Метод аутентификации, при котором пользователю необходимо подтвердить вход с помощью одноразового кода, принято называть OTP (One Time Password). В основу любого OTP заложен принцип, согласно которому генерируемый в SMS пароль должен быть действителен только для одной сессии.
С одной стороны это многократно повышает устойчивость онлайн-ресурсов к атаке в сравнении с традиционными статическими паролями. С другой стороны, повсеместное введение OTP привело к тому, что в последнее время пользователи стали массово сталкиваться с SMS-ками, приходящими на телефон без соответствующих запросов. Как защититься от таких запросов и в каких случаях бить тревогу?
Утечка паролей
Первая причина, почему на ваш телефон могут приходить SMS, требующие код подтверждения — это утечка или кража паролей. Одним из наиболее известных методов, которым пользуются злоумышленники для этих целей, является метод так называемой брутфорс-атаки.
Используя систематический перебор всех возможных комбинаций символов с помощью методов криптографии, хакеры подбирают пароль и крадут данные аккаунта. После этого найденную комбинацию с помощью специальных скриптов проверяют на всех возможных сайтах.
Беспечные пользователи часто грешат тем, что используют один и тот же пароль на разных ресурсах. В результате часто становятся жертвами угона сразу нескольких своих аккаунтов, а из тех сервисов, где данные были дополнительно защищены двухфакторной аутентификацией, на телефон начинают лететь множественные SMS-ки.
Как защититься?
Не использовать одинаковый пароль на разных ресурсах. В случае получения SMS из тех сервисов, где вы точно зарегистрированы, в первую очередь следует авторизоваться там со своими данными и сразу же изменить пароль на более надежный.
При составлении нового пароля избегать простых последовательностей и распространенных символов, не использовать даты рождения и клички животных, а также помнить, что чем длиннее ваш пароль, тем надежнее он защищен. После этого не помешает также проверить его надежность с помощью одного из специальных сервисов. Более подробно о том, как это сделать, читайте в одном из наших прошлых материалов.
Создание баз номеров
Другой возможный сценарий, после которого пользователи начинают получать каскад из SMS-ок — это сбор информации. Работает схема следующим образом. Злоумышленники запускают специальный скрипт, который прогоняет случайные номера телефонов по разным сервисам, отправляя запросы на восстановление пароля. Если в систему приходит ответ, что на вбиваемый номер был отправлен код безопасности, скрипт понимает, что пользователь зарегистрирован на проверяемом сайте, и его номер вносится в базу. Остальные номера отсеиваются.
В дальнейшем такие базы могут использоваться брокерами данных в рекламных целях или для других видов агрессивного маркетинга. Например, если скрипт «разведал», что вы являетесь пользователем какого-то определенного интернет-магазина, на следующий день вы можете внезапно получить «Вау-предложение» из ресурса со схожей тематикой. То же самое касается звонков от псевдосотрудников банков, которые, получив информацию о вашей причастности к определенной финансовой системе, уже на следующий день могут попытаться выманить у вас данные ваших платежных карт.
Как защититься?
К сожалению, защититься от такой SMS-атаки практически невозможно. Единственный совет — установить на телефон один из сервисов для проверки входящих звонков, блокировать любые сомнительные предложения в мессенджерах и ни в коем случае не передавать коды безопасности третьим лицам. В противном случае вы рискуете стать жертвой мошенников.
Мошеннические схемы с получением займа
Что делать, если если вы никогда не регистрировались в сервисе, а SMS с него все равно летят нескончаемым потоком? Если вы впервые видите название сервиса, с которого пришло SMS с кодом безопасности, значит кто-то пытается создать новый аккаунт на ваш номер телефона. Повезет, если кто-то вбил ваш номер по ошибке. Такое одноразовое сообщение можно просто проигнорировать. Но если вы начали получать целый поток SMS, скорее всего это дело рук мошенников.
Действуют обычно следующим образом. Сначала злоумышленники приобретают слитую базу с номерами телефонов и паспортными данными. Купить такую базу в интернете сегодня — не проблема. Затем номера телефонов регистрируют в десятках различных сервисов. Но нужно это лишь для маскировки и отвода глаз. Настоящая же цель злодеев — зарегистрировать жертву на сайтах микрофинансовых организаций, поддерживающих подтверждение аккаунта с помощью кода безопасности из SMS.
После этого с жертвой связываются посредством любого из мессенджеров и входят в доверие. Мошенники могут представиться такими же потерпевшими от SMS-бомбинга или работниками службы безопасности МФО, заметившими подозрительную активность. Это уже не так важно. В любом случае вам пообещают быстро во всем разобраться. Целью же такой переписки является получить от вас скрин экрана страницы с входящими сообщениями, где среди всего прочего находится заветный код доступа на сайт МФО.
Напуганного человека проще застать врасплох, поэтому как правило, ничего не подозревающая жертва отправляет нужную информацию мошеннику, а дальше все происходит, как по нотам. Злоумышленники оформляют кредит и испаряются. Реальные деньги из МФО уходят на карту мошенника, а жертву впоследствии ждут звонки сначала из МФО, а потом и из коллекторской компании с «просьбами» погасить долг.
Конечно, большую сумму займа таким способом оформить на жертву вряд ли получится. В крупных МФО каждая заявка на получение займа проходит специальную скоринговую систему, которая включает в себя антифрод-модель. Чего не скажешь о более мелких компаниях, некоторые из которых до сих пор позволяют оформить небольшой микрозайм по одному документу.
Как защититься?
Не поддаваться панике и никогда не пересылать скриншоты незнакомцам. Несмотря на то что у многих людей сегодня уже выработался иммунитет на отправку кодов безопасности из SMS, в данной схеме механизм обмана выглядит хитрее прочих. Мошенники не просят отправить им коды, а просят прислать лишь скрин страницы с SMS. К сожалению, многие сервисы отправляют SMS, в которых код «зашит» в самом начале сообщения, поэтому его можно увидеть даже на экране предпросмотра, не заходя внутрь самой SMS-ки.
