«ПОЗДРАВЛЯЕМ! Ваш номер был выбран путем жеребьевки среди наших лояльных клиентов. Ваш приз (смартфон последнего поколения) забронирован до вечера. Остался 1 экземпляр: https://fidelite-recompense-cadeau.com/lot»
Это сообщение вам не угрожает. В нем нет ни штрафа, ни блокировки счета, ни посылки, застрявшей на таможне. Оно вас поздравляет. И именно это делает его таким опасным: мы все вместе научились не доверять SMS, которые пугают. Но нас никогда не учили не доверять SMS, которые радуют.
Мошенничество с фальшивым розыгрышем — одна из старейших схем в мире смишинга и одна из немногих, которой не нужно выдавать себя за государственную службу, чтобы работать. Она не обязательно крадет ваши банковские учетные данные. Зачастую с точки зрения длительности она делает кое-что похуже: подключает вам регулярное списание, которое вы месяцами не будете замечать.
Почему хорошая новость работает лучше угрозы
У смишинговых кампаний, играющих на страхе — штраф, неудавшаяся доставка, приостановленный счет, — есть недостаток: они вызывают еще и недоверие. Встревоженный человек стремится проверить информацию. Он звонит в банк, спрашивает у близких, вводит название службы в поисковик.
А человек, которому польстили, проверяет иначе. Он проверяет, реален ли приз, а не реален ли отправитель. Все его внимание сосредоточено на предмете награды и никогда — на личности того, кто ее обещает. Это смещение внимания мошенники используют с первых дней телефонного маркетинга, и Cybermalveillance.gouv.fr однозначно относит подобные случаи к разновидностям фишинга: какая бы эмоция ни задействовалась, механизм остается тем же — сбор данных или денег путем обмана.
К этому добавляются три вполне конкретных рычага:
- Искусственный дефицит. «Остался 1 экземпляр», «предложение действует до вечера», «всего 3 победителя». Обратный отсчет отнимает время на размышление — точно так же, как в фальшивых SMS о штрафах.
- Персональное обращение. «Ваш номер был выбран путем жеребьевки» создает иллюзию отбора. В действительности сообщение уходит сразу на десятки тысяч номеров.
- Смехотворная сумма. У вас просят не 500 €, а 1,95 € «за доставку». Сумма слишком мала, чтобы включить настоящую бдительность, — и в этом весь смысл конструкции.
Пять самых распространенных оболочек
Сценарий с подарком раскладывается на довольно устойчивые семейства, которые повторяются из кампании в кампанию.
1. Розыгрыш крупной сети. В SMS упоминается сеть супермаркетов, продавец электроники или очень известный бренд одежды. Приз — подарочный сертификат на 500 € или «таинственная посылка». Аргумент: вы клиент, значит, имеете право на участие.
2. Юбилей бренда. «К нашему 40-летию мы дарим 1 000 призов». Предлог выглядит проверяемым (бренд действительно существует и у него где-то действительно есть юбилей), но на практике проверить его невозможно.
3. Программа лояльности оператора. Сообщение выдает себя за письмо от вашего мобильного оператора и говорит об «истекающих бонусных баллах», которые можно обменять на подарок. Это самая правдоподобная версия, потому что программы лояльности у операторов действительно существуют.
4. Тестирование продукта. «Вы отобраны для бесплатного тестирования нового робота-пылесоса / умной зубной щетки / кофемашины». Достаточно лишь «покрыть расходы на отправку». Этот формат процветает потому, что программы тестирования продуктов тоже существуют — у настоящих потребительских панелей.
5. Промо-возврат средств. Перевернутый вариант: вам ничего не дарят, а возвращают деньги за прошлую покупку. Сообщение имитирует службу поддержки клиентов.
Во всех случаях целевая страница построена по одному скелету: колесо фортуны или анкета удовлетворенности из трех вопросов, анимация выигрыша, затем форма.
Настоящая ловушка — не приз, а форма
Именно здесь мошенничество с подарком отличается от остальных. Цель не всегда в том, чтобы опустошить счет одной операцией. Часто она в том, чтобы вы, сами того не заметив, подписались на автоматически продлеваемую подписку.
Типичный ход событий:
- Вы «выигрываете» на подкрученном колесе (оно всегда останавливается на призе).
- У вас запрашивают фамилию, имя, адрес, дату рождения, e-mail, номер мобильного. Очень много данных, обоснованных «отправкой приза».
- У вас просят 1,95 € или 2,99 € за доставку, оплата банковской картой.
- Совсем мелким шрифтом под кнопкой оплаты: упоминание «премиум»-услуги стоимостью, например, 39,90 € в месяц, с возможностью отмены в любой момент и пробным периодом в 48 часов.
- Приз так и не приходит. А вот месячные списания начинаются.
Сумма 1,95 € — это не цена, а проверка действительности карты. Она подтверждает, что номер, срок действия и код CVV верны, и служит основанием для авторизации последующих списаний.
Бесплатный подарок, который требует банковскую карту, — не подарок. Запрос платежных данных, чтобы «покрыть расходы», — это сигнал остановиться, какую бы сумму ни указывали.
Некоторые варианты вообще не просят карту. Они предлагают «подтвердить по SMS», отправив ключевое слово на короткий платный номер, или ввести полученный код — что запускает подписку на контент-сервис, оплачиваемый через счет оператора. Это исторический механизм SMS+, использованный не по назначению.
Признаки, выдающие сообщение за десять секунд
Еще до того, как открыть ссылку, накапливается несколько зацепок.
| Признак | Что он выдает |
|---|---|
| Ваше имя нигде не упомянуто | Рассылка массовая, а не персональная |
| Отправитель — мобильный номер из 10 цифр | Бренды используют буквенные имена отправителя или короткие номера |
Длинное гибридное доменное имя (fidelite-cadeau-lot-2026.xyz) | Одноразовый домен, созданный под кампанию |
| «Остался 1 экземпляр» | Сфабрикованный дефицит, классический рычаг давления |
| Приз никак не связан с упомянутым брендом | Универсальная заготовка, переиспользуемая из кампании в кампанию |
| Ошибки в диакритике, отсутствие седилей | Зарубежный шлюз рассылки, работающий без диакритических знаков |
| Правила розыгрыша недоступны | Легальный конкурс во Франции их публикует |
Последний пункт — самый надежный с юридической точки зрения. У серьезной промоакции есть регламент, доступный для ознакомления, в нем указан организатор (наименование, адрес), и выдача приза никогда не обусловлена оплатой. DGCCRF регулярно напоминает, что рекламные лотереи не должны вводить потребителя в заблуждение ни относительно его шансов на выигрыш, ни относительно реальных расходов.
И есть безотказная проверка на здравый смысл: а вы вообще участвовали? Нельзя выиграть в игре, в которой вы не регистрировались. Если сообщение не может напомнить, когда и как вы участвовали, значит, никакой игры не было.
Почему именно вы и как они узнали ваш номер
Вопрос всплывает всегда: «Откуда они знают мой номер?» Преобладают три канала.
Утечки данных. Крупные бреши последних лет пустили в оборот файлы с фамилиями, именами, адресами электронной почты, номерами мобильных, а иногда и почтовыми адресами. CNIL регулярно публикует констатацию этого факта. Ваш номер не угадали — его купили.
Прежние розыгрыши, настоящие или фальшивые. Каждая заполненная форма на странице «бесплатного участия» подпитывает перепродаваемые базы. Фальшивый конкурс вчерашнего дня финансирует SMS сегодняшнего.
Случайная генерация. Структура диапазонов французских мобильных номеров общедоступна. Шлюз может механически перебирать миллионы комбинаций, вообще не имея персональных данных.
В первых двух случаях сообщение может содержать ваше имя — что резко повышает его правдоподобность, ничего не доказывая об отправителе. Это то же самое смещение, что и в фальшивых SMS о доставке, где указан точный адрес: данные больше не являются гарантией легитимности.
Конкретные действия, по порядку
Не переходите по ссылке, даже из любопытства. Простого открытия страницы достаточно, чтобы подтвердить активность номера, если ссылка содержит уникальный идентификатор. За любопытство придется платить объемом SMS в последующие недели.
Сообщите на номер 33700. Это официальная французская система сообщений о нежелательных SMS и звонках, поддерживаемая Arcep и операторами. Перешлите сообщение на 33700, затем ответьте на подтверждающее SMS, указав номер отправителя. Услуга бесплатна и действительно способствует блокировке номеров-отправителей.
Сообщите о мошеннической ссылке на Phishing Initiative и оставьте сообщение на cybermalveillance.gouv.fr, если вы взаимодействовали со страницей. Для установленных случаев мошенничества платформа THESEE (service-public.fr) позволяет подать заявление в полицию онлайн.
Проверяйте по официальному каналу. Если в SMS упоминается ваш оператор, ваша торговая сеть или ваш банк, зайдите в установленное на телефоне приложение или позвоните по номеру на обратной стороне карты — но никогда по ссылке. Такой рефлекс проще соблюдать, когда телефон остается работоспособным: сетевое зарядное устройство USB-C избавит от разряженной батареи, которая подталкивает «поторопиться» на умирающем экране.
Не перезванивайте на платные номера. Обратный звонок «для подтверждения приза» на номер, начинающийся с 08, или на короткий номер может тарифицироваться по длительности.
Если вы уже сообщили данные банковской карты
Здесь важнее всего скорость.
- Немедленно заблокируйте карту через ваш банк — в приложении или по экстренному номеру вашего учреждения. Во Франции межбанковский сервер блокировки доступен по номеру 0 892 705 705.
- Потребуйте отмены списания и отзыва авторизации. Неавторизованный платеж должен быть возмещен банком на условиях, предусмотренных монетарным и финансовым кодексом; ACPR и Banque de France регулярно напоминают об этих правилах, в том числе в случаях, когда жертва стала объектом манипуляции.
- Найдите регулярные списания в трех последних выписках: анонимная строка на 39,90 € часто повторяется каждый месяц, не привлекая внимания.
- Подайте заявление и сохраните все: скриншот SMS, URL, время, выписки. Выписка с пометками от руки на датированном блокноте формата A5 прекрасно подойдет, чтобы восстановить хронологию перед сотрудником в отделении.
- Следите за другими своими аккаунтами: тот же e-mail и тот же пароль, использованные где-то еще, — это открытая дверь.
Если списание проходит через счет вашего оператора, оспорьте его в службе поддержки и попросите заблокировать услуги SMS+ и покупки через счет. Такая блокировка бесплатна и действует бессрочно, пока вы сами ее не снимете.
Как защитить самых уязвимых
Фальшивые выигрыши затрагивают все категории людей, но две группы платят дороже: одинокие пожилые люди, для которых персональный контакт имеет социальную ценность, и подростки, которые иногда платят, не осознавая регулярного характера подписки.
Несколько простых мер меняют ситуацию:
- Отключить покупки через счет оператора на линиях несовершеннолетних и уязвимых людей. Это самый эффективный шаг, и он бесплатен.
- Отдать предпочтение карте с обязательной авторизацией или перезаряжаемой предоплаченной карте для покупок в интернете: лимит механически ограничивает ущерб от скрытой подписки.
- Включить фильтр SMS-спама, предлагаемый iOS и Android, и заблокировать отправителя после сообщения о нем.
- Задать рамку для разговора. Практическое руководство по цифровым мошенничествам, оставленное под рукой, с правилом «ни один подарок не оплачивается», работает лучше устного напоминания, забытого через неделю.
- Держать экран читаемым. Значительная часть случайных нажатий происходит из-за торопливого чтения на треснувшем или грязном экране; защитное закаленное стекло не остановит мошенника, но облегчит сомнение, когда вы перечитываете ссылку символ за символом.
Для пожилых людей с кнопочным аппаратом мобильный телефон с большими кнопками тоже упрощает жизнь: меньше приложений, меньше браузеров, меньше поверхностей для атаки — хотя SMS все равно доходит.
Что стоит запомнить
Фальшивый розыгрыш по SMS — не мошенничество второго сорта. Оно просто терпеливее остальных: оно не ищет перевода за десять минут, оно ищет авторизацию на списания, которая продержится год.
Чтобы надежно защититься, достаточно трех фраз:
- Нельзя выиграть в игре, в которой вы не регистрировались.
- Приз, требующий оплаты доставки банковской картой, — не приз.
- Сообщение, которое запрещает думать — «остался 1 экземпляр», «только до вечера», — это сообщение, которое знает, что не переживет размышления.
Остальное — дело привычки. Переслать на 33700 занимает двадцать секунд, заблокировать отправителя — пять, а рассказать об этом окружающим стоит еще меньше. Именно это и снижает отдачу таких кампаний: не более совершенные технологии, а коллективный рефлекс.
