru telefonu i e-maila nie zawsze działa od razu

Tu pojawia się kolejna pułapka.

Można pomyśleć:

„Zaloguję się, od razu zmienię numer telefonu oraz adres odzyskiwania i konto będzie już moje”.

Niekoniecznie.

Google stosuje zabezpieczenia mające utrudnić przejęcie konta przez osobę, która właśnie uzyskała do niego dostęp.

Po zmianie telefonu lub adresu e-mail odzyskiwania Google może jeszcze przez pewien czas oferować wysłanie kodu na poprzedni numer lub poprzedni adres e-mail.

Według aktualnej dokumentacji Google taki okres może wynosić 7 dni.

Ma to sens z punktu widzenia bezpieczeństwa. Jeśli ktoś ukradnie Ci hasło i natychmiast podmieni wszystkie dane odzyskiwania, prawdziwy właściciel powinien mieć jeszcze możliwość odzyskania konta.

Dla osoby kupującej cudze konto oznacza to jednak coś zupełnie innego:

nawet jeśli uda Ci się wejść na konto i zmienić jego ustawienia, nie oznacza to jeszcze, że przejąłeś nad nim trwałą kontrolę.

Zaufane urządzenie może być ważniejsze od hasła

To jedna z najważniejszych zmian w porównaniu z 2018 rokiem.

Jeżeli konto było przez długi czas używane na konkretnym telefonie czy komputerze, takie urządzenie może mieć znaczenie przy potwierdzaniu logowania albo odzyskiwaniu dostępu.

Google samo zaleca podczas problemów z odzyskiwaniem konta korzystanie z urządzenia i miejsca, z których użytkownik wcześniej normalnie się logował.

Kupując konto, jesteś zazwyczaj w sytuacji odwrotnej:

• masz nowe urządzenie,
• masz nowe połączenie internetowe,
• jesteś w innym miejscu,
• nie masz wcześniejszej historii korzystania z konta.

Czyli z punktu widzenia systemu bezpieczeństwa pojawia się naraz kilka zmian.

Weryfikacja dwuetapowa dodatkowo komplikuje sytuację

Jeżeli konto ma włączoną weryfikację dwuetapową, samo hasło może być dopiero pierwszą połową logowania.

Drugim etapem może być na przykład:

• potwierdzenie na telefonie,
• kod z aplikacji uwierzytelniającej,
• kod SMS,
• kod zapasowy,
• fizyczny klucz bezpieczeństwa,
• klucz dostępu.

Szczególnie ważne są tutaj kody zapasowe.

Google pozwala wygenerować zestaw jednorazowych kodów wykorzystywanych wtedy, gdy normalna metoda drugiego etapu jest niedostępna. Po użyciu konkretnego kodu przestaje on działać, a wygenerowanie nowego zestawu unieważnia poprzedni.

Sam fakt, że konto było kiedyś „zweryfikowane telefonicznie”, mówi więc bardzo niewiele o jego aktualnej konfiguracji bezpieczeństwa.

Do gry weszły passkeys, czyli klucze dostępu

W 2018 roku ten problem praktycznie nie istniał. Dzisiaj trzeba go brać pod uwagę.

Klucz dostępu, czyli passkey, pozwala logować się przy użyciu mechanizmu zabezpieczającego urządzenie – na przykład:

• odcisku palca,
• rozpoznawania twarzy,
• kodu PIN urządzenia,
• fizycznego klucza bezpieczeństwa.

W praktyce oznacza to dalsze przesunięcie bezpieczeństwa kont Google od samego hasła w stronę konkretnych urządzeń i posiadanych metod uwierzytelniania.

Hasło, które kiedyś było niemal synonimem dostępu do konta, dzisiaj jest tylko jednym z elementów całego systemu zabezpieczeń.

A co z pytaniami ochronnymi?

W moim pierwotnym artykule z 2018 roku poświęciłem pytaniom ochronnym sporo miejsca.

Można było zostać zapytanym na przykład o imię pierwszego zwierzęcia, nauczyciela albo inną informację ustawioną wcześniej przez właściciela konta.

Dzisiaj ten fragment należy traktować przede wszystkim jako ciekawostkę historyczną.

Mechanizmy odzyskiwania kont Google zmieniły się i pytania ochronne nie odgrywają już takiej roli jak kiedyś.

Dlatego kupując konto, nie ma większego sensu traktować „pytania ochronnego i odpowiedzi” jako magicznego kompletu danych gwarantującego dostęp.

Takiej gwarancji po prostu nie ma.

Czy można poprosić Google o ręczne odblokowanie konta?

W starszej wersji artykułu opisywałem opcję „Uzyskaj pomoc” i zastanawiałem się, czy takie zgłoszenia są ręcznie sprawdzane przez pracowników Google.

Dzisiaj nie zakładałbym, że w przypadku zwykłego konta Gmail wystarczy napisać do Google, wyjaśnić sytuację i pracownik ręcznie przywróci dostęp.

Google kieruje użytkowników mających problem z logowaniem przede wszystkim do automatycznego procesu odzyskiwania konta.

I tutaj pojawia się dość oczywisty problem.

Jeżeli konto zostało założone i przez długi czas używane przez kogoś innego, to właśnie ta osoba może posiadać urządzenia, numery i inne elementy historii konta, które system kojarzy z jego prawowitym użytkownikiem.

Stare komunikaty Google – tak wyglądało to w 2018 roku

Poniższe zrzuty ekranu pochodzą z pierwotnej wersji tego artykułu z 2018 roku.

Nie traktuj ich jako instrukcji przedstawiającej aktualny interfejs Google. Zostawiam je jako ciekawostkę i dokumentację tego, jak wyglądały zabezpieczenia kont kilka lat temu.

Wtedy Google mogło między innymi poprosić o przypomnienie numeru telefonu używanego wcześniej na koncie.

Znacznie częściej spotykało się też pytania ochronne.

Weryfikacja telefoniczna była natomiast jednym z podstawowych elementów, na których opierał się cały rynek tzw. kont PVA.

Dzisiaj sytuacja jest bardziej skomplikowana.

Czy da się kupić konto z „pełnym dostępem”?

Określenie „full access” albo „pełny dostęp” należy traktować bardzo ostrożnie.

Sprzedający może przekazać Ci:

• login,
• hasło,
• dostęp do aktualnego numeru telefonu,
• dostęp do pomocniczego adresu e-mail,
• inne informacje dotyczące konta.

Ale nawet taki zestaw nie daje technicznej gwarancji, że Google nie poprosi o dodatkowe potwierdzenie albo nie uzna nowego sposobu logowania za podejrzany.

Co więcej, zawsze pozostaje pytanie, jakie metody odzyskiwania, urządzenia lub inne sposoby uwierzytelniania były wcześniej powiązane z kontem.

Dlatego określenie „pełny dostęp” jest bardziej deklaracją sprzedającego niż gwarancją wynikającą z działania systemu Google.

Największy problem: pierwotny użytkownik ma historię konta

To moim zdaniem najważniejszy argument przeciwko kupowaniu takich kont.

Nowy użytkownik może dostać hasło.

Pierwotny użytkownik może natomiast mieć:

• stare urządzenie zalogowane na konto,
• wcześniejszy numer telefonu,
• adres odzyskiwania,
• zapisane metody weryfikacji,
• historię wieloletniego korzystania z konta,
• środowisko logowania, które Google już zna.

A systemy odzyskiwania kont są projektowane właśnie po to, żeby pomóc prawdziwemu użytkownikowi odzyskać konto po jego przejęciu.

Kupując cudze konto, stajesz więc po niewygodnej stronie tego mechanizmu.

„Konto działa po zakupie” to jeszcze nie sukces

Warto rozróżnić dwie rzeczy:

1. Udało mi się zalogować.

i

2. Mam stabilny, długoterminowy dostęp do konta.

To nie jest to samo.

Konto może działać podczas pierwszego logowania, a problemy mogą pojawić się później – na przykład podczas:

• zmiany ustawień bezpieczeństwa,
• ponownego logowania,
• logowania z następnego urządzenia,
• odzyskiwania hasła,
• wykrycia nietypowej aktywności,
• próby skorzystania z dodatkowo chronionej funkcji.

Dlatego test typu „zalogowałem się, więc wszystko jest OK” daje bardzo złudne poczucie bezpieczeństwa.

Czy warto więc kupować zweryfikowane konta Google?

Jeżeli zależy Ci na stabilnym koncie, które ma być używane przez długi czas, kupowanie cudzego konta Google jest obarczone sporym ryzykiem.

I nie chodzi już wyłącznie o SMS.

Współczesne zabezpieczenia Google wykorzystują znacznie więcej informacji i metod niż kilka lat temu. Konto może być powiązane z urządzeniami, kluczami dostępu, 2FA, adresami odzyskiwania czy innymi metodami potwierdzania tożsamości.

Dlatego hasło plus informacja „phone verified” nie powinny być traktowane jako gwarancja dostępu.

Co zamiast kupowania kont?

Jeśli konto ma być wykorzystywane do normalnej, legalnej działalności, najbezpieczniej jest utworzyć własne konto i od początku samodzielnie skonfigurować jego zabezpieczenia.

Warto przy tym:

• dodać aktualny numer odzyskiwania,
• dodać własny adres e-mail odzyskiwania,
• włączyć weryfikację dwuetapową,
• skonfigurować klucz dostępu, jeżeli Ci odpowiada,
• zapisać kody zapasowe w bezpiecznym miejscu,
• regularnie sprawdzać urządzenia zalogowane na konto.

Wtedy od początku to Twoje urządzenia, Twoje dane odzyskiwania i Twoja historia korzystania z konta są kojarzone z jego właścicielem.

Podsumowanie

Gdy pisałem pierwszą wersję tego artykułu w 2018 roku, największym problemem kupowanych kont były pytania ochronne, stare numery telefonów i dodatkowa weryfikacja przy pierwszym logowaniu.

Dzisiaj część tych mechanizmów jest już historią, ale podstawowy problem wcale nie zniknął.

Wręcz przeciwnie.

Google ma obecnie znacznie więcej sposobów na sprawdzenie, czy logująca się osoba rzeczywiście zachowuje się jak dotychczasowy użytkownik konta.

Dochodzi weryfikacja dwuetapowa, zaufane urządzenia, passkeys, kody zapasowe oraz zabezpieczenia związane ze zmianami danych odzyskiwania.

Dlatego określenie „telefonicznie zweryfikowane konto Google” mówi dzisiaj jeszcze mniej niż w 2018 roku.

Możesz otrzymać poprawny login i hasło.

Możesz nawet bez problemu zalogować się po raz pierwszy.

Ale to nadal nie oznacza, że za tydzień, miesiąc czy przy kolejnym sprawdzeniu bezpieczeństwa będziesz miał do tego konta równie łatwy dostęp.

Jeżeli konto jest dla Ciebie ważne, najlepszą opcją pozostaje konto założone i zabezpieczone przez Ciebie od samego początku.