Могут ли мошенники перехватывать СМС: способы и защита

Код из СМС — это аналог вашей подписи. Назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Но могут ли мошенники перехватывать СМС без вашего ведома? Да, технически это возможно: через вирусы на телефоне, подмену SIM-карты или уязвимости оператора. Однако на практике 9 из 10 краж происходит проще — вас просто обманывают по телефону. Сотрудники банка или ЦБ никогда не просят коды из СМС, CVV/CVC и данные карты, не предлагают перевести деньги на «безопасный счёт» — такого счёта не существует. Любой такой звонок — мошенничество. А с 25 июля 2024 года действует закон: если банк пропустил перевод на счёт из базы мошеннических операций ЦБ, он обязан вернуть вам деньги в течение 30 дней. Разберём, как именно перехватывают СМС и как защититься.

Почему мошенникам выгодно перехватывать СМС

СМС-сообщения от банка — это ключ к вашему счёту. Код подтверждения из сообщения является аналогом вашей подписи: назвав его постороннему, вы самостоятельно подтверждаете операцию, после чего банк вправе не возмещать похищенные средства. Именно поэтому перехват СМС стал основной целью мошенников: получив контроль над сообщениями, злоумышленник может подтверждать переводы, менять пароли в онлайн-банке и оформлять кредиты без вашего ведома.

Сценарий атаки выглядит так: жертве звонят якобы из банка, сообщают о подозрительной операции и просят назвать код из СМС для её отмены. Если жертва диктует код, мошенник мгновенно получает доступ к управлению счётом. Однако более опасный вариант — когда злоумышленник перехватывает СМС технически, без участия жертвы. В этом случае он может совершать операции даже в то время, когда вы спите, а вы узнаете о списании только по выписке.

По данным опросов, до 40% случаев мошенничества с банковскими картами начинаются с компрометации СМС-подтверждений. Мошенники не взламывают банковские системы — они атакуют самое уязвимое звено: канал связи между банком и вашим телефоном. Поэтому понимание того, как происходит перехват, — первый шаг к защите денег.

Как технически возможен перехват СМС-сообщений

Существует несколько способов перехвата СМС, и все они основаны на уязвимостях сети или устройства. Подмена SIM-карты (SIM-swap) — злоумышленник получает дубликат вашей SIM-карты у оператора связи, предъявив поддельную доверенность или используя утечку паспортных данных. После активации дубликата все СМС приходят на телефон мошенника, а ваш телефон теряет сеть. Вы замечаете пропажу связи, но пока перевыпускаете SIM, злоумышленник успевает вывести деньги.

Перехват через SS7 — протокол, по которому работают мобильные сети, имеет уязвимости, позволяющие перенаправлять СМС на другой номер. Этот метод технически сложен и обычно используется против состоятельных целей или при доступе к оборудованию оператора. Массово такие атаки редки, но исключать их нельзя.

Вредоносное ПО на телефоне — трояны, маскирующиеся под приложения, читают все входящие СМС и пересылают их мошенникам. Чаще всего заражение происходит через установку приложений из неофициальных источников или переход по фишинговым ссылкам. После заражения злоумышленник видит коды подтверждения в реальном времени, не отвлекая жертву звонками.

Фишинг и социальная инженерия — самый массовый способ. Жертву обманом заставляют установить приложение удалённого доступа (например, AnyDesk или TeamViewer) или перейти по ссылке, где она вводит логин и пароль от банка. После этого мошенник инициирует операцию, а код из СМС жертва сама диктует ему под предлогом «отмены операции».

Ваши законные права и инструменты защиты

Законодательство даёт клиентам банков несколько важных инструментов защиты. Согласно ФЗ-161 (в редакции 369-ФЗ, действующей с 25 июля 2024 года), банк обязан на два дня приостанавливать переводы на счета, которые находятся в базе мошеннических операций Центрального банка РФ. Если банк пропустил такой перевод, он обязан вернуть клиенту деньги в течение 30 дней. Это правило работает, даже если вы сами подтвердили операцию под влиянием обмана.

Однако есть важное условие: вы должны вовремя сообщить банку о несанкционированной операции. По закону на это даётся один день с момента, когда банк уведомил вас о списании. Если вы не уведомили банк в срок, ответственность за потерю денег ложится на вас. Поэтому при любом подозрении на перехват СМС немедленно звоните в банк — даже если не уверены, что операция прошла.

Кроме того, вы имеете право требовать от оператора связи блокировки вашего номера при утере SIM-карты или подозрении на SIM-swap. Оператор обязан заблокировать номер по вашему заявлению в течение нескольких часов. Также вы можете установить запрет на перевыпуск SIM-карты без личного присутствия — для этого напишите заявление в офисе оператора.

Как настроить защиту: пошаговая инструкция

Шаг 1. Отключите СМС-подтверждение для всех операций, где это возможно. В настройках интернет-банка переключитесь на push-уведомления в приложении банка. Push-уведомления приходят только на ваше устройство, их сложнее перехватить, чем СМС. Если банк не позволяет полностью отказаться от СМС, используйте двухфакторную аутентификацию через приложение-аутентификатор (Google Authenticator, Яндекс.Ключ).

Шаг 2. Установите PIN-код или биометрию на SIM-карту. Это не даст злоумышленнику использовать вашу SIM-карту в другом телефоне. На iPhone: «Настройки» → «Сотовая связь» → «PIN-код SIM». На Android: «Настройки» → «Безопасность» → «Блокировка SIM-карты». PIN-код запросите у оператора или установите самостоятельно (стандартный PIN — 0000 или 1234, его нужно сменить).

Шаг 3. Запретите удалённый перевыпуск SIM-карты. Обратитесь в офис оператора связи и напишите заявление о запрете любых действий с номером без вашего личного присутствия и паспорта. Некоторые операторы позволяют установить кодовое слово для обращения в поддержку — используйте эту опцию.

Шаг 4. Установите антивирус на телефон и не устанавливайте приложения из непроверенных источников. Регулярно проверяйте список установленных приложений — если видите незнакомое, удалите его. Не переходите по ссылкам из СМС от неизвестных отправителей.

Первые действия при подозрении на перехват СМС

Если вы заметили, что СМС от банка перестали приходить, телефон потерял сеть, а на экране появилось сообщение «Нет сети» или «Только экстренные вызовы» — это тревожный сигнал. Возможно, вашу SIM-карту перевыпустили мошенники. Первое действие: немедленно позвоните оператору связи с другого телефона и попросите заблокировать ваш номер. Назовите паспортные данные и кодовое слово, если оно установлено.

Второе действие: позвоните в банк по номеру на обратной стороне карты (не по ссылкам из СМС) и сообщите о возможной компрометации номера. Попросите заблокировать все карты и установить временный запрет на онлайн-операции. Банк может также установить дополнительную проверку по голосовому подтверждению.

Третье действие: проверьте выписку по счетам. Если вы видите операции, которых не совершали, немедленно оспорьте их. Напишите заявление о несогласии с операцией в отделении банка или через мобильное приложение. Сохраните скриншоты СМС (если они ещё есть) и историю звонков — это пригодится для разбирательства.

Четвёртое действие: смените пароли от всех сервисов, где использовался этот номер телефона для восстановления доступа: почта, соцсети, госуслуги. Если мошенники получили доступ к СМС, они могут восстановить пароль от любого аккаунта, привязанного к номеру.

Куда обращаться: банк, полиция, оператор, ЦБ

При перехвате СМС и потере денег вы должны действовать по цепочке. Банк — первая инстанция. Позвоните на горячую линию (номер на карте) и заблокируйте карты. Затем в течение одного дня (лучше — в первые часы) подайте письменное заявление о несогласии с операцией. Банк обязан рассмотреть его в течение 30 дней. Если банк отказывает в возврате, требуйте письменный ответ с обоснованием.

Полиция — если деньги списаны, обратитесь в отдел МВД по месту жительства с заявлением о мошенничестве (ст. 159 УК РФ). Возьмите с собой паспорт, выписку по счёту, скриншоты СМС и детализацию звонков. Заявление обязаны принять, даже если сумма небольшая. Получите талон-уведомление о регистрации заявления.

Оператор связи — подайте заявление о факте перехвата СМС (SIM-swap или сбой в сети). Оператор может предоставить детализацию событий с вашим номером, которая поможет в расследовании. Если оператор допустил перевыпуск SIM без вашего согласия, вы можете потребовать компенсацию через суд.

Центральный банк РФ — если банк отказался возвращать деньги, подайте жалобу через интернет-приёмную ЦБ (cbr.ru). ЦБ рассмотрит жалобу в течение 30 дней и может обязать банк пересмотреть решение. Также можно обратиться в Роскомнадзор, если оператор связи нарушил ваши права.

Способы защитить деньги, если СМС скомпрометированы

Если вы подозреваете, что СМС перехвачены, но деньги ещё не украдены, действуйте превентивно. Смените номер телефона, привязанный к банку. Закажите новую SIM-карту с другим номером и перевыпустите все карты на новый номер. Старый номер заблокируйте у оператора. Это радикальный, но самый надёжный способ.

Включите лимиты на операции. В мобильном банке установите суточный лимит на переводы (например, 10 000–50 000 рублей) и запретите операции без подтверждения. Даже если мошенник получит код, он не сможет перевести сумму выше лимита. Также отключите возможность онлайн-кредитования, если банк это позволяет.

Используйте отдельный счёт для крупных сумм. Храните основные средства на счёте, к которому не привязан номер телефона (например, депозит или накопительный счёт без карты). На карту для повседневных трат держите небольшую сумму — не более 50 000–100 000 рублей. Даже если СМС перехватят, злоумышленник получит доступ только к этим деньгам.

Подключите уведомления по всем операциям. Настройте push-уведомления в приложении банка и дублирование на email. Если СМС перехвачены, вы всё равно увидите операцию в приложении или на почте и сможете быстро среагировать.

Краткий итог: трёхуровневая защита от перехвата СМС

Защита от перехвата СМС строится на трёх уровнях, которые должны работать одновременно. Первый уровень — технический. Отключите СМС-подтверждение там, где это возможно, используйте push-уведомления и аутентификаторы. Установите PIN на SIM-карту и запретите её удалённый перевыпуск. Не устанавливайте подозрительные приложения и держите антивирус включённым.

Второй уровень — поведенческий. Никогда и никому не называйте коды из СМС, даже если звонящий представляется сотрудником банка или ЦБ. Настоящие сотрудники банка никогда не спрашивают коды подтверждения, CVV/CVC и данные карты, а также не предлагают перевести деньги на «безопасный счёт» — такого счёта не существует. Любой такой звонок — мошенничество: кладите трубку и звоните в банк сами.

Третий уровень — финансовый. Держите основные средства на счетах, не привязанных к номеру телефона. Установите суточные лимиты на переводы и отключите онлайн-кредитование. При малейшем подозрении на перехват — немедленно блокируйте карты и меняйте номер. Помните: закон даёт вам один день на уведомление банка о несанкционированной операции, и только тогда вы сможете рассчитывать на возврат денег.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.