Никогда не передавайте код подтверждения: как работает OTP-мошенничество

Никогда не передавайте код подтверждения: именно это одно предложение — самая важная защита от OTP-мошенничества (one-time password, одноразовый пароль). Шестизначный код, который приходит по SMS, — ключ к входу в аккаунт или подтверждению операции. Поэтому мошенники не пытаются взломать ваш пароль; они пытаются уговорить вас продиктовать им код. В этой статье мы объясняем, как работает OTP-мошенничество и как защититься.

Что такое OTP и почему он так ценен?

OTP, или одноразовый пароль, — это короткоживущий код, который отправляется при входе или операции, чтобы подтвердить, что аккаунт действительно принадлежит вам. Он приходит по SMS, электронной почте или в уведомлении приложения.

Код ценен, потому что он — второй шаг: даже тот, кто знает ваш пароль, не войдёт без него. Но если код назвать кому-то другому, эта защита исчезает. Поэтому ни одна настоящая организация, сотрудник или друг не попросит вас продиктовать код по телефону, в сообщении или любым другим способом.

Золотое правило: код приходит только для действия, которое начали вы сами, и вводится только на экране нужного приложения или сайта. Его никому и нигде не сообщают.

Как работает OTP-мошенничество?

Мошенник пытается войти в аккаунт или начать операцию, и в этот момент сервис отправляет код на ваш номер. Затем он старается убедить вас назвать этот код. Для этого он придумывает вам «причину». Типичные схемы:

• Поддельный звонок от банка или ведомства: «На вашем счёте подозрительная активность; назовите код, который пришёл на телефон, чтобы подтвердить».
• Покупатель на сайте объявлений: «Я отправил оплату; перешлите мне код, который вы получили, для подтверждения».
• Сообщение от имени знакомого: «Я случайно ввёл ваш номер, не могли бы вы прислать код, который пришёл вам?»
• Курьер или служба доставки: «Назовите код для получения посылки».
• Фальшивая техподдержка: «Сообщите код, чтобы мы могли восстановить ваш аккаунт».
• Розыгрыш или приз: «Нам нужно подтвердить вашу личность для получения подарка».

Все они приходят к одной точке: код заменяет ваше согласие. Назвав его, вы своими руками одобряете действие мошенника.

Признаки мошенника

1. Срочность и давление: «Говорите сейчас, иначе аккаунт закроют / деньги пропадут».
2. Код, которого вы не ждали: если код пришёл без каких-либо ваших действий, кто-то, возможно, пытается войти в ваш аккаунт. Не сообщайте его никому.
3. Любой, кто просит назвать код: по какой бы причине ни просили, тот, кто запрашивает код, — мошенник.
4. Знание деталей организации: мошенник может знать ваше имя, банк или последнюю операцию; это не доказывает, что он настоящий.
5. Не дают положить трубку: если вас держат на линии или говорят «ни с кем не советуйтесь» — это серьёзное предупреждение.
6. Создание ощущения доверия: дружелюбный или очень профессиональный тон не доказывает честность.

В сообщениях с кодами обычно есть предупреждение «Никому не сообщайте этот код». Отнеситесь к нему серьёзно.

Что делать, если вы назвали код?

Действуйте быстро, без паники:

1. Немедленно завершите разговор и прекратите общение с собеседником.
2. С безопасного устройства смените пароль от аккаунта и завершите все сеансы.
3. Проверьте настройки двухэтапной проверки и данные для восстановления (почту, телефон) и удалите устройства, которых вы не узнаёте.
4. Если вы назвали код для банковской операции или платежа, немедленно позвоните в банк и попросите защитить карту или счёт.
5. Если тот же пароль использовался в других местах, смените его и там.
6. Сообщите о случившемся сервису, банку и соответствующим органам, сохраните записи сообщений и звонков.

Не стесняйтесь: эти схемы устроены так, чтобы быть очень убедительными, и даже внимательные пользователи попадаются. Главное — быстро сообщить.

Защитные привычки

• Закрепите правило в голове: «Код никому не говорят». Обсудите это и с семьёй.
• Не доверяйте звонкам, которые вы не начинали. Даже если звонящий представляется сотрудником организации, положите трубку и позвоните по официальному номеру сами.
• Проверяйте, для какого действия код. В сообщении обычно указано, какой сервис его прислал; если вы ничего не начинали, не вводите код.
• Используйте более надёжный способ, чем SMS. Приложения-аутентификаторы и passkey снижают риск того, что вы назовёте код. Сравнение смотрите в нашей статье о двухэтапной проверке.
• Не отключайте уведомления об аккаунте. Сразу реагируйте, если пришло уведомление о входе с нового устройства.
• Скройте предпросмотр сообщений на заблокированном экране. Код, видимый на заблокированном экране, — риск, если рядом кто-то есть.

Другая сторона: ограничьте места, где ваши коды могут получить

Ещё один способ защититься от мошенничества с кодами — ограничить число мест, где есть ваш номер. Если вы передаёте свой настоящий номер каждому сайту, вероятность того, что сайт и его партнёры свяжутся с вами звонком или сообщением, растёт, а вместе с ней и шанс получить мошеннические сообщения. Мы писали об этом в статье почему не стоит указывать свой номер телефона везде.

Для несущественных или временных регистраций можно использовать одноразовый виртуальный номер вместо настоящего. Код придёт только в вашу панель, и нет никого, с кем его нужно было бы делить. Варианты смотрите на странице цен. Виртуальные номера не постоянны, и некоторые платформы могут их ограничивать, поэтому для важных аккаунтов используйте свой номер и надёжные способы подтверждения.

Если код не приходит, сохраняйте спокойствие и не просите никого другого его продиктовать; возможные причины описаны в статье почему SMS-код не приходит.

Типичные ошибки

Некоторые привычки облегчают работу мошенникам:

• Ввод или называние кода без раздумий, с фразой «давайте быстро всё решим».
• Подтверждение, не глядя на то, для какого действия код.
• Звонок по номеру из сообщения или по номеру звонящего, чтобы «проверить».
• Позднее сообщение из-за стыда; ранние обращения часто уменьшают ущерб.
• Никогда не рассказывать о таких схемах членам семьи.

Когда приходит просьба назвать код, достаточно минуты, чтобы спросить себя: «Я это начинал?» — и большинство атак остановится.

Часто задаваемые вопросы

Может ли банк попросить меня продиктовать код по телефону?

Нет. Настоящий сотрудник банка не будет запрашивать у вас OTP, пароль или проверочный код карты. Если такая просьба поступила, положите трубку и позвоните в банк по официальному номеру сами.

Код пришёл, хотя я ничего не делал. Что делать?

Не передавайте и не вводите код никому. Возможно, кто-то пытается войти в ваш аккаунт; смените пароль и проверьте двухэтапную проверку.

Могу ли я назвать код, если его просит знакомый?

Нет, потому что пишущий может взломать аккаунт вашего знакомого и использовать ваш код для другого действия. Свяжитесь с этим человеком другим способом, например голосовым звонком, для подтверждения, но всё равно не называйте код.

Я по ошибке назвал код, но с аккаунтом ничего не произошло. Можно не беспокоиться?

Нет, лучше всё равно принять меры. Смените пароль, завершите сеансы и следите за уведомлениями. Подробнее — на нашей странице часто задаваемых вопросов.