«Не понимаю, я же никому не даю свой номер.»
Именно эту фразу слышишь всякий раз, когда человек жалуется, что получает по три мошеннических SMS в неделю. И говорит он искренне: он действительно не помнит, чтобы давал свой номер. Вот только давал — на кассе магазина при оформлении карты лояльности, в анкете для расчёта страховки, в объявлении о продаже велосипеда, при онлайн-заказе, чтобы получать уведомления о доставке, при регистрации аккаунта, который требовал подтверждения по SMS.
Номер мобильного телефона больше не является просто способом связи. Он превратился в универсальный идентификатор: уникальный, неизменный годами, редко меняющийся, привязанный у оператора к гражданской личности. Ни одни персональные данные не имеют такой ценности для того, кто хочет до вас добраться, — будь то продавец или мошенник.
Хорошая новость в том, что количество мошеннических SMS, которые вы получаете, — не погодное явление, с которым остаётся только смириться. Оно напрямую зависит от того, насколько «засвечен» ваш номер. А эту засвеченность можно уменьшить.
Откуда на самом деле берутся номера для рассылок
Вопреки распространённому мнению, мошенники покупают далеко не все номера на подпольных площадках. Источники куда более прозаичны — и именно поэтому явление так трудно остановить.
Автоматическая генерация
Это самый простой метод, и он не требует никаких утечек. Диапазоны французских мобильных номеров общедоступны: ARCEP выделяет операторам блоки в форматах 06 и 07, и эти блоки задокументированы. Программа способна сгенерировать миллионы корректных комбинаций и разослать сообщения веером.
Такие кампании объясняют появление совершенно шаблонных SMS: «Ваша посылка ожидает», «Аккаунт заблокирован, подтвердите данные». Никакой персонализации, никакого имени. Расчёт на то, что один человек из ста как раз сегодня ждёт посылку.
Утечки клиентских баз
Период 2023–2026 годов во Франции был отмечен серией массовых взломов, затронувших операторов связи, медицинских страховщиков, розничные сети и организации, управляющие медицинскими данными. CNIL опубликовала по этому поводу несколько предписаний и санкций и рекомендует пострадавшим быть особенно внимательными к получаемым сообщениям.
Именно такие утечки порождают тревожные SMS: те, где знают ваше имя, иногда город, иногда название вашей страховой компании. Содержание выглядит правдоподобным, потому что опирается на реальные данные.
Легальный сбор с последующей перепродажей
Это самый массовый и самый недооценённый источник. Каждый раз, когда вы ставите — или забываете снять — галочку, разрешающую передачу ваших данных «нашим партнёрам», ваш номер попадает в совершенно законную коммерческую цепочку. Его сдают в аренду, обогащают, сопоставляют с другими базами.
GDPR регулирует эту практику, но именно регулирует: он её не запрещает. А законно собранная база может затем утечь, быть перепродана за пределами предусмотренных рамок или оказаться у не слишком щепетильного игрока. Путь от «карты лояльности строительного магазина» до «SMS от фальшивого банковского консультанта» короче, чем кажется.
Парсинг объявлений
Сайты объявлений — настоящая золотая жила. Многие продавцы указывают номер прямо в тексте объявления, чтобы не пользоваться внутренним чатом. Роботы непрерывно собирают эти номера, причём с бонусом: они знают, что человек что-то продаёт, по какой цене и в каком городе. Это ровно то топливо, на котором работают схемы с «фальшивым покупателем».
Простой тест: оценить свою ситуацию
Прежде чем действовать, полезно измерить. В течение двух недель записывайте каждое нежелательное SMS в три колонки:
| Тип | Признак | О чём это говорит |
|---|---|---|
| Шаблонное, без вашего имени | «Ваша посылка», «Ваш аккаунт» | Автоматическая генерация — неизбежно |
| С вашим именем или фамилией | «Здравствуйте, Мария, ваша заявка…» | Ваш номер есть в именной базе |
| С конкретным контекстом | Название вашего банка, страховой, недавней покупки | Целевая утечка или перепродажа «качественной» базы |
Если большинство ваших SMS шаблонные, уровень засвеченности нормальный и мер фильтрации будет достаточно. Если же вы регулярно получаете именные сообщения с контекстом, ваш номер гуляет по «качественным» базам — и работать нужно иначе: над распространением, а не только над фильтром.
Снизить засвеченность: что действительно работает
Перестать использовать один номер для всего
Это самый мощный и самый простой рычаг. Системная ошибка — использовать один и тот же номер для банка, семьи, доставок, объявлений и онлайн-регистраций. Всё смешано, а значит, всё уязвимо по самому слабому звену.
Решение — не сменить номер: это неэффективно, хлопотно, и новый номер «засветится» за полтора года. Решение — сегментировать.
Второй номер, выделенный под «публичные» сценарии (объявления, коммерческие анкеты, регистрации в неважных сервисах), резко снижает загрязнение основного номера. Вариантов несколько:
- предоплаченная SIM-карта без обязательств, пополняемая по мере необходимости, часто за несколько евро;
- дополнительная eSIM, если ваш телефон её поддерживает, — не придётся физически переставлять карты;
- смартфон с двумя SIM-картами, позволяющий держать обе линии активными без второго устройства.
Тем, кто не хочет менять аппарат, адаптер для двух SIM-карт остаётся приемлемым временным решением для старых моделей, хотя управление и менее удобное, чем у настоящей двухсимочности.
Не давать номер, когда это не обязательно
Простой юридический принцип, о котором напоминает CNIL: оператор обработки данных вправе собирать только те данные, которые необходимы для заявленной цели. Номер мобильного почти никогда не нужен для карты лояльности, рассылки или скачивания брошюры.
На практике в магазине фразы «я предпочту его не давать» достаточно в подавляющем большинстве случаев. Карту всё равно оформят. Номер спрашивали потому, что его запрашивала форма, а не потому, что он требовался для услуги.
В онлайн-формах поле часто помечено как обязательное просто из-за лени разработчиков. Если сервис действительно полезен, вполне разумно указать там дополнительный номер.
Почистить существующие объявления
Если вы публиковали объявления с открытым номером, они, скорее всего, до сих пор проиндексированы. Поиск собственного номера в кавычках в поисковой системе иногда даёт неожиданные результаты: объявления о продаже подержанных вещей, профессиональные профили, старые форумы, списки членов ассоциаций, протоколы собраний в PDF.
Каждый найденный результат — повод отправить запрос на удаление. GDPR даёт вам право на удаление данных, которое реализуется через владельца сайта, а в случае отказа можно обратиться в CNIL.
Воспользоваться правом на возражение против рекламных рассылок
GDPR предусматривает право возражать против коммерческих рассылок, и его можно реализовать без объяснения причин. Конкретно:
- для телефонного обзвона регистрация в Bloctel остаётся бесплатной и обязательной к соблюдению для компаний в части звонков;
- для легальных коммерческих SMS слово STOP, отправленное на короткий номер, работает и не стоит дороже обычного SMS;
- для мошеннических SMS STOP контрпродуктивен: он подтверждает, что номер активен и сообщения читают.
Это различие принципиально, и именно здесь многие ошибаются. SMS от известной сети с пометкой «STOP 36xxx» — это регулируемая коммерческая рассылка: ответ STOP её прекращает. У мошеннического SMS нет законной пометки STOP — или она имитируется. В этом случае отвечать не нужно: сообщение пересылают на номер 33700.
Фильтровать то, что всё-таки проходит
Снижение засвеченности занимает месяцы. А пока фильтрация ограничивает ежедневный ущерб.
Встроенные фильтры телефонов
И Android, и iOS предлагают автоматическую сортировку сообщений от неизвестных отправителей и фильтрацию нежелательных SMS; сегодня они усилены моделями локального анализа, которые распознают типичные для смишинга формулировки. Эти функции полезны, но далеко не на всех устройствах включены по умолчанию — стоит заглянуть в настройки приложения «Сообщения».
Их ограничение известно: они плохо фильтруют сообщения, подделывающие имя легитимного отправителя, которые встраиваются в уже существующую переписку.
Ручная блокировка — в меру
Блокировать каждый номер-отправитель — естественный рефлекс, но отдача невелика: смишинговые кампании меняют номер при каждой рассылке. Блокировка даёт прежде всего психологический эффект — больше не видеть сообщение — и реально полезна лишь в одном случае: при преследовании со стороны постоянного отправителя.
Сообщение на номер 33700
Пересылка на 33700 не защищает вас лично, но питает систему операторов, которая отключает злоупотребляющих отправителей. Это бесплатно, не списывается с тарифа, и это единственное действие с измеримым коллективным эффектом.
Защитить чувствительные сценарии: главная задача
Сократить число мошеннических SMS — приятно. Но настоящая цель в другом: сделать так, чтобы скомпрометированный номер не скомпрометировал ваши аккаунты.
Ведь сегодня номер мобильного — не только канал приёма сообщений. Часто это ключ восстановления доступа к аккаунту: «забыли пароль? получите код по SMS». А значит, тот, кто контролирует ваш номер, контролирует ваши аккаунты.
По возможности убрать SMS из аутентификации
SMS остаётся самым распространённым и самым слабым фактором аутентификации. ANSSI уже много лет не рекомендует его, отдавая предпочтение более надёжным решениям. Для важных аккаунтов — основная почта, облако, соцсети, платёжные платформы — лучше перейти на приложение-аутентификатор, генерирующее коды офлайн.
Для по-настоящему критичных аккаунтов физический ключ безопасности в формате USB остаётся высшим уровнем защиты: даже получив ваш пароль и SMS-коды, злоумышленник ничего не сможет сделать без самого устройства.
Заблокировать саму SIM-карту
Перехват линии — получение новой SIM на ваше имя, чтобы перехватывать коды, — остаётся редким, но разрушительным сценарием. Две простые меры:
- держать на SIM-карте активный PIN-код, отличный от 0000 или 1234, — многие отключают его ради удобства;
- спросить у оператора, можно ли требовать пароль или двойное подтверждение для любого запроса на дубликат SIM. Большинство операторов это предлагают, но мало кто об этом говорит.
Хранить пароли где угодно, только не в SMS
Распространённая привычка — отправлять самому себе конфиденциальную информацию по SMS: код от сейфа, логин, номер договора. Переписка превращается в связку ключей под открытым небом, доступную любому, кто возьмёт телефон в руки на несколько секунд.
Зашифрованный менеджер паролей решает проблему в цифровой сфере. Для кодов, которых вообще не должно быть в интернете, бумажный блокнот для паролей, хранящийся дома, остаётся, вопреки интуиции, вполне серьёзным вариантом: он не подключён к интернету и не пропадёт вместе с телефоном, забытым в поезде.
Отдельный случай: дети и пожилые люди
Две группы заслуживают особого подхода — по противоположным причинам.
Подростки раздают свой номер массово: регистрации в играх, общение на платформах, конкурсы. Их засвеченность структурно высока. Именно здесь сегментация обретает полный смысл: основная линия для семьи и школы, дополнительный номер для всего остального.
Пожилые люди раздают номер мало, но фигурируют в старых и хорошо заполненных базах: страховые кассы, пенсионные фонды, ассоциации, операторы связи. Поэтому мошеннические SMS для них более контекстные, а значит, более правдоподобные. Правильный подход — не заваливать их настройками, а внедрить одно простое и запоминающееся правило: ни по одной ссылке из SMS никогда не переходить; перезванивать организации по номеру, указанному в бумажном документе.
Тем, кому трудно с маленьким экраном, телефон с большими кнопками и контрастным экраном уменьшит число ошибочных нажатий — сильно недооценённую причину случайных кликов.
Что стоит запомнить
Количество мошеннических SMS, которые вы получаете, — не случайность: это показатель того, насколько засвечен ваш номер.
Три уровня действий, в порядке эффективности:
- Сегментировать — один номер для чувствительных сценариев, другой для всего остального. Самая окупаемая мера.
- Ограничить распространение — не давать номер, когда это не нужно, вычистить то, что болтается в сети, воспользоваться правом на возражение.
- Отвязать — сделать так, чтобы номер перестал быть ключом восстановления ваших важных аккаунтов.
Фильтрация и блокировка идут потом. Они лечат симптом, а не причину. А причина умещается в одну фразу: мы позволили уникальному, постоянному и подтверждённому идентификатору стать теми данными, которые мы раздаём легче всего.
Чтобы проверить, законно ли организация использует ваши данные, CNIL публикует на своём сайте шаблоны писем для реализации права доступа и права на возражение. Чтобы сообщить о подтверждённом мошенничестве, платформа Cybermalveillance.gouv.fr подскажет подходящий порядок действий, а подать заявление по-прежнему можно в комиссариате полиции или в жандармерии, приложив скриншоты.
