Мошенники придумали, как красть аккаунты без кода из SMS — через последние цифры входящего звонка

Мошенники освоили новый способ кражи аккаунтов: вместо кода из SMS они просят жертву назвать последние цифры номера, с которого только что поступил звонок. Схему выявили эксперты центра мониторинга Solar AURA (ГК «Солар»). Уловка работает потому, что люди уже привыкли не называть коды из сообщений, а вот цифры с незнакомого номера кажутся им безобидными.

Мошенник пишет жертве в мессенджере или соцсети, например, предлагает записаться на маникюр, фотосессию или консультацию. Разговор выглядит естественно: обсуждаются дата, время, цена. В какой-то момент собеседник говорит, что сейчас перезвонит для уточнения деталей. На телефон жертвы действительно поступает звонок с незнакомого номера, который почти сразу сбрасывается.

Дальше мошенник возвращается в переписку и просит назвать последние две или четыре цифры только что звонившего номера — якобы для подтверждения записи. Если человек их называет, его аккаунт тут же уводят. Под угрозой, профили на маркетплейсах, почтовые ящики, мессенджеры и любые другие сервисы, где настроен вход через звонок.

Причина в технологии Flash Call. Многие российские сервисы перешли с SMS-кодов на подтверждение через входящий звонок: система автоматически звонит пользователю, а паролем служат последние цифры номера. Для бизнеса это дешевле SMS в 5–10 раз. Технологию используют сотни сайтов и приложений: интернет-магазины, службы доставки, банковские сервисы.

Мошенники научились этим пользоваться. Они одновременно запускают авторизацию на нужном сервисе, указывая номер жертвы, и тут же выманивают у неё нужные цифры в переписке. Весь процесс занимает секунды. Жертва думает, что просто подтверждает запись к мастеру, а на самом деле передаёт одноразовый пароль.

Сергей Полунин, руководитель группы защиты инфраструктурных IT-решений компании «Газинформсервис», пояснил ТАСС:

Звонок, это тот же код, просто в другой упаковке. Последние цифры номера работают ровно как SMS-код, и передавать их кому-то, то же самое, что диктовать пароль.

Опасность данной схемы заключается в её кажущейся простоте. Запись к мастеру через мессенджер, привычное действие для миллионов людей. Никакого «сотрудника службы безопасности» или «следователя», просто вежливый собеседник, который просит безобидную мелочь. Контекст усыпляет бдительность, и человек не задумывается, зачем кому-то цифры с чужого номера.

Правило простое: последние цифры входящего звонка, это пароль, точно такой же, как код из SMS. Если кто-то просит их назвать в переписке или по телефону, это попытка украсть аккаунт, какой бы правдоподобной ни выглядела причина. Не называйте эти цифры никому и ни при каких обстоятельствах.