Есть категория мошенничеств, где SMS нужен только для того, чтобы ваш телефон зазвонил во второй раз. Иногда в сообщении нет даже ссылки. Оно просто говорит:
«ВНИМАНИЕ: попытка платежа на 749,00 € в ELEC-STORE не подтверждена. Если операцию совершали не вы, ничего не предпринимайте, с вами свяжется консультант.»
Никакой ссылки, никакой формы, ничего похожего на фишинговые рассылки, которых вас научили опасаться. Вы перечитываете, ищете подвох и не находите его. Через три минуты телефон звонит — и на экране высвечивается номер вашего отделения, тот самый, который вы сами записали в контакты. Именно здесь мошенничество и начинается по-настоящему.
Banque de France в регулярных работах Observatoire de la sécurité des moyens de paiement уже несколько лет подряд отмечает рост мошенничеств «через манипуляцию»: тех, где злоумышленнику не нужна никакая техническая уязвимость, потому что операции подтверждает сама жертва. SMS больше не оружие. Это дверной звонок.
Почему этот сценарий вытеснил обычную ссылку-ловушку
Десять лет банковский смишинг работал по простой схеме: SMS, ссылка, поддельная страница входа, собранные учётные данные. Эта модель выдыхается по трём вполне конкретным причинам.
Во-первых, банки повсеместно ввели усиленное подтверждение операций. Украсть логин и пароль уже недостаточно: нужно ещё, чтобы кто-то нажал «Подтвердить» в приложении. Во-вторых, браузеры и мобильные системы блокируют всё большую долю поддельных доменов за считанные часы. И наконец, у людей выработался рефлекс «я не перехожу по ссылкам из SMS».
Поэтому мошенники сместили задачу: раз жертва в любом случае должна подтвердить операцию сама, лучше добиться этого подтверждения голосом. Это медленнее, кустарнее, но несравнимо прибыльнее. Ссылка-ловушка приносит учётные данные, которые перепродают за несколько евро. Удачный звонок приносит перевод на четырёх- или пятизначную сумму.
За SMS в этой схеме закреплена точная роль:
- он создаёт ожидание. Вы получаете не неожиданный звонок, а звонок объявленный. Обычная настороженность перед незнакомым номером просто не срабатывает;
- он задаёт словарь. «Неподтверждённая операция», «служба по борьбе с мошенничеством», «перевод в безопасное место»: слова будущего разговора уже произнесены;
- он запускает адреналин. Семьсот сорок девять евро — достаточно, чтобы участился пульс, и достаточно мало, чтобы выглядеть правдоподобно.
Отображение номера вашего банка больше ничего не доказывает
Переломный момент почти во всех свидетельствах — экран входящего вызова. На нём настоящий номер службы поддержки, иногда даже прямой номер отделения. Некоторые пострадавшие рассказывают, что прямо во время разговора сверяли номер с тем, что указан на обороте банковской карты, и он совпадал.
Это не магия, это телефонный спуфинг: подмена номера вызывающего абонента. Протокол маршрутизации звонков создавался в эпоху, когда никто не предполагал, что кто-то будет лгать о своей личности, и информация о «номере вызывающего абонента» по большей части остаётся заявительной.
Франция ужесточила правила с помощью механизма аутентификации номеров (так называемого MAN), который Arcep обязала операторов внедрить с 2024–2025 годов: звонки из-за рубежа с неаутентифицированным французским стационарным номером должны блокироваться. Мера обрушила часть мошеннического обзвона, но у неё есть слепые зоны: французские мобильные номера, законно используемые в роуминге, диапазоны номеров, арендованные у не слишком щепетильных операторов, звонки с территории страны через шлюзы.
Запомните простое правило, верное и в 2026 году, и в 2020-м: отображаемый номер — это не личность. Это наклейка, которую на конверт приклеил тот, кто его отправляет.
То же самое касается и переписки в SMS. Мошенническое сообщение с тем же буквенным именем отправителя, что и у вашего банка, встаёт в существующую ветку, под настоящими сообщениями, с реальной историей выше. Иллюзия полная.
Сценарий, шаг за шагом
Мошеннические звонки следуют удивительно устойчивым сценариям. Знать их структуру полезнее любого списка «тревожных признаков», потому что структура как раз не меняется.
Фаза 1 — Захват через легитимность
Собеседник представляется: имя, фамилия, «табельный номер». Он сообщает данные, которыми якобы владеет только ваш банк: последние четыре цифры карты, ваше отделение, иногда одно-два недавних списания. Эти сведения происходят из утечек коммерческих баз, продаваемых оптом. Они ничего не доказывают, но покупают ваше доверие за десять секунд.
Фаза 2 — Смена ролей
Он ничего у вас не просит. Наоборот, он вас защищает. Это самый эффективный переворот в сценарии: жертва перестаёт спрашивать себя «с кем я говорю» и начинает спрашивать «как мне выпутаться». Бдительность сменяется сотрудничеством.
Фаза 3 — Проверка на лояльность
«Я ведь никогда не спрошу у вас ваш код, вы же знаете?» Эта фраза, произнесённая самим мошенником, обезоруживает полностью. Она дословно повторяет официальную рекомендацию банков, и её произнесение заставляет вас отнести собеседника к «правильной» стороне.
Фаза 4 — «Перевод в безопасное место»
Это сердцевина мошенничества. Он говорит, что нужно укрыть ваши средства на «буферном счёте», «депонентском счёте» или «техническом счёте», пока блокируется скомпрометированная карта. Сейчас вам придёт уведомление в приложении: это отмена мошеннической операции, достаточно её подтвердить. На самом деле вы подтверждаете исходящий перевод, добавление получателя или привязку его телефона вместо вашего.
Фаза 5 — Блокировка времени
«Оставайтесь на линии, не кладите трубку, процедура истекает через четыре минуты.» Пока вы на телефоне, вы не можете позвонить в банк или спросить совета у близкого. Ограничение по времени не несёт никакой технической функции: оно нужно исключительно для того, чтобы вы не проверили информацию.
Причём тут вовсе не наивность
Скажем прямо, потому что стыд — главное препятствие для обращения за помощью: эти мошенничества нацелены не на легковерных. Они нацелены на занятых. Руководитель на совещании, родитель, присматривающий за ребёнком, мастер на объекте, человек, который только что сделал заказ в интернете. Мишень — не личность, а момент рассеянного внимания.
Сценарии пишут команды, которые тестируют их на тысячах звонков и оставляют то, что конвертирует. Против профессионала убеждения, работающего по восемь часов в день, ум не защищает. Защищает только процедура: правило, принятое на холодную голову и механически применяемое на горячую.
Процедура, которая обрывает разговор, в четырёх действиях
1. Положите трубку. Всегда. Не существует ни одной банковской ситуации, которая требовала бы оставаться на линии. Настоящий консультант прекрасно поймёт, что вы перезвоните. Фальшивый будет умолять не класть трубку — это лучший из существующих тестов.
2. Перезвоните, но не сразу и не с того же звонка. Две классические ловушки. Обратный звонок на номер, который вам только что звонил, ничего не доказывает: мошенник мог подменить номер, который ему не принадлежит, и вы попадёте в настоящий банк, что ложно успокоит вас насчёт первого звонка. И главное: на некоторых стационарных линиях соединение может оставаться открытым несколько секунд, если звонивший не кладёт трубку. Набирайте номер с другого устройства или подождите полную минуту. Используйте только номер, указанный на обороте карты или в приложении.
3. Откройте приложение сами и прочитайте полный текст каждого уведомления перед подтверждением. Французские банковские приложения теперь показывают реальный предмет операции: «Добавление получателя X», «Перевод на 4 200 €», «Новое доверенное устройство». Этот текст — единственная правда во всём разговоре. Читайте его медленно, при необходимости вслух.
4. Записывайте всё, сразу же. Время звонка, отображённый номер, названное имя, озвученные суммы. Скриншот первоначального SMS лучше, чем воспоминание. Если дело дойдёт до заявления в полицию, именно эти детали решат исход.
Для тех, кто ведёт свои счета с домашнего компьютера, заламинированный чек-лист рядом с рабочим местом — или просто картонная карточка, написанная от руки и вложенная в жёсткую папку для документов — даёт непропорционально большой эффект: он превращает эмоциональный порыв в административное действие.
Особый случай: те, кто заботится о близких
Этот сценарий особенно опасен для пожилых людей, и причина не имеет никакого отношения к ясности ума: они выросли в эпоху, когда на телефон отвечали и доверяли голосу, который представился. Отказ бросить трубку в лицо собеседнику — глубоко укоренившаяся вежливость.
Несколько конкретных мер, без снисходительности:
- поставить стационарный телефон с крупными кнопками с фильтрацией вызовов и «белым списком», который пропускает известные номера, а остальные отправляет на автоответчик;
- договориться о семейном пароле — слове, известном только вам, которое нужно спрашивать у любого, кто звонит от имени учреждения;
- повесить на стену рядом с телефоном фразу, которую нужно произнести: «Я никогда не решаю вопросы по телефону, я перезвоню в своё отделение» — достаточно простого магнитного блокнота на холодильнике;
- проверить, что лимит онлайн-переводов установлен на низкой сумме и что для его повышения нужно лично прийти в отделение.
Лимит — вероятно, самая эффективная мера из всего списка. Она не зависит ни от какой бдительности и работает даже в день усталости.
А если это уже случилось: что говорит закон
Валютно-финансовый кодекс (статьи L133-18 и следующие) устанавливает сильный принцип: в случае неавторизованной платёжной операции банк возмещает средства немедленно, кроме случаев мошенничества или грубой небрежности клиента. Вся юридическая борьба сводится к двум словам: «авторизованная» и «грубая небрежность».
Позиция судов эволюционировала скорее в пользу пострадавших. Cour de cassation в нескольких решениях, вынесенных с 2023 года, постановил, что сообщение кода после введения в заблуждение изощрённой мошеннической схемой — особенно когда номер банка был подменён — не образует автоматически грубой небрежности. Бремя доказывания лежит на банке, который должен точно продемонстрировать нарушение, а не ограничиваться утверждением, что клиент «сам подтвердил».
Это не означает автоматического возмещения. Это означает, что отказ «по умолчанию» можно оспорить.
Этапы по порядку:
| Этап | Куда | Срок |
|---|---|---|
| Заблокировать карту | Экстренный номер банка, затем письменное подтверждение | Немедленно |
| Оспорить письменно | Заказное письмо в отделение с требованием возмещения на основании L133-18 | Не позднее 13 месяцев |
| Подать заявление | Комиссариат, жандармерия или онлайн-заявление | Не откладывая |
| Сообщить об SMS | Платформа 33700 (переслать сообщение) | Немедленно |
| Обратиться к медиатору | Банковский медиатор, бесплатно | После письменного отказа банка |
| Предупредить | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | В любой момент |
Практический совет, о котором часто забывают: отправляйте письмо-претензию, даже если консультант устно сказал вам, что «дело в работе». Устное слово не оставляет следов, а тринадцатимесячный срок идёт. Набор конвертов для заказных писем или просто журнал учёта корреспонденции поможет не потерять эти даты.
Три заблуждения, от которых пора избавиться
«Мой банк мне никогда не позвонит.» Неправда, и именно это делает мошенничество возможным. Службы по борьбе с мошенничеством действительно звонят, часто с неизвестных номеров. Правильное правило звучит не «мой банк не звонит», а «я никогда ничего не решаю во время входящего звонка».
«SMS без ссылки безобиден.» Это ровно та модель, которая описана здесь. Отсутствие ссылки — аргумент правдоподобия, а не доказательство безвредности.
«Двухфакторная аутентификация меня защищает.» Двухфакторная аутентификация защищает от того, кто крадёт ваши учётные данные, но не от того, кто вежливо просит вас нажать «Подтвердить». Все усилия мошенников теперь направлены именно на это последнее действие.
Что стоит запомнить
Мошенничество через манипуляцию не победить антивирусом, фильтром или приложением. Его побеждают выученной наизусть фразой и разумным лимитом на переводы.
Вот эта фраза: «Я положу трубку и перезвоню в свой банк по номеру, указанному на обороте моей карты.» Сказанная спокойно, она обрывает 100 % мошеннических звонков. Ни один мошенник не остаётся на линии после этого. Ни один настоящий консультант на это не обидится.
Чтобы разобраться глубже, французские государственные ресурсы надёжны и бесплатны: памятки Cybermalveillance.gouv.fr, публикации Observatoire de la sécurité des moyens de paiement при Banque de France, предупреждения DGCCRF и сервис 33700 для сообщения о мошеннических SMS простой пересылкой. Бумажное практическое руководство по кибербезопасности для частных лиц тоже может стать поводом для семейного разговора, особенно с подростками или пожилыми родителями — тема часто воспринимается легче через книгу, чем в форме прямого нравоучения.
А если вы уже что-то подтвердили: не тратьте час на стыд. Этот час нужен, чтобы остановить перевод.
