«Здравствуйте, служба доставки: ваша посылка 7G42B ожидает в пункте выдачи. Для подтверждения личности просим отправить в ответном SMS 6-значный код выдачи, полученный на этот номер».
Здесь у вас не просят банковскую карту. Вас не отправляют на поддельную страницу банка, не требуют 1,99 € таможенного сбора, не угрожают вернуть посылку отправителю. У вас просят сущую мелочь, почти формальность: шесть цифр. Шесть цифр, которые вы действительно только что получили, которые не похожи на пароль и о назначении которых вы имеете довольно смутное представление.
Именно поэтому схема и работает. Код выдачи в пункте самовывоза — один из немногих повседневных секретов, который никто за секрет не считает. Его показывают на экране продавцу, читают вслух в магазине, полном людей, пересылают супругу, чтобы тот забрал посылку по дороге домой. Мошенники просто поняли, что этот обрывок кода стоит ровно столько же, сколько сама посылка.
Что на самом деле защищает код выдачи
С тех пор как сети пунктов выдачи разрослись — магазины у дома, автоматические постаматы, ячейки на вокзалах и в торговых центрах, — перевозчикам пришлось решать простую задачу: как убедиться, что нужный человек забирает нужную посылку, не требуя каждый раз документ, удостоверяющий личность?
Ответом стал одноразовый код, который отправляют получателю по SMS или электронной почте. Во многих сетях этот код заменяет проверку личности: достаточно его назвать, и посылку выдадут. Некоторые сети дополнительно просят документ, но практика сильно отличается от точки к точке — и именно эта непредсказуемость открывает брешь.
Иначе говоря, код выдачи — вовсе не логистическая мелочь. Это ключ. Тот, у кого он есть, во многих случаях может уйти с посылкой, которая ему не принадлежит: без насилия, без взлома и даже без необходимости долго врать продавцу.
Код выдачи ведёт себя как ПИН банковской карты: он имеет ценность, только пока вы единственный, кто его знает.
Четыре самых частых сценария
1. Фальшивая служба поддержки перевозчика
Самая прямолинейная версия. Вы ждёте посылку и получаете SMS якобы от перевозчика с предлогом для проверки: «неполный адрес», «посылка зависла», «двойная регистрация», «антифрод-контроль». Вас просят отправить код обратно, чтобы «разблокировать» выдачу.
В более изощрённых вариантах после SMS следует звонок. Спокойный голос, профессиональная лексика («маршрут», «хаб», «авторизованный пункт выдачи»), имя, номер обращения. Всё это не стоит мошеннику ровным счётом ничего.
2. Торопливый покупатель на доске объявлений
Вы продаёте вещь. Покупатель уверяет, что оплатил, просит отправить посылку — а потом, когда накладная уже оформлена, требует «трек-номер и код выдачи, чтобы его двоюродный брат забрал посылку вместо него». Платёж при этом так и не прошёл или будет позже оспорен. Вы теряете и вещь, и деньги.
Существует и обратный вариант: вы покупатель, а «продавец» требует у вас полученный код, чтобы «доказать факт доставки» и разблокировать свои деньги. Как только код передан, посылку забирает посторонний, а продавец клянётся, что всё отправил.
3. Посылка, которую вы никогда не заказывали
Этот вариант хитрее. SMS сообщает о посылке, ожидающей вас, и приводит код. Вы ничего подобного не помните, но любопытство делает своё дело. На самом деле мошенник указал ваш номер как контактный при оформлении мошеннического заказа, оплаченного украденными данными. Ему нужен ваш код, чтобы забрать товар, не связывая выдачу со своей личностью. Передав код, вы становитесь видимым звеном чужой аферы.
4. Код, который вовсе не код выдачи
Наконец, существует путаница, которую мошенники старательно культивируют. SMS с 6-значными кодами стали настолько обыденными — вход в аккаунт, подтверждение платежа, двухфакторная аутентификация, — что многие больше не читают ни отправителя, ни текст. Мошенник, пытающийся войти в ваш аккаунт на сервисе доставки, в мессенджере или платёжной системе, позвонит вам под видом «службы доставки» и попросит «код, который вам только что пришёл». Это не код выдачи: это ключ от вашего аккаунта.
Почему эта схема остаётся незамеченной
У классических смишинг-кампаний есть слабое место: в них есть ссылка. Ссылку можно рассмотреть, проанализировать, о ней в итоге сообщат и её заблокируют. Браузеры выводят предупреждения, операторы фильтруют, базы вредоносных доменов обновляются.
Здесь же ссылки зачастую нет вовсе. Только просьба, сформулированная обычным человеческим языком. Ни один технический фильтр не может решить, что SMS с просьбой назвать «6-значный код» мошенническое, ведь десятки легальных сервисов шлют ровно такие же сообщения. Единственная защита — человек.
Добавьте к этому три фактора, играющих против нас:
- Ущерб кажется небольшим. Посылка за 60 € — это не обнулённый банковский счёт. Многие пострадавшие вообще не обращаются в полицию, из-за чего явление статистически невидимо.
- Ответственность размыта. Перевозчик считает, что доставил товар по действительному коду. Платформа отсылает к продавцу. Продавец действительно отправил. Никто не чувствует себя виноватым за возникшую дыру.
- Мы часто в движении. Такие SMS приходят, когда мы идём по улице, ведём машину, находимся на работе. Мы отвечаем быстро, небрежно и не перечитывая. Держать телефон под рукой и заряженным в такие моменты удобно, но у компактного внешнего аккумулятора есть и побочный эффект: вы постоянно на связи, а значит, всегда в положении, когда приходится отвечать второпях. Доступность — это не бдительность.
Сигналы, которые должны остановить ваш палец
SMS такого рода почти всегда содержит хотя бы один из этих признаков:
| Сигнал | Что происходит на самом деле |
|---|---|
| Вас просят отправить обратно код | Ни одному перевозчику не нужен код, который он сам же и сгенерировал |
| Сообщение приходит с мобильного номера (06/07) | Перевозчики используют короткие номера или буквенные имена отправителя |
| Посылку должен забрать третий человек | Доверенность на получение, если она предусмотрена, оформляется в личном кабинете, а не по SMS |
| Посылка вам незнакома | Возможно, ваш номер послужил прикрытием для мошеннического заказа |
| Ссылаются на проверку личности по SMS | Личность проверяют в пункте выдачи, по документу, а не ответным сообщением |
| Указан короткий срок (24 ч, 2 ч, «до закрытия») | Спешка — единственный реальный инструмент мошенника |
Базовое правило всегда одно и укладывается в одну фразу: полученный код никогда и никому не пересылают, под каким бы предлогом ни просили. Ни перевозчику, ни покупателю, ни позвонившему продавцу, ни «технику». Код показывают на стойке выдачи в момент получения — и всё.
Что делать, когда приходит такое SMS
- Не отвечайте. Ни «нет», ни «стоп», ни грубость. Любой ответ подтверждает, что номер активен и принадлежит человеку, который реагирует.
- Проверьте через канал, который выбрали вы сами. Откройте приложение перевозчика или наберите адрес его сайта вручную и посмотрите статус по номеру из письма с подтверждением заказа. Никогда — по полученной ссылке.
- При продаже между частными лицами оставайтесь внутри платформы. Внутренние чаты сохраняют переписку. Покупатель, который хочет увести общение в SMS или мессенджер, очень часто сам себя выдаёт.
- Сообщите о сообщении. Сервис 33700, созданный французскими операторами, позволяет бесплатно переслать мошенническое SMS: вы отправляете сообщение на номер 33700, а затем вторым SMS — номер отправителя. Портал Cybermalveillance.gouv.fr и платформа PHAROS (internet-signalement.gouv.fr) также принимают такие обращения.
- Если вы уже назвали код, немедленно свяжитесь с перевозчиком, чтобы попытаться заблокировать выдачу, и с продавцом или платформой, чтобы открыть спор. Подайте заявление в полицию: даже при небольшой сумме именно это позволяет следователям связать между собой разрозненные дела. Arcep регулярно напоминает, что именно массовые обращения запускают блокировку номеров, используемых в масштабных рассылках.
Сократить площадь атаки ещё до первого SMS
Эта схема держится на очень простых данных: вашем мобильном номере, связанном с текущей доставкой. Чем реже эта связка всплывает, тем меньше вы уязвимы.
- Ограничьте распространение основного номера. Для разовых покупок и продаж между частными лицами вторая выделенная линия — недооценённое решение: предоплаченная SIM-карта без абонентского договора, вставленная в старый аппарат или во второй слот телефона с двумя SIM, изолирует вашу коммерческую переписку. Если на этот номер начнёт валом приходить смишинг, вы поймёте, откуда произошла утечка, — и сможете сменить его, не предупреждая всю родню.
- Не оставляйте коды на виду. Превью уведомлений показывает коды на заблокированном экране, то есть любому соседу в общественном транспорте. Отключить предпросмотр содержимого SMS в настройках — дело тридцати секунд, а защитная плёнка-фильтр конфиденциальности для экрана смартфона не даст прочитать текст сбоку тем, кто много пользуется телефоном на людях.
- Не храните подтверждающие документы где попало. Письма с подтверждением, накладные и номера заказов — это то, чем вы докажете свою добросовестность в случае спора. Локальная резервная копия на зашифрованной USB-флешке или в отдельной папке, отдельно от почтового ящика, который и сам может быть скомпрометирован, убережёт вас от потери всех доказательств разом.
- Делитесь правильными привычками с близкими. Самые уязвимые — те, кому меньше всего комфортно с гаджетами, ведь для них код выглядит простой формальностью. Небольшое практическое руководство по кибербезопасности для пожилых, положенное рядом со стационарным телефоном, или просто фраза на холодильнике — «код из SMS не диктуют никому» — часто работает лучше любого технического фильтра.
Что эта афера говорит о системе
Перехват кода выдачи — не компьютерная уязвимость. Это следствие коммерческого компромисса: чтобы ускорить миллионы выдач в день, службы доставки заменили тяжёлую проверку — документ, удостоверяющий личность, — лёгкой и легко передаваемой. Выигрыш в удобстве реален. А издержки переложили на получателя, который стал хранителем секрета, о ценности которого ему никто не рассказал.
Это тот же механизм, что и с одноразовыми банковскими кодами, кодами двухфакторной аутентификации или подтверждениями входа. Повсюду безопасность теперь держится на единственном правиле, которое мошенникам достаточно заставить вас забыть на время одного сообщения: то, что приходит на ваш телефон, остаётся на вашем телефоне.
Перевозчик, которому нужно проверить вашу личность, сделает это на стойке выдачи. Платформа, которой нужно подтвердить доставку, сделает это в вашем личном кабинете. Добросовестному покупателю ваши шесть цифр не нужны никогда. Как только кто-то их требует, он не пытается вам помочь — он пытается занять ваше место.
