Рассылка по контактам: как работает социальная инженерия

Сообщение от знакомого с просьбой срочно перевести деньги — знакомая ситуация? Злоумышленники всё чаще используют ваши контакты, чтобы втереться в доверие и опустошить счета — и ваши, и ваших близких. Эта атака называется рассылкой по контактам, и она работает даже без взлома банковских приложений.

В статье разберём, как мошенники получают вашу адресную книгу, по какому сценарию развивается атака — от первого сообщения до перевода, и какие признаки выдают злоумышленников. Вы узнаете, почему банк не вернёт деньги сразу, что делать, если вы уже перевели средства, и как защитить контакты и деньги заранее. Понимание схемы — первый шаг к тому, чтобы не стать жертвой.

Как мошенники получают ваши контакты

Рассылка по контактам — это атака, при которой злоумышленник использует ваш телефон или адресную книгу, чтобы добраться до ваших денег и до денег ваших близких. В отличие от массовых спам-рассылок, здесь сообщение приходит от знакомого номера или аккаунта, поэтому доверие к нему изначально высокое. Чтобы такая схема сработала, мошеннику нужно получить доступ к вашим контактам — и способов для этого больше, чем кажется.

Основной источник — утечки данных. Базы с номерами телефонов, адресами электронной почты и именами продаются на теневых форумах и в Telegram-каналах. По данным Центробанка, именно украденные персональные данные лежат в основе большинства успешных атак социальной инженерии. Второй канал — вредоносное ПО. Если вы перешли по фишинговой ссылке или установили приложение из непроверенного источника, программа может незаметно скопировать всю адресную книгу и историю переписок. Третий — взлом аккаунта в мессенджере или соцсети: получив доступ к вашему профилю, злоумышленник видит список друзей и может писать им от вашего имени.

Отдельно стоит сказать о сим-картах. По закону на одного человека можно оформить не более 20 сим-карт у всех операторов суммарно. С 1 апреля 2025 года новые номера сверх лимита не оформляют, а с 1 ноября 2025-го лишние будут заблокированы. Если на ваше имя оформлена чужая сим-карта — это готовый инструмент для мошенников: они могут получать коды подтверждения и перехватывать доступ к вашим банковским приложениям. Проверить, какие номера зарегистрированы на вас, можно через Госуслуги. Если обнаружите лишнюю симку — немедленно обратитесь к оператору и в полицию.

Схема атаки: от первого сообщения до перевода

Атака через рассылку по контактам развивается по отработанному сценарию, и каждый шаг рассчитан на то, чтобы вы не успели опомниться. Первый этап — установление доверия. Вы получаете сообщение от знакомого номера: «Привет, это я, срочно нужна помощь» или «Смотри, что нашли на тебя в интернете» — и переходите по ссылке. Ссылка ведёт на поддельную страницу входа в мессенджер или банк, где вы вводите свои данные. Либо вам предлагают установить «обновление» — на самом деле это вредоносное приложение, которое даёт мошенникам доступ к вашим контактам и перепискам.

Второй этап — сбор информации. Злоумышленник изучает вашу переписку, узнаёт имена близких, привычки, финансовое положение. Это позволяет сделать следующее сообщение максимально убедительным. Например, от имени вашего друга или родственника приходит просьба одолжить деньги «до завтра», а следом — голосовое сообщение, сгенерированное нейросетью, которое звучит как настоящий голос знакомого. Третий этап — давление. Вам звонят «из службы безопасности банка» и говорят, что по вашей карте зафиксирована подозрительная операция, и нужно срочно назвать код из SMS, чтобы её отменить. Этот код — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное.

Четвёртый этап — перевод. Мошенники могут попросить перевести деньги на «безопасный счёт», оформить кредит или просто назвать данные карты. Вся схема занимает от нескольких минут до пары часов — этого достаточно, чтобы вывести деньги и запутать следы. Важно понимать: настоящие сотрудники банка никогда не спрашивают коды из SMS, не просят установить приложения и не предлагают перевести деньги на «безопасные счета». Если вы слышите такие просьбы — это мошенники, положите трубку.

Красные флаги в рассылках и звонках

Мошеннические сообщения и звонки почти всегда содержат признаки, по которым их можно распознать до того, как вы совершите ошибку. Первый красный флаг — неожиданная просьба о деньгах или личных данных от знакомого контакта, особенно если она сопровождается срочностью: «только сейчас», «до вечера», «иначе будет поздно». Настоящие друзья и родственники редко просят деньги в таком формате, а если и просят — вы можете перезвонить им по другому номеру и уточнить. Второй флаг — ссылки и вложения в сообщениях. Даже если сообщение пришло от знакомого, его аккаунт мог быть взломан. Не переходите по ссылкам и не открывайте вложения, если не ждали их. Проверьте адрес сайта: мошенники используют домены, похожие на настоящие, но с отличиями в один символ.

Третий флаг — запрос кода из SMS. Код подтверждения — это аналог вашей подписи, и его нельзя называть никому, включая «сотрудников банка». Если вам звонят и просят назвать код — положите трубку. Четвёртый флаг — давление и запугивание. Мошенники играют на эмоциях: «ваш счёт заблокируют», «деньги пропадут», «вы потеряете всё». Настоящий банк никогда не угрожает и не требует немедленных действий. Пятый флаг — просьба установить приложение или перейти по ссылке для «защиты». Легитимные банки не просят устанавливать сторонние приложения для отмены операций или проверки безопасности.

Если вы заметили хотя бы один из этих признаков — остановитесь. Не называйте коды, не переводите деньги, не переходите по ссылкам. Свяжитесь с отправителем по другому каналу (позвоните на его обычный номер) и уточните, действительно ли он писал вам. Если окажется, что аккаунт взломан, предупредите всех в его контактах, что от его имени могут писать мошенники.

Почему банк не вернёт деньги сразу

Когда вы переводите деньги мошенникам, банк не обязан возвращать их мгновенно. По закону о национальной платёжной системе, банк может отказать в возмещении, если вы сами подтвердили операцию — например, назвали код из SMS или ввели его в поддельном приложении. Код из SMS — это аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Это ключевой момент, который мошенники используют: они вынуждают вас «подписать» перевод собственными руками.

Банк также не вернёт деньги, если вы перевели их добровольно — например, на «безопасный счёт» или «для отмены операции». Формально это была ваша воля, и банк не может отменить её задним числом. Исключение — случаи, когда банк не заблокировал заведомо мошеннический перевод, если он был помечен в базе ЦБ. Но даже тогда возврат не происходит автоматически: нужно подать заявление, и банк рассматривает его в течение нескольких дней, а иногда и недель. Если вы перевели деньги на карту другого банка, процесс затягивается: банк-получатель должен заморозить средства, что возможно только после официального запроса.

На практике возврат возможен в двух случаях: если перевод был сделан без вашего подтверждения (например, мошенники взломали приложение) или если банк не выполнил требования по блокировке подозрительных операций. Во всех остальных ситуациях рассчитывать на быстрое возмещение не стоит. Поэтому главная задача — не допустить перевода. Если вы уже перевели деньги, действуйте быстро, но помните: чем больше времени прошло, тем меньше шансов вернуть средства, так как мошенники выводят их на счета дропов или в криптовалюту в течение нескольких минут.

Что делать, если вы уже перевели деньги

Если вы поняли, что стали жертвой мошенников, действуйте по чёткому алгоритму — каждая минута на счету. Первый шаг — заблокируйте карту и доступы. Позвоните в банк по номеру на обратной стороне карты (не по номеру из подозрительного сообщения) и заблокируйте карту, а также смените пароли от интернет-банка и мобильного приложения. Если вы сообщили мошенникам код из SMS — немедленно сообщите об этом в банк, чтобы он попытался отменить операцию.

Второй шаг — подайте заявление в банк. Обратитесь в отделение или напишите в чат поддержки с требованием о возврате средств. Приложите все доказательства: скриншоты переписки, номера телефонов, детализацию звонков. Банк обязан рассмотреть заявление в течение 30 дней (в некоторых случаях — до 60). Третий шаг — обратитесь в полицию. Напишите заявление о мошенничестве (статья 159 УК РФ) в ближайшем отделении. Возьмите талон-уведомление, чтобы зафиксировать факт обращения. Полиция может запросить у банка данные о получателе средств и заблокировать его счёт.

Четвёртый шаг — сообщите в Банк России. Через интернет-приёмную ЦБ можно подать жалобу на банк, если вы считаете, что он не выполнил свои обязательства по блокировке подозрительной операции. Это не гарантирует возврат, но создаёт дополнительное давление на банк. Пятый шаг — предупредите своих контактов. Если мошенники действовали от вашего имени, напишите всем друзьям и родственникам, что ваш аккаунт взломан, и не доверять сообщениям с вашего номера. Шестой шаг — зафиксируйте все детали: время переводов, номера счетов, имена. Эта информация понадобится и банку, и полиции. Не удаляйте переписку — она может стать доказательством.

Как защитить контакты и деньги заранее

Защита от рассылок по контактам начинается с гигиены данных. Не публикуйте в открытом доступе свой номер телефона, адрес электронной почты и тем более паспортные данные. Используйте разные пароли для разных сервисов, включите двухфакторную аутентификацию для банковских приложений и мессенджеров. Регулярно проверяйте, какие устройства имеют доступ к вашим аккаунтам, и отключайте незнакомые.

Проверьте, какие сим-карты оформлены на ваше имя. По закону на одного человека можно оформить не более 20 сим-карт у всех операторов суммарно. С 1 апреля 2025 года новые номера сверх лимита не оформляют, а с 1 ноября 2025-го лишние будут заблокированы. Проверить оформленные на вас номера можно на Госуслугах — если обнаружите чужую симку, немедленно обратитесь к оператору и в полицию. Чужая сим-карта — это не просто неудобство, а готовый инструмент для перехвата кодов подтверждения.

Настройте лимиты на банковских картах: установите суточный лимит на переводы и снятие наличных, отключите операции в интернете, если не пользуетесь ими. Включите уведомления о всех операциях — так вы быстро заметите подозрительную активность. В мессенджерах отключите автоматическое сохранение входящих файлов и не разрешайте приложениям доступ к контактам без необходимости. Установите антивирус на телефон и регулярно обновляйте операционную систему — это снижает риск заражения вредоносным ПО.

Главное правило: если вам пишет знакомый с просьбой о деньгах или данных, перезвоните ему по другому номеру и убедитесь, что это действительно он. Не называйте коды из SMS никому, даже «сотрудникам банка». Если сомневаетесь — положите трубку и перезвоните в банк по официальному номеру. Эти простые действия закрывают 90% схем социальной инженерии, включая рассылки по контактам.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.