Коротко
Код подтверждения — это ключ, от которого зависит ваша безопасность аккаунта: кто его введёт, тот доказывает, что он — это вы. Мошенники просят его под каким-нибудь предлогом — друг, который «отправил вам код по ошибке», покупатель на Marketplace, который хочет «проверить, что вы реальны», человек, который «нашёл вашего питомца», или фальшивая поддержка. Правило FTC: не сообщайте код подтверждения тому, к кому не обращались первым, — «это мошенничество, каждый раз». Если вы его уже отправили: для WhatsApp сразу зарегистрируйте номер заново с новым кодом из SMS — это выкинет другое устройство; для Google Voice верните свой номер через Google; для почты и соцсетей смените пароль, завершите другие сеансы и проверьте данные для восстановления. Затем предупредите контакты — взломанные аккаунты используют, чтобы просить код у следующего человека.
Почему код — это никогда не «просто код»
Код, присланный вам по SMS, почте или в приложении, — одноразовое доказательство, что вы — это вы. В зависимости от источника он может зарегистрировать ваш WhatsApp на чужом телефоне, создать номер Google Voice, привязанный к вашему телефону, сбросить пароль, подтвердить новый вход или платёж. Поэтому WhatsApp, Google и банки говорят никогда им не делиться — и поэтому настоящая поддержка никогда не просит его зачитать.
Сценарии мошенников
| Что они говорят | Что происходит на самом деле |
|---|---|
| «Извини, я отправил тебе код по ошибке — перешлёшь?» | Это ваш собственный код регистрации WhatsApp, часто его просят со взломанного аккаунта друга. Переслав его, вы переносите свой аккаунт на их телефон |
| Покупатель или «нашедший вашего питомца»: «Мне нужно проверить, что вы реальны» | Они создают номер Google Voice, привязанный к вашему телефону, предупреждает FTC |
| «Поддержка» или «служба безопасности» просит подтвердить код | Настоящая поддержка не просит коды: идёт захват аккаунта |
| «Проголосуй за меня в конкурсе — просто пришли код, который придёт» | «Голос» — это код входа или регистрации для вашего аккаунта |
| «Служба безопасности» вашего банка просит код, чтобы отменить платёж | Код подтверждает платёж или добавляет устройство в ваш банк. Положите трубку и позвоните по номеру на карте |
Если вы уже сообщили код
- WhatsApp: откройте WhatsApp на своём телефоне и зарегистрируйте номер заново с новым шестизначным кодом из SMS. Это выведет из аккаунта все другие устройства. Если мошенник установил неизвестный вам PIN двухшаговой проверки, возможно, придётся подождать, прежде чем можно будет зарегистрироваться без него. Подробнее в WhatsApp взломан.
- Google Voice: FTC отсылает к шагам Google по возврату номера; начать можно со страницы возврата номера в Google Voice.
- Почта, соцсети и другие аккаунты: с доверенного устройства смените пароль, выйдите из других сеансов и проверьте почту и телефон для восстановления, а также правила пересылки. См. где проверить устройства со входом.
- Банковский код: сразу позвоните в банк по номеру на карте и попросите заблокировать платёж или новое устройство.
Предупредите других и разорвите цепочку
- Сообщите контактам через другой канал, что сообщения с вашего аккаунта могут быть не от вас, — взломанный WhatsApp используют, чтобы просить у друзей коды или деньги; по этой схеме работает мошенничество «Мам, это мой новый номер».
- Пожалуйтесь и заблокируйте мошеннический аккаунт в приложении, откуда он пришёл.
- Сообщите о мошенничестве — в США на ReportFraud.ftc.gov; в других странах — в национальную службу по борьбе с мошенничеством.
- Следите за продолжением: тот, у кого есть ваш номер, может пробовать новые коды в ближайшие дни.
Как усложнить кражу кодов
- Включите двухшаговую проверку WhatsApp (Настройки → Аккаунт), чтобы одного кода регистрации было недостаточно, и регулярно проверяйте связанные устройства.
- Используйте приложение-аутентификатор или ключи доступа для почты и важных аккаунтов вместо SMS-кодов.
- Установите PIN-код на голосовую почту — коды, приходящие голосовым звонком, можно прослушать из незащищённой голосовой почты.
- Спросите мобильного оператора о защите от подмены SIM-карты — см. подмена SIM-карты: что делать.
- Вводите код только там, где вы сами начали вход, — в официальном приложении или на сайте, и никогда не зачитывайте его человеку.
Часто задаваемые вопросы
Друг попросил переслать код, который он «отправил по ошибке». Это безопасно?
Нет. Код от вашего собственного аккаунта, а аккаунт друга, скорее всего, взломан. Прежде чем что-либо делать, позвоните другу по известному вам номеру.
Что мошенник может сделать с моим кодом Google Voice?
По словам FTC, создать номер Google Voice, привязанный к вашему телефону, использовать его для обмана других, скрывая свою личность, и пытаться получить доступ к вашим аккаунтам или открыть новые на ваше имя.
Я сообщил код WhatsApp. Как вернуть аккаунт?
Зарегистрируйте номер в WhatsApp заново с новым кодом из SMS — это выкинет другое устройство. Если мошенник установил PIN двухшаговой проверки, возможно, придётся подождать, прежде чем можно будет зарегистрироваться без него.
Можно ли вообще кому-то сообщать код подтверждения?
Только вводя его самостоятельно в официальное приложение или на сайт, где вы сами начали вход. Никогда не сообщайте его человеку — по словам FTC, если вы сообщаете код тому, к кому не обращались первым, это мошенничество каждый раз.
Источники: FTC — мошенничество с Google Voice: как работает схема с кодом подтверждения, Google Voice — вернуть свой номер телефона, Справка WhatsApp — восстановление украденного аккаунта, Справка WhatsApp — как отключить связанное устройство, FTC — ReportFraud.ftc.gov