Фишинг и социальная инженерия: что это и как защититься

Мошенники не взламывают банковские системы — они взламывают людей. Фишинг и социальная инженерия — это инструменты, которые превращают вашу доверчивость в их доход. Звонок «из службы безопасности», письмо «от налоговой» или сообщение «от друга» с просьбой занять денег — всё это сценарии, написанные для того, чтобы вы сами совершили нужное им действие.

Хорошая новость: закон на вашей стороне. Банк обязан ответить на заявление о спорной операции в течение 30 дней, а коллекторы не имеют права звонить чаще раза в сутки. Знание этих правил — ваша страховка. В этом материале разберём, как распознать манипуляцию, куда жаловаться на нарушителей и какие права есть у вас по закону.

Фишинг и социальная инженерия: в чём разница

Фишинг и социальная инженерия — не синонимы, хотя в повседневной речи их часто смешивают. Социальная инженерия — это более широкое понятие: совокупность психологических приёмов, которыми злоумышленник манипулирует человеком, чтобы тот сам раскрыл данные, перевёл деньги или совершил нужное действие. Фишинг — одна из самых распространённых технических реализаций социальной инженерии. Это массовая рассылка поддельных сообщений от имени банков, госорганов, маркетплейсов или операторов связи с целью выманить логин, пароль, код из SMS или данные карты.

Ключевое различие — в канале и способе воздействия. Фишинг всегда опирается на подделку: фальшивый сайт, зеркало страницы входа, письмо с логотипом банка. Жертва думает, что взаимодействует с легитимным сервисом, и потому вводит данные. Социальная инженерия может обходиться без каких-либо подделок: достаточно телефонного звонка, где «сотрудник службы безопасности» голосом, имитирующим тревогу, убеждает «спасти» деньги, переведя их на «безопасный счёт». В этом случае нет ни фальшивого сайта, ни письма — есть только психологическое давление и срочность.

На практике схемы пересекаются. Звонок мошенника часто завершается отправкой фишинговой ссылки в мессенджер. Или наоборот: человек переходит по ссылке, вводит код из SMS, а через минуту ему звонит «поддержка» и просит подтвердить ещё одну операцию. Понимание разницы важно не для академического интереса, а для выработки защиты: против фишинга работают технические меры — проверка адреса сайта, двухфакторная аутентификация, антивирус. Против социальной инженерии технические меры почти бессильны, потому что атака направлена на эмоции и доверие. Единственная надёжная защита — правило: никто и никогда не имеет права спрашивать у вас код из SMS. Назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное.

Как мошенники заставляют перевести деньги

Схема почти всегда строится на трёх китах: авторитет, срочность и секретность. Злоумышленник представляется сотрудником банка, полиции, ФСБ или «Центробанка» — то есть фигурой, которой принято доверять и подчиняться. Затем создаётся искусственный дефицит времени: «сейчас мы заблокируем счёт», «через 10 минут мошенники спишут все деньги», «перевод нужно сделать до закрытия отделения». И наконец — запрет советоваться: «ни в коем случае не сообщайте об этом родственникам, это секретная операция».

Дальше жертву подводят к переводу через серию «подтверждений». Сначала просят назвать код из SMS — якобы для идентификации. Это ключевой момент: код является аналогом вашей подписи. После того как вы его назвали, операция считается подтверждённой вами лично, и оспорить её значительно сложнее. Затем следует просьба установить приложение удалённого доступа или перейти по ссылке на «безопасный счёт». На деле это фишинговая страница или управление вашим устройством в реальном времени.

Отдельная категория — «инвестиционные» схемы, где жертву сначала убеждают в лёгком заработке, а затем просят «пополнить счёт» под предлогом вывода прибыли. Здесь работает не страх, а жадность. Мошенники могут даже выплатить небольшую первую «прибыль», чтобы закрепить доверие. Во всех случаях конечная цель одна — заставить человека самостоятельно инициировать перевод. Поэтому главный совет: если собеседник торопит, требует сохранить разговор в тайне и просит коды или переводы — положите трубку. Настоящий сотрудник банка никогда не спросит код из SMS и не предложит «безопасный счёт». Это маркер мошенничества, который не имеет исключений.

Сроки возврата: когда нужно успеть заявить

Время — главный ресурс пострадавшего. Чем раньше вы заявите о мошенническом переводе, тем выше шанс, что банк успеет заморозить операцию или вернуть деньги. Технически у банка есть законный срок для ответа по заявлению о спорной операции: 30 дней для внутренних переводов и 60 дней для трансграничных. Но это срок ответа, а не гарантия возврата. На практике банк может заблокировать получателя и вернуть средства быстрее, если операция ещё не завершена или деньги не сняты.

Не ждите официального ответа, чтобы действовать. Первое, что нужно сделать в день обнаружения — позвонить в банк по номеру на обратной стороне карты (не по тому, что продиктовал «сотрудник»), заблокировать карту и подать заявление о несогласии с операцией. Сделать это можно в отделении или через мобильное приложение, но обязательно зафиксируйте номер обращения и получите письменный экземпляр заявления с отметкой о принятии. Если банк принимает заявление устно, потребуйте письменную форму — она понадобится для дальнейших жалоб.

Параллельно подайте заявление в полицию — в отделении или онлайн через сайт МВД. Это не просто формальность: без талона-уведомления о принятии заявления банк может отказать в возмещении, сославшись на отсутствие признаков уголовного дела. Также направьте жалобу в Банк России через интернет-приёмную. Даже если ЦБ не вернёт деньги напрямую, его предписание банку часто ускоряет рассмотрение. Запомните: если вы назвали код из SMS, банк вправе считать операцию подтверждённой вами. Поэтому заявление нужно подавать максимально быстро, пока не прошло много времени с момента перевода.

Когда банк обязан вернуть деньги, а когда откажет

Законодательство разделяет ситуации, когда банк обязан возместить похищенное, и случаи, когда он вправе отказать. Ключевой критерий — уведомил ли клиент банк о мошенничестве до списания, и не нарушил ли он сам правила безопасности. Если вы сообщили о потере карты или подозрительной операции до того, как деньги были списаны, и банк не заблокировал её — ответственность на банке. Также банк обязан вернуть средства, если операция была совершена без вашего участия и без подтверждения с вашей стороны, например, при взломе базы данных или использовании скиммингового устройства на банкомате.

Отказ банк выносит, когда операция была подтверждена вами — в том числе кодом из SMS или push-уведомлением. С юридической точки зрения код из SMS — это аналог собственноручной подписи. Назвав его мошеннику, вы сами авторизовали перевод. Банк в этом случае вправе не возмещать похищенное, и суды в большинстве случаев встают на сторону банка, если клиент добровольно передал код. Исключение — если банк не обеспечил надлежащую защиту: например, не предупредил о рисках или допустил утечку данных клиента, которой воспользовались мошенники. Доказать это сложно, но возможно при наличии переписки с банком и записей звонков.

Отдельный случай — переводы, оформленные как кредит. Если мошенники убедили вас оформить кредит и перевести деньги, банк может отказать в возврате, так как вы сами подписали кредитный договор и распорядились средствами. Здесь важно проверить, не была ли навязана страховка или завышена ставка. По закону страхование при кредите добровольное, и вы вправе отказаться от него в период охлаждения 30 дней. Если банк навязывал страховку как условие выдачи — это основание для жалобы в ЦБ, но не для автоматического возврата переведённых мошенникам денег.

Пошаговое заявление в банк и что приложить

Заявление о спорной операции — это официальный документ, от качества которого зависит решение банка. Подавайте его лично в отделении банка, где у вас открыт счёт. Попросите два экземпляра: один останется у вас с отметкой о принятии (дата, входящий номер, подпись сотрудника). Если сотрудник отказывается ставить отметку — отправьте заявление заказным письмом с описью вложения и уведомлением о вручении. Это зафиксирует дату подачи, с которой начнётся отсчёт 30-дневного срока ответа.

В заявлении укажите: дату и время операции, сумму перевода, номер карты или счёта, с которого списаны деньги, и реквизиты получателя, если они известны. Подробно опишите обстоятельства: кто звонил, с какого номера, что говорил, какие данные вы назвали. Если вы передали код из SMS — честно укажите это. Сокрытие факта передачи кода только ухудшит вашу позицию: банк всё равно увидит, что операция была подтверждена, и расценит недостоверные сведения как попытку обмана. Приложите скриншоты переписки, записи разговоров (если делали), детализацию звонков от оператора связи.

К заявлению приложите копию паспорта, талон-уведомление из полиции о принятии заявления (если уже подавали) и письменное требование о возврате средств. Укажите в тексте: «Прошу вернуть денежные средства в размере [сумма] на основании ФЗ-161». Ссылка на закон не обязательна, но дисциплинирует банк. Требуйте письменный ответ: он понадобится для жалобы в ЦБ или для суда. Если банк отвечает устно — зафиксируйте это в заявлении дополнительным пунктом и попросите дать ответ в письменной форме. Срок ответа — 30 дней, по трансграничным переводам — 60 дней. Не пропустите этот срок: если ответ не пришёл, это основание для жалобы в Банк России.

Как оспорить отказ банка и куда жаловаться

Отказ банка в возврате — не приговор. Первая инстанция — Банк России. Подайте жалобу через интернет-приёмную на сайте cbr.ru, приложив копию заявления в банк, письменный ответ банка (или доказательство его отсутствия) и все документы по операции. ЦБ не вернёт деньги напрямую, но он вправе провести проверку банка и выдать предписание. На практике жалоба в ЦБ часто заставляет банк пересмотреть решение, особенно если были процессуальные нарушения: пропущен срок ответа, не дана письменная мотивация отказа, не рассмотрены приложенные доказательства.

Вторая инстанция — финансовый уполномоченный (финомбудсмен). Это досудебный порядок урегулирования споров между банками и клиентами. Обращение к финомбудсмену бесплатно для потребителя и обязательно до подачи иска в суд по суммам до определённого лимита. Финомбудсмен рассматривает спор по существу, запрашивает документы у банка и выносит решение, обязательное для банка. Если решение не в вашу пользу — остаётся суд. Иск подаётся по месту вашего жительства или по месту нахождения банка. В иске требуйте не только возврата суммы, но и процентов за пользование чужими денежными средствами по ст. 395 ГК РФ.

Параллельно с финансовыми инстанциями жалобу можно подать в Роспотребнадзор, если в действиях банка есть признаки нарушения прав потребителя, и в прокуратуру — если есть основания считать, что банк способствовал мошенничеству (например, не заблокировал подозрительный перевод при наличии заявления). Помните: судебная перспектива зависит от того, подтвердили ли вы операцию кодом из SMS. Если да — шансы на возврат невелики. Если нет — банк обязан доказать, что вы нарушили правила безопасности. Собирайте все документы и не пропускайте процессуальные сроки.

Что сделать, чтобы деньги не украли снова

После инцидента первое — смените все пароли: от интернет-банка, почты, Госуслуг и мессенджеров. Если мошенники получили доступ к одному аккаунту, они попробуют использовать его для восстановления доступа к другим. Включите двухфакторную аутентификацию везде, где она доступна, и используйте отдельные пароли для каждого сервиса. Проверьте, не были ли изменены ваши контактные данные в банке: номер телефона, e-mail, адрес. Если мошенники поменяли их, восстановите доступ через отделение банка с паспортом.

Проверьте свою кредитную историю. Через Госуслуги можно бесплатно запросить сведения о том, в каких бюро кредитных историй (БКИ) хранятся ваши данные. Запрос в Центральный каталог кредитных историй Банка России приходит за несколько минут, после чего отчёт запрашивается в каждом из указанных бюро. Это необходимо, чтобы убедиться, что мошенники не оформили на ваше имя кредит или микрозайм. Если обнаружили подозрительные записи — немедленно подайте заявление в банк или МФО, выдавшее заём, и в полицию.

Установите лимиты на операции по карте: суточный лимит на переводы и снятие наличных, запрет на онлайн-операции без подтверждения. Это не остановит мошенника, который действует через вас, но ограничит сумму разового ущерба. Договоритесь с близкими о семейном пароле: если кто-то звонит и представляется «сотрудником банка», вы задаёте вопрос, ответ на который знаете только вы. Настоящий банк такого пароля не знает и не должен его спрашивать. И главное — приучите себя к паузе: любой звонок с требованием перевести деньги, назвать код или установить приложение — это повод положить трубку и перезвонить в банк по официальному номеру. Эта привычка надёжнее любого антивируса.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.