Смишинг и фишинг: что это и как защититься

Вы получили SMS от «банка» со ссылкой — и через секунду решили: перейти или нет? В этот момент вы стоите перед выбором, который может стоить всех денег на счете. Смишинг и фишинг — это два подвида одного явления: мошенничества, при котором злоумышленники выманивают у вас конфиденциальные данные или деньги. Разница между ними лишь в канале атаки: SMS или email. Но последствия одинаково разрушительны.

Хорошая новость: защита существует, и она проще, чем кажется. вы узнаете, как распознать атаку до того, как она сработает, почему SMS-ловушки опаснее писем и что делать, если вы уже перешли по ссылке. Мы разберем, как мошенники получают ваш номер, почему банк может отказать в возврате и как заставить его вернуть деньги — вплоть до обращения в ЦБ и суд. Главное — действовать быстро и знать свои права.

Смишинг и фишинг: в чём разница атак

Смишинг и фишинг — это два подвида одного явления: мошенничества, при котором злоумышленники выманивают у вас конфиденциальные данные или деньги. Разница — в канале доставки и, как следствие, в психологическом давлении на жертву. Фишинг — это классические поддельные письма на электронную почту со ссылками на фальшивые сайты. Смишинг (от англ. SMS и phishing) — та же схема, но через SMS-сообщения. Вместо длинного письма с логотипом — короткое сообщение, которое приходит в тот момент, когда вы меньше всего этого ждёте.

На практике смишинг опаснее именно своей краткостью. В SMS нет места для подробных объяснений, поэтому мошенники используют ограниченный набор триггеров: «Ваш перевод заблокирован», «С вашего счёта списана крупная сумма», «Вам начислен кэшбэк». Сообщение выглядит как уведомление от банка, потому что подделывается имя отправителя — вместо номера телефона вы видите название кредитной организации. Технически это возможно из-за уязвимостей в протоколах передачи SMS, о которых речь пойдёт ниже.

Ключевое отличие, которое нужно запомнить: фишинг обычно требует от вас перехода по ссылке и ввода данных на сайте-двойнике. Смишинг может сработать без перехода — достаточно, чтобы вы перезвонили по номеру из сообщения или ответили на него. В этом случае диалог ведёт уже живой мошенник, который использует методы социальной инженерии: представляется сотрудником службы безопасности, говорит о подозрительной операции и просит назвать код из SMS. Этот код — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают.

Как мошенники получают номер телефона жертвы

Номер мобильного телефона давно перестал быть просто средством связи — это идентификатор личности, привязанный к банковским счетам, аккаунтам в госуслугах и мессенджерах. Мошенникам не нужно взламывать базы данных банка, чтобы узнать ваш номер. Есть несколько открытых и полулегальных источников, которые они используют для сбора базы рассылки.

Первый источник — утечки данных из интернет-магазинов, сервисов доставки, медицинских клиник и даже государственных порталов. Даже если вы не публиковали номер в открытом доступе, он мог оказаться в базе, которую продали на теневых форумах. Второй — ваш собственный цифровой след: объявления на сайтах вроде «Авито», анкеты на job-порталах, регистрации в Wi-Fi-сетях торговых центров. Третий — социальная инженерия в офлайн: мошенник может позвонить под видом курьера или оператора связи и уточнить номер «для подтверждения заказа».

Отдельный канал — автоматический перебор номеров. Злоумышленники используют программы, которые генерируют последовательности цифр и рассылают сообщения на все номера подряд. Им не нужно знать, что вы клиент конкретного банка: сообщение маскируется под «ваш банк», и если вы не являетесь клиентом этой кредитной организации, вы просто проигнорируете его. Но если совпадёт — вы попались на крючок. Именно поэтому количество спам-сообщений растёт в периоды массовых выплат и налоговых деклараций: мошенники знают, что в это время люди ждут уведомлений от банков и госорганов.

Защита от сбора номера — это не паранойя, а гигиена. Не публикуйте номер в открытых источниках без необходимости, используйте отдельный номер для регистраций на непроверенных сайтах, регулярно проверяйте, какие сервисы имеют доступ к вашим данным. Но даже при идеальной гигиене вы не застрахованы от утечек на стороне компаний, поэтому главная линия обороны — ваша реакция на подозрительное сообщение.

Почему SMS-атака опаснее email-рассылки

Почему смишинг эффективнее фишинга, хотя технически выглядит примитивнее? Причин несколько, и все они связаны с психологией и привычками пользователей. Во-первых, SMS приходит в тот же канал, где вы общаетесь с близкими и получаете рабочие уведомления. Вы доверяете этому каналу больше, чем электронной почте, которая завалена спамом. Во-вторых, сообщение невозможно мгновенно проверить: вы видите его на экране блокировки, и первая реакция — тревога, а не анализ.

В-третьих, SMS-сообщения не фильтруются так жёстко, как письма в почтовых ящиках. Антивирусные программы и спам-фильтры почтовых сервисов научились распознавать фишинговые письма по ссылкам и подозрительным вложениям. С SMS такой защиты нет: сообщение доставляется напрямую на устройство, и единственный барьер — ваш мозг. Мошенники используют это, отправляя сообщения в нерабочее время, когда вы уставшие и менее внимательны.

Четвёртая причина — техническая уязвимость протокола SMS. Подделать имя отправителя (например, отобразить «СберБанк» вместо номера) можно через специальные шлюзы, которые не проверяют подлинность отправителя. Это называется спуфингом, и обычный пользователь не может отличить поддельное сообщение от настоящего. Пятая причина — скорость реакции. На email вы можете ответить через час, когда придёте в себя. SMS требует немедленного действия: «Перезвоните сейчас, иначе счёт заблокируют». Этот искусственный дефицит времени — главное оружие смишеров.

Наконец, SMS открывает путь к двухфакторной аутентификации. Если мошенник узнал ваш номер и перехватил или выманил код подтверждения, он может получить доступ к вашим аккаунтам. Поэтому никогда не называйте код из SMS по телефону, даже если собеседник представляется сотрудником банка. Положите трубку и перезвоните в банк по официальному номеру, указанному на обороте вашей карты.

Сроки подачи заявления в банк после списания

Если вы поняли, что стали жертвой смишинга, и с вашего счёта списаны деньги, действовать нужно быстро, но без паники. Законодательство устанавливает конкретные сроки, в которые вы должны обратиться в банк, чтобы сохранить право на возврат средств. Промедление может стоить вам всех денег, поэтому запомните главное правило: заявление о спорной операции подаётся в течение 24 часов с момента, когда вы узнали о списании.

Этот срок прописан в Федеральном законе № 161-ФЗ «О национальной платёжной системе». Если вы уложились в сутки, банк обязан провести проверку и временно заблокировать спорную сумму. Если вы пропустили срок, банк может отказать в рассмотрении, и вам придётся доказывать свою правоту через суд. На практике лучше не тянуть даже несколько часов: чем раньше вы сообщите о проблеме, тем выше шанс, что деньги ещё не ушли за границу и их удастся вернуть.

Куда обращаться? Есть два пути. Первый — позвонить в контакт-центр банка по номеру, указанному на обороте карты, и заблокировать карту, а затем в течение суток лично посетить отделение и написать заявление. Второй — сразу идти в отделение, если оно работает круглосуточно или находится рядом. В любом случае, зафиксируйте время звонка и имя оператора, с которым вы говорили, — это пригодится, если банк попытается затянуть процесс.

Важно: не удаляйте SMS-сообщение от мошенников и не очищайте историю звонков. Скриншоты сообщений, детализация звонков и выписка по счёту — это доказательства, которые вы приложите к заявлению. Если мошенники звонили вам, запишите номер, с которого был звонок, и время. Эта информация поможет банку и полиции установить злоумышленников.

Когда банк обязан вернуть деньги, а когда откажет

Закон № 161-ФЗ защищает потребителя, но не безусловно. Банк обязан вернуть деньги, если вы действовали добросовестно и не нарушали правила безопасности. Ключевой момент — уведомили ли вы банк о списании в течение 24 часов. Если да, и банк не смог предотвратить операцию, он должен возместить ущерб. Если вы промолчали дольше суток, банк вправе отказать, и тогда вопрос решается в суде.

Вторая причина отказа — ваша собственная неосторожность, которая приравнивается к нарушению договора. Самый частый случай — вы назвали код из SMS мошеннику. Код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. То же самое касается случаев, когда вы сообщили полные реквизиты карты, CVV-код или пароль от интернет-банка. Банк расценит это как грубую небрежность и откажет в возврате.

Третья ситуация — вы сами перевели деньги на счёт мошенника через мобильный банк. Это не кража, а добровольный перевод, и банк не несёт за него ответственности. Вернуть такие деньги можно только через полицию, если удастся найти получателя. Четвёртая — техническая уязвимость на вашей стороне: вы установили вредоносное приложение, которое перехватывало SMS, и банк докажет, что вы нарушили правила использования устройства.

Чтобы повысить шансы на возврат, сразу после обнаружения списания заблокируйте карту и напишите заявление. Сохраняйте все доказательства: SMS, детализацию звонков, скриншоты переписки. Если банк откажет, вы имеете право обратиться в ЦБ и суд. Но помните: чем быстрее вы заявите о проблеме, тем меньше у банка оснований для отказа.

Пошаговое заявление в банк и пакет документов

Заявление о спорной операции — это официальный документ, от которого зависит, вернут ли вам деньги. К нему нужно отнестись серьёзно: собрать полный пакет документов и заполнить форму без ошибок. Ниже — пошаговая инструкция, которая поможет вам пройти процедуру быстро и без нервов.

1. Заблокируйте карту. Сделайте это сразу после обнаружения списания — через мобильный банк или звонок в контакт-центр. Зафиксируйте время блокировки.
2. Соберите доказательства. Сделайте скриншоты SMS от мошенников, сохраните детализацию звонков, распечатайте выписку по счёту за последние несколько дней. Если мошенники звонили — запишите номера и время звонков.
3. Придите в отделение банка. Возьмите паспорт и карту (если она не заблокирована). Попросите бланк заявления о несогласии с операцией. Если сотрудник предлагает заполнить форму на месте — не отказывайтесь, но обязательно получите копию с отметкой о принятии.
4. Заполните заявление. Укажите дату и время спорной операции, сумму, номер карты, а также обстоятельства: что вы получили SMS, перешли по ссылке или назвали код. Чем подробнее опишете, тем лучше. Не пишите «меня обманули» — опишите конкретные действия.
5. Приложите документы. К заявлению приложите копию паспорта, скриншоты SMS, детализацию звонков. Сделайте копию заявления и попросите сотрудника поставить отметку о принятии с датой и подписью.
6. Получите письменный ответ. По закону банк обязан ответить в течение 30 дней (по трансграничным переводам — 60 дней). Требуйте письменный ответ — он понадобится для жалобы в ЦБ или для суда. Если ответ не пришёл в срок, это основание для обращения в ЦБ.

Если вы не можете лично прийти в отделение, некоторые банки принимают заявления через мобильный банк или по электронной почте. Но в этом случае обязательно сохраните подтверждение отправки и ответ банка. В спорных ситуациях личный визит с отметкой на копии — самый надёжный способ.

Как оспорить отказ банка в возврате средств

Отказ банка в возврате средств — не приговор. У вас есть несколько уровней обжалования, и начинать нужно с самого простого. Первый шаг — письменная претензия в сам банк. Если вы уже получили письменный отказ, составьте новое заявление с требованием пересмотреть решение. Приложите все доказательства, которые у вас есть, и сошлитесь на пункт 16 статьи 9 закона № 161-ФЗ, который обязывает банк возмещать ущерб, если он не был уведомлён в течение 24 часов.

Второй шаг — жалоба в Центральный банк России. Это регулятор, который контролирует деятельность кредитных организаций. Подать жалобу можно через интернет-приёмную на сайте ЦБ или письмом по почте. В жалобе укажите номер вашего заявления, дату отказа, приложите копию ответа банка и все доказательства. ЦБ рассмотрит жалобу в течение 30 дней и, если найдет нарушения, предпишет банку устранить их. На практике жалоба в ЦБ часто работает: банки не хотят портить отношения с регулятором.

Третий шаг — суд. Это крайняя мера, но именно она позволяет взыскать не только сумму списания, но и проценты за пользование чужими деньгами, а также компенсацию морального вреда. Подавайте иск по месту вашего жительства или по месту нахождения банка. В иске ссылайтесь на закон о защите прав потребителей и 161-ФЗ. Суды в большинстве случаев встают на сторону добросовестных клиентов, если те действовали без грубой неосторожности.

Важный нюанс: не пропускайте сроки. На обжалование отказа банка у вас есть один год с момента, когда вы узнали о нарушении своих прав. Чем дольше вы тянете, тем сложнее будет доказать, что вы действовали добросовестно. Если вы не уверены в своих силах, обратитесь к юристу, специализирующемуся на банковских спорах, — консультация на старте сэкономит вам нервы и деньги.

Что сделать сразу после перехода по ссылке

Вы перешли по ссылке из SMS и поняли, что это была ловушка. Первые минуты решают всё: если вы ещё не ввели данные, вы можете предотвратить кражу. Если ввели — нужно действовать по чёткому алгоритму, чтобы минимизировать ущерб. Не паникуйте и не пытайтесь «проверить» сайт повторно — это только увеличит риск заражения устройства.

1. Отключите интернет. Переведите телефон в авиарежим или отключите мобильные данные и Wi-Fi. Это остановит передачу данных между вашим устройством и сервером мошенников, если вредоносное ПО уже начало работать.
2. Не вводите никакие данные. Если вы ещё не ввели номер карты, код из SMS или пароль — не делайте этого. Закройте вкладку браузера и не возвращайтесь на этот сайт.
3. Проверьте устройство на вредоносное ПО. Запустите антивирусное сканирование. Если на телефоне установлено подозрительное приложение, которое вы не скачивали, удалите его немедленно.
4. Смените пароли. Если вы вводили пароль от интернет-банка или почты, смените его с другого устройства (компьютера или телефона, который не был заражён). Используйте сложный пароль, который вы не применяли ранее.
5. Заблокируйте карту. Даже если вы не вводили данные карты, но подозреваете, что могли — заблокируйте её через мобильный банк или звонок в контакт-центр. Это займёт минуту, но спасёт ваши деньги.
6. Позвоните в банк. Сообщите о случившемся. Если вы ввели данные карты, попросите перевыпустить карту. Если вы назвали код из SMS — обязательно сообщите об этом, чтобы банк знал, что операция могла быть мошеннической.
7. Сохраните доказательства. Сделайте скриншот SMS и подозрительного сайта, если он ещё открыт. Эта информация пригодится для заявления в банк и полицию.

После выполнения этих шагов внимательно следите за движением средств по счёту в течение нескольких дней. Если увидите подозрительные списания — немедленно сообщите в банк. Помните: мошенники могут использовать ваши данные не сразу, а через несколько дней, когда вы успокоитесь и потеряете бдительность.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.