«Ваш мобильный тариф будет приостановлен 14/09 из-за неоплаты (задолженность 1,90 €). Погасите здесь: espace-client-regularisation[.]info»
Ничтожная сумма. Срок — через два дня. И главное: услуга, которая у вас точно есть, ведь вы читаете это сообщение на том самом телефоне.
Именно в этом статистическое превосходство такой схемы над всеми остальными. Поддельное SMS о доставке срабатывает, только если вы ждёте посылку. Фальшивый штраф — только если вы водите машину. Поддельное сообщение от страховой предполагает, что у вас есть страховка. Но фальшивое SMS от телефонного оператора по определению попадает в цель у 100 % получателей: чтобы получить сообщение, нужно иметь мобильный номер, значит оператора, значит и счёт за услуги. Релевантность максимальная — без всякого таргетинга.
Почему этот сценарий математически самый прибыльный
Кампании смишинга оценивают по отдаче: числу жертв относительно числа отправленных сообщений. Мошенники, скупающие базы номеров оптом, рассуждают ровно как рекламодатели.
А сценарий «оператор» сочетает сразу четыре преимущества:
- Универсальная аудитория. Никакой фильтрации не требуется. Orange, SFR, Bouygues Telecom и Free покрывают основную часть французского рынка: выбрав наугад одного из четырёх, мошенник уже имеет один шанс из четырёх-пяти попасть точно, а если просто написать «ваш оператор» без названия бренда — и того больше.
- Правдоподобная и необременительная сумма. 1,90 €, 2,40 €, 4,99 € — суммы, которые каждый уже видел в телеком-счёте (сверх пакета, звонок по повышенному тарифу, случайно подключённая опция). Слишком мелкая, чтобы звонить в поддержку, но достаточно реальная, чтобы захотелось с ней покончить.
- Немедленная и осязаемая санкция. Отключение номера — не абстрактная угроза. Без телефона не приходят банковские коды, нельзя позвонить, вы отрезаны от мира. Этот страх куда сильнее страха потерять посылку.
- Уже сложившаяся привычка. Операторы действительно шлют SMS: контроль расходов, окончание интернет-трафика, напоминание об оплате, подтверждение заказа. Поддельное сообщение встраивается в уже привычный легитимный поток.
Arcep в своих рекомендациях о нежелательных и мошеннических сообщениях напоминает, что телекоммуникационный сектор входит в число наиболее часто подделываемых идентичностей в фишинговых кампаниях во Франции — наряду с госслужбами и банками. Cybermalveillance.gouv.fr относит смишинг к самым часто сообщаемым частными лицами угрозам, причём доля сценариев, имитирующих поставщиков повседневных услуг, растёт.
Пять вариантов, которые встречаются на практике
1. Погашение задолженности по счёту
Самый распространённый. Небольшая сумма, короткий срок, ссылка на поддельную платёжную страницу с логотипом и фирменным стилем оператора. Непосредственная цель — банковская карта: номер, срок действия, CVV, а затем перехват подтверждения 3-D Secure фальшивым «консультантом», который тут же вам перезванивает.
2. Подарок за лояльность
«Уважаемый клиент, 18 лет с нами: получите восстановленный смартфон в подарок, доставка 2 €». Регистр меняется полностью: вместо страха — вознаграждение. Тот же механизм, что и в схемах с «возвратом средств». Плата за доставку нужна, чтобы получить данные карты и, главное, чтобы вы мелким шрифтом подписались на регулярную подписку за 49 € в месяц.
3. Фальшивая техническая помощь
«Обнаружена неисправность вашей SIM-карты. Подтвердите личность, чтобы избежать прерывания обслуживания». Здесь денег не просят. Просят ваш клиентский логин, пароль от личного кабинета, иногда номер SIM-карты или документ, удостоверяющий личность. Это самый опасный сценарий — и наименее понятный широкой публике.
4. Фальшивый возврат переплаты оператору
«В связи с ошибкой в выставлении счёта вам причитается 38,60 €». Коммерческий вариант фальшивого налогового возврата: у вас просят банковские реквизиты «для перевода», а затем логин и пароль от банка «для проверки владельца счёта».
5. Фальшивое изменение тарифа
«С 1 октября ваш тариф меняется: +3 € в месяц. Чтобы отказаться, нажмите здесь». Формально операторы вправе изменять условия договора, предупредив за месяц, а клиент может расторгнуть договор без штрафа: это реальное правило из Кодекса почтовой связи и электронных коммуникаций придаёт поддельному сообщению устрашающую достоверность.
Настоящая добыча — ваш личный кабинет, а не банковская карта
Именно этот момент упускает большинство профилактических статей. Красть 1,90 € бессмысленно. Украсть номер карты полезно, но карту заблокируют за несколько дней.
А вот доступ в личный кабинет оператора стоит гораздо дороже. Оттуда мошенник может:
- заказать SIM-карту на замену и получить её по контролируемому им адресу — это входная дверь к SIM-swap, позволяющему затем получать ваши банковские коды подтверждения;
- получить ваш код RIO, необходимый для переноса номера к другому оператору: с этим кодом и вашими персональными данными он может перевести вашу линию к себе и лишить вас номера;
- просмотреть ваши детализированные счета, где указаны адрес, иногда частично скрытые банковские реквизиты, история заказов;
- подключить опции, заказать телефон в рассрочку на ваше имя, изменить контактный e-mail, чтобы отрезать вас от уведомлений.
Иначе говоря, форма, которая просит «всего лишь» ваши учётные данные, несравнимо токсичнее той, что просит карту. Первая лишает вас цифровой личности, вторая — суммы, которую можно вернуть через банк.
Простое правило: оператор никогда не запросит по SMS ваш пароль, код RIO, PUK-код или фотографию удостоверения личности. Эти данные по сообщениям не передаются.
Шесть признаков, выдающих поддельное SMS
| Признак | Легитимное сообщение | Мошенническое сообщение |
|---|---|---|
| Отправитель | Короткое имя без возможности ответа (напр. «Orange») или короткий 5-значный номер | Обычный мобильный номер на 06/07 или иностранный номер |
| Ссылка | Официальный домен оператора, без экзотических поддоменов | Похожий домен: orange-facture-client[.]info, sfr-regul[.]xyz |
| Персонализация | Часто ваше имя, последние 4 цифры номера | «Уважаемый клиент», никаких проверяемых данных |
| Сумма | Совпадает с вашим реальным счётом | Круглая или крошечная сумма, ни с чем не сверяемая |
| Срок | Несколько недель, напоминания с интервалами | 24–72 часа, ультимативный тон |
| Запрашиваемый способ оплаты | Уже настроенное автосписание | Банковская карта, которую надо ввести «в порядке исключения» |
Самый надёжный признак — ссылка. Французские операторы используют свои основные домены; всё, что выглядит как название-бренда-что-то.tld, заслуживает немедленного недоверия. На мобильном URL обрезается при отображении: нажмите и удерживайте ссылку, чтобы увидеть её целиком, не открывая, либо перепишите её вручную на экране побольше. Многие читатели раскрывают обман просто потому, что смотрят сообщение на компьютере или на планшете с наклонной подставкой, где адрес виден полностью.
Что делать по порядку, если вы уже кликнули
Не тратьте время на самобичевание: скорость важнее запоздалой ясности.
- Если вы ввели данные банковской карты: немедленно позвоните по номеру блокировки вашего банка (или указанному на обороте карты) и заблокируйте карту. Если списание уже прошло, банк обязан возместить несанкционированные операции в соответствии с Денежно-финансовым кодексом, кроме случаев грубой небрежности с вашей стороны — поэтому важно сообщить быстро.
- Если вы ввели учётные данные оператора: смените пароль от личного кабинета через официальное приложение, включите двухфакторную аутентификацию, если она доступна, и проверьте, не был ли оформлен заказ SIM-карты или изменён адрес.
- Если вы использовали этот же пароль в других местах (а это очень частый случай), смените его везде. Самое время перейти на менеджер паролей или хотя бы на бумажный блокнот для паролей, убранный с глаз долой — решение несовершенное, но гораздо лучше одного пароля на пятнадцати сайтах.
- Сообщите о сообщении на номер 33700, официальную платформу для жалоб на нежелательные SMS и звонки, поддерживаемую операторами и курируемую Arcep: перешлите SMS на 33700, затем отправьте номер отправителя, когда вас об этом попросят. Это бесплатно и помогает блокировать номера рассылки.
- Сообщите адрес сайта на платформе Phishing Initiative или через cybermalveillance.gouv.fr, где также подскажут, куда обратиться за бесплатной помощью.
- Подайте заявление в случае финансового ущерба — в комиссариат, жандармерию или через онлайн-сервис подачи заявлений МВД Франции. Сохраните скриншоты, выписки и отметки времени.
Как надолго сократить поверхность атаки
Помешать мошеннику написать невозможно. Зато можно ограничить то, что он сможет сделать с вашей реакцией.
Заблокируйте физический доступ. Сама SIM-карта защищена PIN-кодом: не оставляйте заводское значение. Если вы часто меняете устройства или путешествуете, небольшой органайзер для SIM-карт избавит от потери исходной карты-держателя с PUK-кодом — документа, фотографии которого мошенники обожают видеть в обороте.
Разделите банковский и повседневный каналы. Многие схемы срабатывают потому, что один и тот же телефон получает рекламу, SMS от незнакомцев и банковские коды подтверждения. Некоторые семьи специально держат простой мобильный телефон с крупными кнопками со второй линией, зарезервированной для чувствительных организаций: это распространённая практика среди тех, кто уже пострадал, и среди пожилых людей, которым помогают близкие.
Ставьте обновления и фильтр. И Android, и iOS теперь отсеивают часть неизвестных отправителей и помечают некоторые опасные ссылки. Эти механизмы работают только на обновлённой системе — а значит, иногда проще заменить изношенный аккумулятор, чем откладывать обновления из страха за автономность.
Берегите и само устройство. Треснувший экран — вопрос не кибербезопасности, но он делает чтение URL практически невозможным; защитное стекло и приличный чехол стоят дешевле, чем ошибка при чтении адреса.
Учитесь спокойно. Руководства Cybermalveillance.gouv.fr превосходны и бесплатны, но людям, менее уверенным в цифровой среде, бумажное руководство по цифровым мошенничествам, лежащее рядом с телефоном, часто помогает лучше, чем ссылка, присланная роднёй: его листают в момент сомнения, без экрана.
Привычка, которая обезоруживает мошенников
Вся эта система держится на одном правиле, простом для запоминания и не требующем никаких технических навыков:
Никогда не используйте путь, предложенный в сообщении.
Если счёт настоящий, он будет в вашем личном кабинете, доступном через официальное приложение, которое вы открываете сами. Если отключение реально, оно тоже там отобразится. Если подарок за лояльность существует, он переживёт пять минут проверки. Ни один французский оператор не отключает линию за 48 часов из-за 1,90 € без нескольких письменных напоминаний.
Закройте SMS. Откройте приложение. Посмотрите счёт. В 100 % мошеннических случаев платить будет нечего — и вы за тридцать секунд обезвредите схему, за которую тысячи людей дорого заплатят в этом месяце.
И последний совет, полезный для любой семьи: говорите об этом. Такие сообщения работают потому, что их читают в одиночку, на бегу, между делами. SMS, прочитанное вслух при ком-то другом, мгновенно теряет свою убедительность. Это, вероятно, самая дешёвая мера безопасности из существующих.
