«Мне пришла SMS: ваш код подтверждения — 842 319, никому его не сообщайте. Я ничего не запрашивал. Через тридцать секунд звонок: "Здравствуйте, служба безопасности вашего банка, мы заблокировали попытку входа из Лилля, можете подтвердить код, который вам только что пришёл, чтобы отменить операцию?" Я прочитал код. Пришла вторая SMS — я прочитал и второй код. Перевод на зарубежный счёт ушёл в тот же вечер. 4 200 €.»
Эта последовательность — непрошеный код, а затем звонок в течение минуты — сегодня одна из самых эффективных мошеннических схем во Франции. Она не опирается ни на какой технический взлом: ни перехвата, ни шпионской программы, ни уязвимости в сети. Мошенник не крадёт код, он добивается, чтобы его произнесли. И добивается он этого потому, что жертва искренне считает, что защищает свой счёт.
Банк Франции в своих работах по мошенничеству с платёжными средствами описывает это семейство схем под названием мошенничество через манипуляцию: жертва сама совершает действие, которое лишает её денег. Именно эта категория резко растёт в последние месяцы, тогда как «классическое» мошенничество с украденной картой идёт на спад.
Что на самом деле содержит шестизначный код
Это не код проверки, это подпись
Нас обманывает сама лексика. Мы говорим «код проверки», «код подтверждения», «код безопасности» — формулировки, которые наводят на мысль о какой-то административной галочке. В действительности этот код и есть операция.
Когда банк присылает вам код для подтверждения перевода, код не сопровождает перевод — он его запускает. Когда WhatsApp присылает вам код при установке, этот код переносит ваш аккаунт вместе с группами и вашей личностью на тот телефон, где его ввели. Когда оператор присылает код для замены SIM, этот код перемещает вашу линию.
Одноразовый код имеет ту же юридическую и практическую силу, что и подпись внизу договора. Прочитать его вслух — значит подписать, не видя, что подписываешь.
Три больших семейства кодов, три уровня ущерба
| Тип кода | Что он разрешает | Последствия, если его продиктовать |
|---|---|---|
| Банковский код (3-D Secure, подтверждение перевода) | Конкретный платёж или перевод | Немедленное списание, часто необратимое |
| Код мессенджера (WhatsApp, Signal, Telegram) | Перенос аккаунта на другое устройство | Присвоение вашей личности в глазах всех контактов |
| Код оператора / переноса номера / eSIM | Передачу вашего номера | Потеря линии, затем лавинообразный сброс паролей всех ваших аккаунтов |
Третий случай — самый тяжёлый и самый малоизвестный. Если ваш номер уходит, мошенник получает все ваши будущие коды: банк, налоговая, почта, соцсети. На профессиональном жаргоне это называется SIM swap. Во Франции операторы усилили процедуры, но человеческое звено — вы, у телефона — остаётся входной дверью.
Почему звонок поступает в течение минуты
Код живёт пять минут
В этом весь секрет темпа. Одноразовый код обычно истекает через 2–10 минут после отправки. У мошенника нет выбора: он должен связаться с вами немедленно, пока код не умер и пока у вас не было времени подумать.
Это техническое ограничение создаёт впечатление оперативности, которое и делает схему правдоподобной. Вы получаете странную SMS, и через считаные секунды кто-то звонит, чтобы о ней поговорить. Мозг делает естественный вывод: «они действительно следят за моим счётом в реальном времени, значит, это точно мой банк».
Всё наоборот. Звонок быстрый потому, что мошенник спешит, а не потому, что он бдителен.
Порядок действий обратен вашей интуиции
В вашем представлении сначала идёт звонок, а потом код: консультант связывается с вами, а затем присылает код. В мошеннической схеме всё строго наоборот:
- У мошенника уже есть ваш номер и некоторые данные (имя, банк, иногда последние четыре цифры карты).
- Он вводит ваш номер на настоящей странице входа вашего настоящего банка или инициирует настоящий запрос на перевод.
- Настоящая система банка отправляет вам настоящую SMS.
- Он звонит вам, чтобы получить код, пока тот ещё действителен.
Вот почему SMS подлинная, почему в ней указано правильное имя отправителя и почему фраза «никому не сообщайте этот код» там действительно есть. Сообщение не подделали. Его спровоцировали.
Отображаемый номер ничего не доказывает
Две техники делают звонок визуально безупречным.
Подмена номера звонящего (spoofing) позволяет вывести на ваш экран официальный номер службы поддержки — тот самый, что напечатан на обратной стороне банковской карты. С 2023 года французский закон обязывает операторов внедрить механизм аутентификации номеров, чтобы ограничить этот приём, и блокировки действительно действуют для звонков из-за рубежа с французским номером на экране. Но фильтр не герметичен.
Внедрение в ветку SMS-переписки заставляет поддельное сообщение появиться в том же диалоге, что и настоящие, потому что мошенник использует то же буквенно-цифровое имя отправителя. Предыдущие легитимные сообщения тогда служат поручительством для мошеннического. Недавние кампании против касс дополнительного пенсионного обеспечения работали именно по этому принципу.
Практический вывод: ни отображаемый номер, ни место SMS в вашей истории переписки не являются доказательством личности.
Фраза, которая решает всё
Существует одно правило, без исключений, которое делает эту атаку полностью бесполезной:
Ни один банковский консультант, ни один сотрудник госучреждения, ни один техник оператора, ни одна служба безопасности никогда не попросит вас прочитать, продиктовать, набрать или переслать код, полученный по SMS. Никогда. Ни при каких обстоятельствах. В том числе «чтобы отменить мошенническую операцию».
У этого правила огромное достоинство: оно не требует никаких технических знаний. Вам не нужно определять, легитимен ли звонок, подлинный ли номер, правдоподобна ли ситуация. Сама просьба и есть сигнал. Если у вас просят код — это мошенничество, точка.
Это же та фраза, которую стоит передать пожилому родственнику, подростку или сотруднику: единственная инструкция, легко запоминаемая и не подлежащая обсуждению. Организации по профилактике советуют записать её чёрным по белому. Простой магнитный блокнот на холодильник с этой фразой и от руки переписанным номером настоящей службы поддержки часто работает лучше длинных объяснений.
Варианты, которых не ждёшь
«Чтобы доказать, что продавец — это вы»
На сайтах объявлений фальшивый покупатель объясняет, что пришлёт вам код, чтобы «проверить, что объявление действительно ваше» или «обезопасить сделку». На самом деле это код создания аккаунта WhatsApp или платёжного кошелька на ваше имя. Ни одна серьёзная платформа так не работает: проверка всегда происходит внутри приложения, а не через диктовку.
«Ваша посылка: подтвердите код получения»
Коды получения посылок в пунктах выдачи действительно существуют. Мошенники прицепляются к этому: SMS сообщает о проблеме с доставкой, звонок запрашивает «код получения», который в действительности оказывается банковским кодом. Всю работу делает путаница в терминах.
Код, который зачитывает синтезированный голос
Некоторые кампании больше не используют живого оператора: автоматический голосовой сервер с нейтральным голосом и музыкой ожидания просит вас набрать код на клавиатуре телефона. Отсутствие собеседника парадоксальным образом успокаивает: нет ощущения, что говоришь с мошенником. Тональные сигналы DTMF расшифровываются на другом конце мгновенно.
Двойной код
Перевод в два этапа требует двух кодов. Мошенник запрашивает один, затем объясняет, что «первый не прошёл», и просит второй. Первый послужил для добавления получателя, второй — для выполнения перевода. Если у вас повторно просят код, вы не исправляете ошибку: вы подтверждаете вторую операцию.
Настройки, которые сокращают поверхность атаки
Отключить показ кодов на заблокированном экране
Если предпросмотр сообщений отображается на заблокированном экране, любой, кто подержит ваш телефон несколько секунд — в транспорте, в зале ожидания, после кражи на ходу — прочитает ваши коды, не разблокируя его.
- Android: Настройки → Уведомления → Уведомления на экране блокировки → скрывать конфиденциальное содержимое.
- iPhone: Настройки → Уведомления → Показ миниатюр → «Если разблокировано».
В той же логике защитная плёнка с эффектом конфиденциальности для смартфона ограничивает обзор экрана с боковых углов в общественных местах — особенно полезно тем, кто заходит в банковское приложение в поезде.
Предпочитать приложение-аутентификатор вместо SMS
Когда сервис это позволяет, замените получение кода по SMS на приложение-аутентификатор (коды генерируются локально) или, ещё лучше, на физический ключ безопасности. Тогда код уже невозможно передать по телефону без физического действия на устройстве. Для действительно критичных аккаунтов — основная почта, банковский счёт, поставщик цифровой идентификации — ключ безопасности FIDO2 просто-напросто устраняет саму возможность что-либо продиктовать.
Заблокировать перенос номера и SIM-карту
Две малоизвестные, но очень действенные настройки:
- Включить PIN-код SIM-карты (и изменить его: заводские коды вида 0000 или 1234 до сих пор встречаются). Без PIN-кода SIM, извлечённая из украденного телефона, будет получать ваши коды в любом устройстве.
- Запросить у оператора в личном кабинете блокировку заявок на перенос номера или выпуск eSIM без усиленной проверки. Условия у операторов различаются; этот вопрос стоит задать в службе поддержки.
Держать настоящие номера вне телефона
Самый полезный рефлекс остаётся самым простым: повесить трубку и перезвонить самому. Не на номер входящего звонка (он может быть подменён), а по номеру на обратной стороне банковской карты, в бумажной выписке или в официальном приложении.
Для пожилого родителя бумажная телефонная книга с настоящими номерами — банк, страховая, врач, пенсионная касса — записанными раз и навсегда, избавляет от необходимости искать их в спешке. Именно это и делает возможным спокойное «я вам перезвоню», без паники.
Вы продиктовали код: первые тридцать минут
Важен и порядок действий, и время.
- Повесьте трубку, даже не договорив фразу. Не спорьте, не объясняйте.
- Позвоните на номер блокировки вашего банка (тот, что на обороте карты) или воспользуйтесь блокировкой в официальном приложении. Для карт межбанковский сервис блокировки доступен круглосуточно по номеру 0 892 705 705.
- Отзовите перевод, если он ещё не исполнен: некоторые мгновенные переводы уже не вернуть, но классический перевод иногда удаётся остановить.
- Смените пароль соответствующего аккаунта с другого устройства и завершите все активные сессии.
- Проверьте сохранённых получателей в банковском счёте, а также переадресацию электронной почты и номера для восстановления доступа: мошенник часто устанавливает себе чёрный ход, прежде чем уйти.
- Сообщите о SMS, переслав её на номер 33700 (бесплатный сервис, поддерживаемый французскими операторами), и подайте заявление онлайн или в комиссариате. По части кибербезопасности Cybermalveillance.gouv.fr направит к нужным специалистам, а Info Escroqueries отвечает по номеру 0 805 805 817.
С юридической точки зрения недавняя практика Кассационного суда ужесточила требования к банкам: сам факт, что жертва сообщила код, автоматически не означает грубой небрежности, позволяющей отказать в возмещении, — особенно когда мошенничество сопровождалось убедительной подменой номера банка. Поэтому нужно документировать всё: скриншоты SMS, точное время звонка, отображавшийся номер, содержание разговора. Блокнот, лежащий рядом с телефоном, куда вы записываете дату, время и номер сразу после подозрительного звонка, весит гораздо больше, чем восстановленные по памяти воспоминания три недели спустя.
Что меняется в 2026 году
Две тенденции играют в пользу пользователей.
Мобильные операционные системы теперь включают локальное обнаружение мошеннических сообщений: анализ содержимого на устройстве, помещение неизвестных отправителей в карантин, явное предупреждение о подозрительных ссылках. Google распространила эти функции на Францию, а сторонние разработчики предлагают фильтры против смишинга на iPhone через API фильтрации сообщений. Эти инструменты снижают шум, но они бессильны против описанной здесь атаки: SMS подлинная, лжёт именно звонок.
Параллельно продвигается борьба с подменой номера — благодаря механизму аутентификации номеров, обязательному для операторов. И здесь фильтр остаётся частичным, особенно для мобильных звонков из-за рубежа.
Так что последний замок остаётся человеческим, и он очень простой. Код, полученный по SMS, не диктуют, не набирают на телефонной клавиатуре, не пересылают в WhatsApp, не переписывают в форму, открытую по ссылке. Его вводят только в том приложении или на том сайте, который вы открыли сами, для операции, которую вы только что начали. Если вы ничего не начинали, коду нечего делать нигде, кроме корзины.
А если вы получили код, не запрашивая его, — это не сбой: это кто-то прямо сейчас пытается войти в один из ваших аккаунтов. Правильная реакция — не ждать звонка. А пойти и сменить пароль соответствующего сервиса.
