Существует категория SMS-мошенничества, о которой говорят мало, потому что она не похожа на мошенничество. Никакого поддельного банковского сайта, никакого шестизначного кода, который нужно срочно переписать, никаких угроз заблокировать счёт. Просто хорошая новость: вас выбрали в розыгрыше, ваша лояльность вознаграждена, посылка для вас бесплатна — осталось только оплатить 1,95 € за доставку.
Шесть недель спустя в вашей банковской выписке значатся три списания по 49,90 € в пользу компании, о которой вы никогда не слышали. И самая неприятная часть истории такова: где-то на странице, которую вы заполнили за тридцать секунд, было написано — светло-серым, седьмым кеглем, под кнопкой подтверждения, — что вы оформляете ежемесячную автоматически продлеваемую подписку.
В англоязычной терминологии это называется negative option billing, по-русски — подписка по умолчанию или скрытая подписка. Это не совсем воровство. С этим гораздо сложнее бороться: это юридическая серая зона, спроектированная так, чтобы выглядеть как договор.
Почему эта ловушка работает лучше поддельного банковского сайта
Классические кампании смишинга — фальшивые SMS от La Poste, от Assurance Maladie, от вашего банка — построены на страхе и срочности. Они работают, но сегодня наталкиваются на растущее сопротивление: широкая публика массово проинформирована, банки напоминают, что никогда не запрашивают код по SMS, а Cybermalveillance.gouv.fr повторяет это уже много лет.
SMS о подарке полностью обходит эту ментальную защиту. Он не включает ни одну из сигнализаций, которые вы научились слышать:
- Он не запрашивает никакого пароля.
- Он не запрашивает никакого банковского кода подтверждения — вернее, запрашивает, но позже и на смехотворную сумму, которую вы подтверждаете не задумываясь.
- Он не обязательно выдаёт себя за государственную организацию: чаще он просто туманно ссылается на «вашего оператора», «крупную торговую сеть», «нашего партнёра».
- Он не подвергает вас опасности, он вас радует.
Психологический рычаг здесь не страх, а взаимность и эффект владения: с того момента, как вам объявили, что нечто уже принадлежит вам, отказ от этого переживается как потеря. Добавьте на экран обратный отсчёт («ваш приз зарезервирован на 9 мин 47 с»), и время на размышление исчезает.
Мошенники, использующие эту модель, не стремятся украсть 800 € разом. Они стремятся списывать по 49 € в течение шести месяцев с тысяч людей, каждый из которых по отдельности никогда не подаст заявление из-за такой суммы.
Механизм, шаг за шагом
1. Приманка
SMS короткое, часто без ошибок и всё более персонализированное — сказывается сопоставление с утёкшими базами данных. Типичные формулировки 2026 года:
- «Здравствуйте, [Имя], ваш заказ № 8842 даёт право на подарок. Выберите его здесь: …»
- «Ваш тариф даёт право на 1 бесплатный аксессуар в этом месяце.»
- «Возврат 74,32 € доступен по вашему делу. Подтвердите свои данные.»
- «Тестирование продукта: получите [известный бренд] и оставьте себе.»
Ссылка ведёт на недавно созданный короткий домен, никак не связанный с упомянутым брендом, часто размещённый в экзотической доменной зоне или на универсальном поддомене.
2. Воронка «квалификации»
Страница не просит сразу вашу карту. Сначала она предлагает вам поиграть: крутящееся колесо, три сундука на выбор, викторина из четырёх вопросов. Этот обход не декоративен. У него две функции:
- Постепенно вовлечь вас. Тот, кто уже ответил на четыре вопроса, гораздо реже бросает всё на пятом шаге.
- Собрать ваши данные. Возраст, семейное положение, интересы, почтовый индекс: эта информация иногда стоит дороже, чем сама подписка, на рынках перепродажи баз.
3. Банковская карта «для оплаты расходов»
Затем следует запрос банковских реквизитов, обоснованный крошечной суммой: 1 €, 1,95 €, 2,90 € участия в расходах на доставку. Вы подтверждаете платёж в банковском приложении — усиленная аутентификация работает безупречно, она подтверждает платёж, который вы действительно разрешили.
В этом суть проблемы: PSD2 и двухфакторная аутентификация не защищают вас от договора, который вы подписали не читая. Они проверяют, что это действительно вы, а не то, что сделка честная.
4. Невидимая оговорка
Под кнопкой, в блоке серого текста на белом фоне, фраза вроде: «Подтверждая, вы присоединяетесь к сервису Premium по тарифу 49,90 € в месяц после пробного периода в 3 дня, с возможностью отмены в любой момент». Первое списание приходит через неделю, с непрозрачным банковским назначением платежа: трёхбуквенная аббревиатура, компания, зарегистрированная за пределами Франции, никакой связи с исходным SMS.
Что говорит французское право — и почему оно на вашей стороне
Вопреки тому, что думают многие пострадавшие, эта практика не является законной лишь потому, что оговорка существовала. Французское и европейское право очень строго регулирует такой вид дистанционных продаж.
| Правило | Применимая норма | Что это даёт вам |
|---|---|---|
| Явное согласие на любой дополнительный платёж | Статья L. 224-2 Кодекса потребления | Предварительно отмеченная галочка или затерянная фраза не считаются согласием |
| Вводящая в заблуждение коммерческая практика | Статьи L. 121-2 и последующие | Сокрытие существенной информации (реальной цены) является правонарушением |
| Право на отказ в течение 14 дней | Статья L. 221-18 | Для услуги срок исчисляется с момента заключения договора |
| Чёткая и понятная преддоговорная информация | Статья L. 221-5 | Светло-серый 7-й кегль под кнопкой не является ни чётким, ни читаемым |
| Оспаривание неавторизованного платежа | Статья L. 133-18 Валютно-финансового кодекса | Возврат средств банком, при определённых условиях |
Главное управление по вопросам конкуренции, потребления и борьбы с мошенничеством (DGCCRF) регулярно публикует предупреждения об этих «конкурсах и розыгрышах», заканчивающихся подписками. Сообщить о нарушении можно через платформу SignalConso. Что касается киберпреступной составляющей, Cybermalveillance.gouv.fr направляет к подходящим инструментам, а платформа Pharos принимает сообщения о противоправном контенте.
Что до самого SMS: любое мошенническое сообщение можно бесплатно переслать на номер 33700 — национальную систему сообщений о SMS-спаме, управляемую Association Française du Multimédia Mobile совместно с операторами.
Что делать, если с вас уже списывают деньги
Порядок действий важен. Многие пострадавшие начинают с письма в службу поддержки компании — это худший первый шаг, поскольку он отнимает дни, в течение которых происходят новые списания.
Шаг 1 — Перекрыть поток, а не только оспорить его
Позвоните в свой банк и прямо потребуйте:
- блокировку по конкретному продавцу (остановку будущих списаний этого получателя);
- и, если сомнения серьёзны, перевыпуск карты. Новый номер делает недействительными регулярные разрешения на списание.
Внимание: простая «блокировка в связи с утерей» не всегда достаточна, чтобы остановить уже разрешённые регулярные платежи. Используйте точные формулировки: «я оспариваю разрешение на регулярный платёж и требую его блокировки».
Шаг 2 — Потребовать возврата средств в письменной форме
Направьте в банк письменное оспаривание (заказным письмом или через защищённые сообщения в личном кабинете), ссылаясь на отсутствие явного согласия. Приложите:
- скриншот полученного SMS;
- адрес сайта, если он ещё сохранился в истории;
- выписку со списаниями;
- точную хронологию событий.
Законный срок для оспаривания неавторизованной операции составляет 13 месяцев с даты списания (статья L. 133-24 Валютно-финансового кодекса). Не упускайте этот срок, полагая, что «уже поздно».
Шаг 3 — Официально расторгнуть договор, даже если он ущербен
Отправьте заказное письмо о расторжении договора и отказе от него по адресу, указанному в юридической информации сайта. Именно этот документ пригодится вам в дальнейшем. Многие не сохраняют никаких бумажных следов своих действий; хранение уведомлений о вручении в папке с прозрачными файлами избавит вас от необходимости срочно восстанавливать дело полгода спустя.
Шаг 4 — Сообщить о нарушении
- SignalConso (DGCCRF) — о коммерческой практике.
- 33700 — о самом SMS.
- Заявление в жандармерию или комиссариат, если сумма значительна, либо предварительное заявление онлайн.
- Ваша ассоциация потребителей (UFC-Que Choisir, CLCV), если банк упирается.
Семь привычек, которые нейтрализуют такую ловушку
1. Ни одна лотерея вас не знает. Нельзя выиграть в игре, в которую вы не играли. Одно это правило исключает 90 % случаев.
2. Остерегайтесь микроплатежей. Намеренно смехотворная сумма — это сигнал тревоги, а не гарантия. Её единственная роль — получить ваши банковские реквизиты и ваше подтверждение.
3. Читайте то, что под кнопкой, а не над ней. Определяющие условия систематически размещаются после призыва к действию, малоконтрастным цветом.
4. Разделяйте платёжные средства. Держите виртуальную одноразовую карту или перезаряжаемую предоплаченную карту для покупок на незнакомых сайтах. Лимит механически ограничивает ущерб. Большинство французских банков предлагают эту услугу в своих приложениях.
5. Проверяйте выписки каждый месяц. Списание в 49 € остаётся незамеченным у того, кто смотрит только на остаток. Простой блокнот для учёта личных расходов или таблица достаточны, чтобы заметить незнакомое назначение платежа.
6. Не используйте свой основной номер везде подряд. Каждая анкета конкурса, каждый розыгрыш в торговом центре пополняет перепродаваемые базы. Для необязательных регистраций второй номер на предоплаченной SIM-карте без обязательств отлично подойдёт.
7. Никогда не отвечайте «STOP» на мошенническое сообщение. Легальный STOP работает только для заявленных рассылок идентифицированных компаний. В случае с мошенником он лишь подтверждает, что номер активен.
Особый случай уязвимых людей
Этот вид мошенничества бьёт крайне неравномерно. Одинокие люди, те, кому неуютно с интерфейсами, или те, кто пользуется смартфоном без подходящих очков, просто никогда не увидят надпись 7-м кеглем. Это не невнимательность: это намеренно враждебный дизайн.
Несколько конкретных мер — без снисходительного тона:
- Включить увеличение текста и высокий контраст в настройках доступности телефона.
- Для длительного чтения с экрана очки-лупа с сильным увеличением делают читаемыми юридические оговорки, которые интерфейсы намеренно прячут.
- Договориться о простом и не подлежащем обсуждению семейном правиле: никаких банковских карт, вводимых по ссылке из SMS, никогда, ни под каким предлогом.
- Установить низкий платёжный лимит на карте, который при необходимости можно временно поднять.
Тем, кто хочет глубже понять механизмы таких манипуляций, несколько научно-популярных книг о кибербезопасности для широкой аудитории очень хорошо объясняют приёмы социальной инженерии, не требуя технических знаний.
А если вы всего лишь кликнули?
Переход по ссылке без заполнения чего-либо в подавляющем большинстве случаев не имеет прямых последствий для обновлённого смартфона. Настоящий риск начинается при вводе информации. Тем не менее несколько разумных мер предосторожности:
- Убедитесь, что ваша операционная система обновлена — это самая эффективная и самая игнорируемая защита.
- На Android проверьте, что не было установлено приложений вне официального магазина.
- Если вы ввели свой адрес электронной почты, ожидайте роста спама; подумайте о менеджере паролей, чтобы разделить доступы, если вы используете один и тот же пароль везде.
- Следите за своими счетами в течение трёх месяцев.
Что стоит запомнить
SMS о подарке — это улыбающееся лицо смишинга. Он атакует не ваш банк, а вашу внимательность при чтении. Он делает ставку не на панику, а на тридцать секунд энтузиазма и на типографику, спроектированную так, чтобы её проигнорировали.
Контрмера не техническая и не сложная: никакой платёж, даже в один евро, не вводится по ссылке, полученной в SMS. Если предложение реально, оно существует и тогда, когда вы сами набираете адрес официального сайта в браузере. А если оно существует только в SMS, значит, его никогда не было.
В случае сомнений перешлите сообщение на 33700, сообщите на SignalConso и удалите его. Подарок, который требует вашу банковскую карту, — не подарок: это замаскированный счёт.
