SMS-подтверждение с чужих сайтов¶
SMS-подтверждение с чужих сайтов — это получение пользователем текстовых сообщений с одноразовыми кодами (одноразовый пароль, OTP) от сервисов, в которых человек не регистрировался и не запрашивал авторизацию. Явление может указывать на попытку подбора номера телефона злоумышленниками, ошибочное указание номера третьими лицами, подписки на платные услуги или утечку номера из баз данных. В России подобные сообщения регулярно становятся предметом обращений в поддержку операторов и в Роскомнадзор.
¶Причины появления чужих кодов
¶Подбор номера (смс-фон)
Наиболее частая причина. Злоумышленники перебирают номера телефонов, отправляя коды подтверждения через формы регистрации популярных сервисов — социальных сетей, мессенджеров, платёжных систем. Цели разные: выяснить, к каким сервисам привязан номер; подготовить условия для социальной инженерии; использовать номер как «резервный» для будущей атаки. Если пользователь сообщит полученный код собеседнику, мошенник сможет получить доступ к аккаунту.
¶Ошибка отправителя
Код может приходить, если третий лицо указал чужой номер при регистрации или восстановлении доступа. В этом случае сообщения носят единичный характер и прекращаются сами.
¶Утечка номера
Номер телефона, попавший в базы утечек из интернет-магазинов, форумов, сервисов объявлений, может использоваться для целенаправленного спама или попыток захвата аккаунтов, к которым номер привязан.
¶Подписки и платные сервисы
Некоторые сервисы рассылок и платных уведомлений используют SMS как канал подтверждения подписки. Если номер подписан без согласия пользователя, коды будут приходить регулярно.
¶Что делать
¶Не сообщать коды третьим лицам
Главное правило: код подтверждения — это эквивалент пароля. Его нельзя называть никому, включая «сотрудников банка», «службу поддержки» и «полицию» — реальные сотрудники сервисов никогда не запрашивают OTP-коды по телефону или в мессенджере.
¶Не переходить по ссылкам из сообщений
Сообщения с кодами часто содержат ссылки на фишинговые страницы, внешне неотличимые от оригинальных. Переход по ним и ввод данных приводит к компрометации аккаунтов.
¶Проверить активные сессии
В настройках аккаунтов социальных сетей, почты и банковских приложений следует проверить список активных устройств и завершить незнакомые сессии. Для популярных сервисов эта функция доступна в разделах «Безопасность» или «Активные входы».
¶Включить двухфакторную аутентификацию
Двухфакторная аутентификация (2FA) добавляет второй уровень защиты помимо пароля. Вместо SMS предпочтительнее использовать аппаратные ключи, приложения-аутентификаторы (Google Authenticator, Authy, Yandex Key) или Push-уведомления — они устойчивее к перехвату SMS.
¶Обратиться к оператору связи
Если сообщения приходят массово и не прекращаются, можно обратиться в поддержку мобильного оператора. Операторы МТС, «МегаФон», «МТС», «Теле2» и «Ростелеком» предоставляют сервисы блокировки спам-рассылок: например, «Антиспам» МТС, «Защита от спама» МегаФона, сервисы фильтрации от «Ростелеком». Часть услуг бесплатна, часть — по подписке.
¶Подать жалобу
Жалобу на спам-рассылку можно подать в Роскомнадзор через официальный сайт ведомства. Также сообщения можно пожаловать в сам сервис, с которого приходит код: у большинства крупных платформ есть формы для репортов о нежелательных сообщениях.
¶Как отличить атаку от ошибки
| Признак | Ошибка отправителя | Подбор номера |
|---|---|---|
| Количество сообщений | Единичные | Массовые, с разных сервисов |
| Сервисы | Один конкретный | Разные платформы |
| Продолжительность | Прекращаются сами | Длятся днями |
| Сопутствующие звонки | Нет | Часто сопровождаются звонками «из поддержки» |
¶Юридические аспекты в России
Рассылка нежелательных сообщений регулируется статьёй 18.1 КоАП РФ, штрафы за нарушение правил рекламы и передачи персональных данных — статьями 13.11 и 14.3.3. За мошенническое использование чужих номеров и получение доступа к аккаунтам предусмотрена ответственность по статье 159 УК РФ. Обращения граждан по поводу SMS-спама принимает Роскомнадзор, а также подразделения «К» МВД, занимающиеся компьютерными преступлениями.
¶Профилактика
- Использовать отдельный номер для регистрации в малознакомых сервисах.
- Не публиковать основной номер в открытых источниках: форумах, объявлениях, социальных сетях.
- Регулярно проверять сервисы, в которых номер уже используется, на предмет утечек (сервисы вроде Have I Been Pwned).
- Отключать уведомления о кодах для сервисов, которыми не пользуетесь.
Источники:
- Закон РФ «О рекламе» (№ 38-ФЗ)
- Кодекс РФ об административных правонарушениях, статьи 13.11, 18.1
- Официальные сайты операторов связи МТС, «МегаФон», «Ростелеком», «Теле2»
- Информационные материалы Роскомнадзора о защите персональных данных