«Я не понимаю. Я осторожен, я никогда не перехожу по ссылкам, и всё равно получаю по четыре мошеннических SMS в неделю».
Эта фраза звучит постоянно. И она совершенно логична: осторожность защищает от последствий мошеннического SMS, но не от его получения. Пока ваш номер циркулирует в базах данных, его будут продолжать заваливать сообщениями. Проблема не в том, как вы реагируете на сообщения, а в том, что сам идентификатор открыт всем.
За последние пятнадцать лет мобильный номер незаметно заменил почтовый адрес и электронную почту в роли главного ключа идентификации. Он нужен, чтобы получить код подтверждения от банка, отследить посылку, создать аккаунт, накопить бонусы, разместить объявление, забронировать столик. Один и тот же номер, переданный сотням собеседников самой разной степени надёжности. Это единая точка отказа — и мошенники об этом знают.
Описанный здесь метод не содержит ничего впечатляющего: он состоит в том, чтобы перестать пользоваться одним-единственным номером. Один номер — для людей, которые вам важны, и для критически значимых сервисов, второй — для всего остального. Это не гиковский трюк, а разграничение, ровно тот же принцип, который мы уже применяем к паролям.
Почему единственный номер всегда в итоге утекает
Утечки происходят не по вашей вине
Мобильный номер попадает в список мошенников не потому, что вы сделали глупость. Он оказывается там за счёт накопления:
- Утечки данных. CNIL за последние годы зафиксировала массовые уведомления, затрагивающие операторов связи, билетные платформы, страховые кассы, торговые сети. Номер телефона почти всегда входит в число раскрытых полей, потому что его считают «менее чувствительным», чем пароль, — хотя он как раз постоянен и не меняется без издержек.
- Перепродажа баз. Коммерческий обзвон, совершенно законный при наличии согласия, питает серую экономику, где базы перепродаются, сопоставляются, обогащаются. Однажды попав в этот круг, номер редко из него выходит.
- Сопоставление данных. Ваш номер, оставленный в объявлении, в анкете конкурса, на сайте бронирования, становится точкой связки, позволяющей соединить несколько наборов данных между собой. Именно этим объясняются те SMS, которые «знают» ваше имя, ваш город или ваш заказ.
Последствие: профиль жертвы
Когда номер связан с контекстной информацией, мошенник больше не отправляет типовое сообщение. Он отправляет правдоподобное сообщение. А правдоподобие — безусловно, главный фактор успеха смишинга. Banque de France в материалах Обсерватории безопасности платёжных средств подчёркивает рост так называемого «мошенничества с манипуляцией», когда жертва действует сама, убеждённая достоверным сценарием.
Разграничить — значит разорвать это сопоставление. Если ваш «публичный» номер никогда не связывался с вашим банком, утечка с его участием больше не позволяет изготовить убедительное банковское сообщение.
Три способа завести второй номер
1. Вторая физическая SIM или eSIM
Это самое надёжное решение. Практически все смартфоны, продаваемые с 2021 года, поддерживают две SIM-карты, а часто — комбинацию физической SIM и eSIM. eSIM активируется за несколько минут по QR-коду, без похода в салон.
Дополнительных тарифов за 2–3 € в месяц вполне достаточно: вам нужно только получать SMS и изредка звонить. Некоторые операторы предлагают даже тарифы с блокировкой перерасхода дешевле 2 €, которые отлично подходят для этой роли.
На более старом телефоне, не поддерживающем eSIM, остаётся вариант со вторым устройством: бюджетный мобильный телефон с двумя SIM, лежащий в ящике и включаемый раз в неделю, прекрасно выполняет функцию «почтового ящика» для второстепенных регистраций.
2. Виртуальный номер в приложении
Несколько сервисов предлагают номер, выделяемый программно и доступный через приложение. Это удобно, но есть два ограничения: некоторые банковские и государственные сервисы отказываются отправлять коды подтверждения на номера, не привязанные к классическому мобильному оператору, а долговечность номера зависит от выживания сервиса. Истёкший виртуальный номер — это потенциально безвозвратно утраченный аккаунт.
3. Стационарная линия или номер старого тарифа
Решение для бедных, но рабочее: многие формы принимают городской номер. Если у вас он есть через интернет-бокс, он может взять на себя часть некритичных регистраций. Недостаток: он не принимает SMS, что блокирует любую двухфакторную аутентификацию.
Как распределить использование: правило двух колонок
Принцип прост: приватный номер никогда не должен вводиться в онлайн-форму, за перечисленными исключениями.
| Использование | Приватный номер | Публичный номер |
|---|---|---|
| Семья, друзья, коллеги | ✅ | ❌ |
| Банк, страхование, налоги, Ameli | ✅ | ❌ |
| Врач, аптека, лаборатория | ✅ | ❌ |
| Школа, детский сад, работодатель | ✅ | ❌ |
| Доставка, интернет-магазины | ❌ | ✅ |
| Карты лояльности, конкурсы | ❌ | ✅ |
| Объявления, Vinted, Leboncoin | ❌ | ✅ |
| Бронирования (рестораны, парикмахер, аренда) | ❌ | ✅ |
| Регистрации на малоизвестных сайтах | ❌ | ✅ |
| Публичный Wi-Fi, запрашивающий номер | ❌ | ✅ |
Эта таблица — не вечное ограничение. Она требует усилий в первые две недели, пока формируется рефлекс, а затем становится автоматической.
Особый случай двухфакторной аутентификации
Здесь нужно быть предельно строгим. Коды, приходящие по SMS для подтверждения платежа или входа, должны приходить на приватный номер, никогда — на публичный. Причина: публичный номер фигурирует в слитых базах, а значит, именно он станет целью попытки перехвата линии (мошенничество с переносом номера или заменой SIM).
И раз уж речь зашла, воспользуйтесь случаем, чтобы по возможности уйти от SMS. ANSSI давно рекомендует приложения-аутентификаторы вместо SMS-кодов, поскольку SMS не шифруется сквозным образом. Для самых чувствительных аккаунтов физический ключ безопасности FIDO2 — это уровень выше: он делает фишинг структурно бесполезным, поскольку никакой код невозможно передать третьему лицу.
Что разграничение действительно решает — и чего не решает
Что оно решает
- Объём. Практический опыт сходится: через шесть-двенадцать месяцев приватный номер получает остаточное количество спама, часто близкое к нулю, тогда как публичный номер стягивает всё на себя.
- Убедительность атак. SMS «ваша посылка задержана», пришедшее на номер, который, как вы знаете, зарезервирован для доставок и сомнительных регистраций, мгновенно теряет свою силу убеждения. Вам больше не нужно гадать, правда это или нет: контекст отвечает за вас.
- Обнаружение утечек. Закрепляя определённые сценарии за определёнными номерами, вы понимаете, откуда пришла утечка. Это принцип одноразового адреса электронной почты, перенесённый на мобильную связь.
Чего оно не решает
Будем честны насчёт ограничений.
Подмена отправителя остаётся возможной: мошенник может отобразить название вашего банка независимо от того, на какой номер он целится. Разграничение снижает вероятность того, что вы получите это сообщение, но не техническую способность атакующего.
SMS Blasters — чемоданы, имитирующие базовую станцию и заливающие сообщениями все мобильные в радиусе нескольких сотен метров, — вашему номеру совершенно безразличны: они не используют сеть оператора и им не нужно знать вашу линию. Никакое разграничение от этого вектора не защищает.
Наконец, разграничение не защищает от ваших близких. Если телефон друга скомпрометирован и его адресная книга выкачана, ваш приватный номер выходит наружу.
Как перейти, ничего не сломав
Шаг 1: провести инвентаризацию, прежде чем действовать
Прежде чем что-либо активировать, составьте список сервисов, где зарегистрирован ваш текущий номер. Откройте папку с SMS и просмотрите последние шесть месяцев: вы увидите легитимных отправителей (банк, страховая, врач, оператор, службы доставки). Это ваша стартовая инвентаризация.
Бумажный блокнот прекрасно подходит для этого этапа, и у него есть реальное преимущество: он никогда не окажется в утечке данных. Многие люди, выстраивающие свою цифровую безопасность, ведут подобный офлайн-реестр для данных восстановления аккаунтов.
Шаг 2: решить, какой номер станет «публичным»
Две школы.
Вариант A — исторический номер становится публичным. Вы берёте новую линию для личного использования. Плюс: никаких обновлений данных, все существующие сервисы продолжают работать. Минус: ваш новенький приватный номер нужно сообщить близким, и не забыть перевести на него критически важные сервисы.
Вариант B — исторический номер остаётся приватным. Вы берёте новую линию для публичного использования. Плюс: близкие ничего не меняют. Минус: нужно обновить, один за другим, все уже зарегистрированные некритичные сервисы — или просто дать времени сделать своё дело и использовать публичный номер только для новых регистраций.
На практике вариант B мягче, и именно его я рекомендую тем, кто не хочет затевать стройку. Приватный номер «очищается» постепенно.
Шаг 3: управлять двумя линиями без путаницы
И на Android, и на iOS можно дать каждой линии имя («Личный», «Публичный»), назначить цвет пузырька сообщений и задать линию по умолчанию для отправки. Потратьте на это пять минут: именно это убережёт вас от отправки рабочего сообщения с «мусорного» номера.
Разный рингтон для каждой линии тоже очень полезен. Публичный номер не обязан вас прерывать: поставьте его на постоянный беззвучный режим и проверяйте раз в день. На телефонах, которые плохо справляются со звуковыми профилями по SIM, умные часы с фильтрацией уведомлений позволяют пропускать только приватную линию.
Шаг 4: не давать публичному номеру слишком много болтать
Публичный номер — это всё равно ваш номер. Избегайте привязки к нему вашего полного имени в справочниках, не используйте его как идентификатор мессенджера с личной фотографией профиля и отказывайтесь от синхронизации адресной книги для приложений, установленных в этом контексте.
Рефлекс, который должен остаться при любых обстоятельствах: сообщать
Разграничение не заменяет сообщение о мошенничестве. Каждое полученное мошенническое SMS — на любой из линий — нужно переслать на 33700, официальный сервис сообщений о голосовом и SMS-спаме, управляемый Association française du multimédia mobile совместно с операторами. Это бесплатно, занимает десять секунд и именно это питает блокировку номеров-отправителей.
При финансовом ущербе подача заявления в полицию, платформа Perceval (для мошеннического использования банковской карты) и Cybermalveillance.gouv.fr (для сопровождения) остаются официальными точками входа.
Публичный номер, заваленный спамом, — это не провал системы: это доказательство того, что она работает. Спам ушёл туда, где он больше не причиняет вреда.
Стоит ли доходить до двух телефонов?
Для большинства людей — нет: двух SIM достаточно. Тем не менее две ситуации всё же оправдывают второе устройство.
Профессиональный случай. Если вы фрилансер или предприниматель, номер, указанный на ваших коммерческих материалах, по определению публичен, открыт и выкачан. Физически отделить его от личного телефона имеет смысл, особенно ради вечерних и выходных отключений. Компактный внешний аккумулятор становится при этом незаменимым аксессуаром: два устройства означают две автономии, которыми нужно управлять.
Случай поездок. В путешествии запасной телефон с одним только публичным номером ограничивает масштаб ущерба при краже или потере, поскольку ни банк, ни коды подтверждения через него не проходят. Хорошо дополнить это Bluetooth-трекером, положенным в сумку, который хотя бы позволит понять, забыли ли вы устройство где-то или его унесли.
Что следует запомнить
Вы не можете предотвратить утечки данных: они от вас не зависят. Зато вы можете решить, что именно они унесут с собой. Единственный номер — это ключ, открывающий все двери вашей цифровой жизни; два номера — это две отдельные связки, одну из которых можно потерять без последствий.
Внедрение требует часа размышлений, нескольких евро в месяц и двух недель привыкания. Взамен вопрос «это SMS настоящее?» возникает гораздо реже — и в этом весь смысл. Лучшее мошенническое SMS — то, которое приходит на линию, о которой вы уже знаете, ещё не открыв его, что на неё никогда не приходит ничего важного.
