«CIC: зафиксирован необычный вход в ваш аккаунт с нового устройства. Если это были не вы, обеспечьте безопасность здесь: cic-verification-acces[.]com»
Вы получаете это сообщение в 18:40, выходя из здания вокзала. Человек рядом с вами в ту же секунду смотрит в свой телефон и хмурится. Текст сообщения тот же самый. У вас разные операторы, разные банки, между вами нет никакой связи. И тем не менее вы только что получили одно и то же SMS в одну и ту же секунду.
Это не обычная кампания смишинга. Здесь не покупали базу номеров на чёрном рынке, не использовали шлюз рассылки, на другом конце не было никакого оператора. Зато в 150 метрах стоит припаркованная машина, в ней — устройство, питающееся от аккумулятора, и фальшивая базовая станция, которая заставила все телефоны квартала подключиться к ней, чтобы протолкнуть сообщение прямо во входящие. Это и называется SMS Blaster.
Что радикально меняет SMS Blaster
До сих пор все мошеннические SMS, которые мы разбираем в этом журнале, имели одну общую черту: они шли через сеть. Злоумышленник оплачивает сервис массовой рассылки, часто зарубежный, загружает список номеров и нажимает «отправить». Сообщение проходит через операторов, пересекает антиспам-фильтры и оставляет пригодные для расследования следы. Именно поэтому имеет смысл сообщать о таких случаях на 33700 — официальный французский сервис для сигналов о голосовом и SMS-спаме, которым управляет Association Française du Multimédia Mobile совместно с французскими операторами: эти сигналы питают вполне реальную цепочку блокировок.
SMS Blaster полностью выбрасывает этот этаж. Устройство ведёт себя как мобильная базовая станция — миниатюрная сотовая вышка. Телефоны вокруг, спроектированные так, чтобы цепляться за самый сильный сигнал, подключаются к ней сами. Как только связь установлена, устройство проталкивает сообщение в аппарат ровно так же, как это сделала бы настоящая сеть. Последствия идут каскадом:
- Ни один оператор не задействован. Ни Orange, ни SFR, ни Bouygues, ни Free это сообщение не видели. Антисмишинговые фильтры операторов, которые ежегодно блокируют десятки миллионов мошеннических SMS, оказываются вне игры.
- Номер вообще не нужен. Мошенник не знает вашего номера, никогда его не покупал и не видел. Он «поливает» географическую зону, а не список.
- Отображаемый отправитель абсолютно произволен. Устройство само задаёт подпись: «CIC», «Ameli», «Chronopost», «ANTAI». Ничто не обязывает его использовать правдоподобный формат номера.
- Сообщение может попасть в существующую переписку. Это самая тревожная деталь: если отображаемый отправитель в точности совпадает с именем бренда, от которого вы уже получали настоящие SMS, некоторые телефоны помещают фальшивку в тот же диалог, следом за подлинными сообщениями.
Последний пункт разрушает главный проверочный рефлекс, который публика наконец-то усвоила. «Посмотрите, приходит ли сообщение в ту же ветку, что и предыдущие» — этот совет, долго остававшийся верным, против такой техники больше не защищает.
Как коробка может выдать себя за базовую станцию?
Ответ умещается в одно слово: 2G. GSM, развёрнутый в начале 1990-х, создавался в эпоху, когда заботились прежде всего о том, чтобы частные лица не могли прослушивать разговоры. Сеть аутентифицирует телефон, но телефон по-настоящему не аутентифицирует сеть. Иначе говоря: ваш мобильник доказывает свою личность вышке, а вышке доказывать вашему мобильнику нечего.
Последующие поколения этот изъян исправили. 3G, а затем 4G и 5G требуют взаимной аутентификации: пиратское оборудование уже не может притвориться легитимной сетью. Вот только обратная совместимость во многих аппаратах остаётся включённой по умолчанию. Атакующему достаточно локально заглушить или перебить диапазоны 4G/5G, чтобы телефоны, лишившись лучшего варианта, покорно «спустились» до 2G. Это и называется атакой типа downgrade.
Технический принцип не нов: это родственник «IMSI-катчеров», чемоданов для перехвата, давно используемых некоторыми спецслужбами и известных исследователям безопасности более пятнадцати лет. Ново другое — цена, миниатюризация и массовое криминальное применение.
Оборудование, вчера доступное только государствам, сегодня умещается в рюкзак и управляется с ноутбука. Власти нескольких стран — в частности Великобритании, Таиланда, Вьетнама, Новой Зеландии — за последние годы изымали подобные устройства, часто установленные в автомобилях, курсировавших по центру города. Во Франции использование несанкционированного радиопередатчика на частотах, выделенных операторам, образует несколько самостоятельных правонарушений, независимо от самого мошенничества: создание помех и незаконное вещание караются кодексом почты и электронных коммуникаций под надзором ANFR (Национального агентства по частотам).
Малый радиус, но огромная пропускная способность
SMS Blaster не покрывает город. Его полезная дальность измеряется сотнями метров — несколькими десятками в плотной застройке и больше на открытой местности. Зато в этом периметре он способен затронуть несколько тысяч аппаратов в час. Отсюда и выбор мест: вокзалы, выходы из метро, рынки, торговые зоны, подступы к стадионам, очереди на фестивалях. Везде, где плотность людей максимальна и где люди смотрят в телефон на ходу.
Схема работы, описанная профильной прессой, почти всегда одна и та же: обычная машина, оборудование в багажнике, питающееся от мощного внешнего аккумулятора, стоянка на двадцать-сорок минут, затем переезд. Никакого взаимодействия с жертвами. Никакого физического контакта. «Курьера» не существует, «банковский консультант» пока не звонит — всё решается в один клик.
Как распознать сообщение, отправленное SMS Blaster
Раз подпись отправителя больше ничего не доказывает, внимание надо перенести на другие сигналы. Обычно сочетаются четыре признака:
| Признак | Что вы наблюдаете | Почему это показательно |
|---|---|---|
| Одновременность | Несколько человек вокруг вас получают одно и то же сообщение | Классическая кампания не нацелена на географическую зону |
| Короткий провал сети | Прямо перед этим телефон перешёл на «E», «G» или остался без данных | Признак принудительного downgrade до 2G |
| Несоответствующий бренд | SMS от банка, клиентом которого вы не являетесь | Атака не таргетирована: она «поливает» площадь |
| Кустарный домен в ссылке | cic-verification-acces.com, ameli-mise-a-jour.net | Ни одно ведомство и ни один банк такие домены не используют |
Второй признак самый технический, но и самый надёжный. Если в центре города, покрытом 4G/5G, ваш телефон вдруг переключается на индикатор «E» или «G» на несколько минут, а затем приходит неожиданное SMS, такое совпадение заслуживает подозрения. Пользователи, которые носят в сумке компактный внешний аккумулятор, кстати, замечают такие переключения чаще, потому что во время зарядки в дороге внимательнее следят за строкой состояния.
Третий признак остаётся, тем не менее, самым доступным: зональная афера по определению плохо нацелена. Если вам приходит «проблема с оплатой» от сети магазинов, где вы ничего не заказывали, или предупреждение от банка, который не ваш, вопрос закрыт.
Настройка, которая обезвреживает атаку: отключить 2G
Это самая эффективная контрмера, и она бесплатна. Поскольку атака построена на принудительном возврате к 2G, запрет телефону подключаться к ней равносилен спиливанию сука, на котором сидит мошенник.
На Android
Большинство свежих версий Android предлагают отдельный переключатель, унаследованный от функции, введённой Google начиная с Android 12:
- Настройки → Сеть и интернет → SIM-карты (или «Мобильная сеть»)
- Найдите опцию «Разрешить 2G» и отключите её.
Некоторые производители называют её иначе или прячут в меню «Предпочитаемый тип сети», где выбирается «Только 4G/5G». На аппаратах, где эта настройка не вынесена наружу, она часто остаётся доступна через расширенное операторское меню.
В самых свежих версиях Android существует и более широкий режим «усиленной защиты» под названием Advanced Protection: он отключает 2G, блокирует незашифрованные соединения и одним действием ужесточает целый ряд сетевых поведений.
На iPhone
Apple не предлагает отдельного переключателя «2G», но режим блокировки (Настройки → Конфиденциальность и безопасность → Режим блокировки) отключает, в частности, небезопасные мобильные соединения, включая 2G. Этот режим намеренно ограничителен: он также урезает вложения, некоторые веб-функции и входящие приглашения. Он предназначен для действительно уязвимых людей, а не для повседневного использования всеми подряд.
В качестве минимума можно хотя бы проверить в Настройки → Сотовая связь → Параметры → Голос и данные, что аппарат стоит на 5G или LTE, а не в режиме совместимости со старыми сетями.
А если 2G вам всё-таки нужна?
Остаются два законных случая. Во-первых, в некоторых сельских районах сохраняется остаточное покрытие 2G как страховочная сеть для голосовой связи. Во-вторых, множество подключённых устройств — трекеры, сигнализации, мобильный телефон с крупными кнопками для пожилых, детские GPS-часы — существуют только в 2G. Если вы оснащаете близкого человека, выбор аппарата важен: модель с поддержкой 4G VoLTE, пусть даже предельно простая в обращении, лучше устройства, застрявшего в 2G. Французские операторы, к слову, уже начали поэтапное отключение 2G и 3G к концу десятилетия, что сделает этот вопрос неактуальным, — но мы к этому ещё не пришли.
Другие рефлексы, которые остаются в силе
Отключение 2G убирает самый распространённый вектор проникновения. Но дальнейшая часть аферы не меняется: сообщение хочет, чтобы вы кликнули по ссылке и ввели свои учётные данные. Поэтому классические меры защиты полностью сохраняют свою ценность.
- Никогда не пользуйтесь полученной ссылкой. Откройте официальное приложение вашего банка или наберите адрес сами. Одно это правило сводит на нет подавляющее большинство кампаний — с бластером или без.
- Проверяйте по независимому каналу. Звоните по номеру, указанному на обороте вашей банковской карты, а не по тому, что дан в SMS.
- Включите надёжную двухфакторную аутентификацию. Физический ключ безопасности FIDO2 или приложение-аутентификатор лучше кода, присланного по SMS, — именно потому, что SMS-канал и есть слабое звено.
- Обновляйте систему. Ежемесячные патчи безопасности Android и iOS регулярно закрывают уязвимости сетевого стека. Телефон, брошенный производителем, уязвимее — и не только перед бластерами.
- Остерегайтесь второго этапа. SMS редко бывает всей аферой целиком: оно служит затравкой для звонка «фальшивого банковского консультанта» через несколько часов или дней. Именно этот сценарий манипуляции, по наблюдениям Banque de France резко набирающий обороты, обходится жертвам дороже всего.
Для семей, которые хотят формализовать хотя бы минимум цифровой гигиены, бумажный блокнот для паролей, убранный подальше от чужих глаз, парадоксальным образом остаётся вполне защитимым инструментом безопасности для тех, кто не хочет программного менеджера, — при условии, что в нём нет банковских кодов и что он никогда не путешествует в сумке.
Что делать, если вы всё-таки кликнули
Порядок действий важнее их количества.
- Немедленно отключите передачу данных (авиарежим), если подозреваете, что началась загрузка приложения. Бластер может также протолкнуть ссылку на установку вредоносного приложения на Android.
- Смените пароли с другого устройства, начиная с основной почты и банковского кабинета.
- Позвоните в банк по официальному номеру и заблокируйте карту, если вы ввели её данные. Напомним, что согласно денежно-финансовому кодексу неавторизованная операция в принципе должна быть возмещена банком, кроме случаев грубой небрежности с вашей стороны, — отсюда важность быстрого и письменного обращения.
- Сообщите на 33700 по SMS (переслав сообщение) и подайте заявление в полицию. Даже если оператор это сообщение не передавал, сигнал позволяет задокументировать кампанию и заблокировать связанные домены.
- Предупредите тех, кто рядом географически: коллег, соседей, торговцев квартала. Зональная атака бьёт по сообществу, а не по одному человеку.
Официальный портал cybermalveillance.gouv.fr предлагает бесплатное сопровождение и связь с подрядчиками, а service-public.fr подробно описывает процедуру подачи жалобы. Arcep, со своей стороны, регулярно напоминает о каналах сообщения о нежелательных коммуникациях.
О чём эта техника говорит нам на будущее
SMS Blaster знаменует незаметный, но глубокий сдвиг: SMS-мошенничество становится угрозой физической близости. Двадцать лет публику учили, что опасность приходит «откуда-то», с анонимного сервера за рубежом. Здесь она приходит с соседней улицы, из обычной машины, на полчаса.
Отсюда два практических следствия. Во-первых, бдительность больше нельзя целиком делегировать операторам: сетевой фильтр, каким бы совершенным он ни был, не увидит сообщения, которое не проходит через сеть. Во-вторых, настройки аппарата, долго считавшиеся уделом экспертов, становятся первой линией обороны — ровно так же, как защитное закалённое стекло является ею для экрана.
А совет, устойчивый ко всему, не сдвинулся ни на миллиметр: ни один банк, ни одно ведомство, ни одна служба доставки никогда не попросит вас ввести свои учётные данные по ссылке из SMS. Неважно, какой отправитель отображается, неважно, в какой ветке переписки, неважно, какая вышка — настоящая или фальшивая — доставила сообщение.
