СМС пришло с настоящего номера банка. И это ничего не доказывало

Мужчине позвонил «сотрудник службы безопасности банка». По счёту прошла операция, которой человек не совершал, а до этого кто-то несколько раз пытался войти в интернет-банк. Решение предложили сразу: открыть резервный счёт и перевести деньги туда. Но сначала проверка личности, для неё нужны номер карты, срок действия и три цифры с оборота.

Мужчина не поверил и спросил прямо: а вдруг вы не из банка?

Ответ у собеседника был готов. Чтобы вы не сомневались, сейчас вам придёт сообщение с официального номера банка об открытии резервного счёта.

И оно пришло. С того самого номера, с которого приходят отчёты о платежах и зачислении зарплаты. Внутри было ровно то, о чём говорил собеседник.

Вот это его и убедило.

Рассказ опубликован в августе 2020 года в каталоге «Грабли» на сайте «Финансовой культуры», просветительского проекта Банка России, где люди сами описывают, как попались. Интересен он даже не техникой. Интересен тем, что сомнение здесь возникло и было произнесено вслух, а схема от этого не сломалась.

Сообщение действительно отправил банк

Разбор редакции проекта объясняет фокус, и в нём нет ни взлома, ни подмены номера отправителя.

Мошенник сам оставил на сайте банка заявку на дистанционное резервирование счёта для бизнеса и указал в ней номер телефона своей жертвы. Банк поступил как положено: отправил на этот номер настоящее уведомление, чтобы заявку подтвердили.

Сообщение было подлинным, отправитель настоящим. Подделали смысл, который это сообщение получило в разговоре. Человек услышал «сейчас придёт подтверждение моих слов» и прочитал пришедший текст именно так, хотя текст был о другом.

Редакция добавляет к разбору ещё две вещи. Специальных счетов, на которых прячут деньги от мошенников, не существует, как бы их ни называли: резервный, безопасный, страховой. А чтобы зарезервировать бизнес-счёт через сайт банка, обычно хватает анкеты с именем, телефоном и ИНН.

Проверка была честной, а ответ на неё — организованным

Человек сделал ровно то, что советуют все памятки. Усомнился. Потребовал подтверждения. Не постеснялся спросить в лоб. Дальше выяснилось, что подтверждение можно устроить.

Номер отправителя — тот признак, которому мы привыкли верить без оговорок. С него годами приходят отчёты о платежах и сообщения о зарплате. Он ощущается как канал, которым чужие не пользуются, и в этом ощущении нет ничего глупого: обычно так и есть.

Содержание тоже совпало. В сообщении говорилось о резервировании счёта, потому что заявка на резервирование счёта и была подана. Совпадение слова из трубки со словом на экране закрывает вопрос быстрее любого удостоверения.

И читать было некогда. Разговор идёт, собеседник продолжает говорить, сообщение просматривается краем глаза. Прочитать его целиком означало бы замолчать на минуту, а молчать в таком разговоре неловко.

Отдельно про «никому не сообщайте код»

В том же разговоре собеседник сам предупредил: код из сообщения секретный, называть его нельзя никому. Предупреждение звучит как профессиональная привычка настоящего сотрудника, и после него доверия становится больше.

Код в этой схеме мошеннику и не был нужен. Ему нужны были данные карты, и он их получил.

Что подтверждает подлинный канал

Настоящее сообщение с настоящего номера доказывает одно: банк отправил уведомление. О том, кто вам звонит, почему он звонит сейчас и зачем ему данные вашей карты, там не сказано ничего. Эти два вопроса живут отдельно друг от друга, и разговор их склеивает за секунду.

Тот же проект разбирает случай, где склейка устроена иначе. Человеку звонят «из банка», потом «из полиции», потом «из следственного комитета», и каждый следующий собеседник подтверждает слова предыдущего. В ход идут документы с гербовыми печатями и номерами дел. Редакция объясняет расчёт прямо: во время разговора человеку неудобно разглядывать документ и проверять реквизиты, а собеседник этого и не ждёт.

Механизм в обоих случаях один. Доказательство приносит тот, кого проверяют. И приносит ровно тогда, когда его об этом попросили.

Что делать, когда доказательство приходит по запросу

Само появление подтверждения сразу после ваших сомнений стоит читать как часть сценария, а не как ответ на них. Настоящему сотруднику банка нечего доказывать в этот момент: он спокойно предложит вам перезвонить самому.

Рядом стоит держать ещё один признак, заметный с первых секунд. О неприятности вам сообщили раньше, чем вы сами что-то заметили, и в том же разговоре предложили готовое решение с переводом денег. Что бы ни происходило со счётом, разбираться с этим можно и после того, как вы сами наберёте банк.

Дальше порядок простой.

• Положить трубку и набрать банк по номеру с оборотной стороны карты или из официального приложения. Это единственная проверка, которая работает, потому что номер выбираете вы.
• Не называть срок действия карты и три цифры с оборота никому: ни «сотруднику банка», ни «полиции», ни «службе безопасности».
• Прочитать пришедшее сообщение целиком и вне разговора. Если для этого нужно завершить звонок, значит, нужно завершить звонок.
• Посмотреть в приложении, какие заявки и операции по вашим счетам есть на самом деле.

Если данные уже названы, счёт идёт на минуты: блокировка карты и перевыпуск, проверка истории операций и заявок, смена пароля от интернет-банка. Время звонка, номер и тексты сообщений сохраните до того, как начнёте наводить порядок, и не откладывайте заявление в полицию.

Почему мы вообще взяли этот случай

Формальные признаки здесь молчат все сразу: номер настоящий, сообщение подлинное, ошибок в тексте нет, ссылок нет вовсе. Заметить происходящее можно только по разговору целиком, где за десять минут подряд идут тревога, предложение перевести деньги, требование данных карты и доказательство, появившееся точно в ответ на сомнение. Держать эту последовательность в голове, пока с тобой разговаривают, тяжело. Амулет мы делаем как раз про это и проектируем его так, чтобы он смотрел на ход разговора, а не на то, с какого номера пришло сообщение. Он в разработке; если такая защита нужна вам или вашим близким, оставьте контакт, и мы сообщим, когда он станет доступен.

На чём стоит этот разбор

Два материала каталога «Грабли» проекта «Финансовая культура» (Банк России). Первый, август 2020 года, содержит сам рассказ и объяснение редакции про заявку на резервирование счёта. Второй, июнь 2022 года, описывает, как «сотрудники» разных ведомств подтверждают слова друг друга.

Чем закончилась история, в источнике не сказано. Рассказ обрывается на моменте, когда данные карты названы: ни суммы, ни названия банка, ни судьбы этих денег там нет. Уголовного дела за этим текстом тоже нет, это свидетельство человека, а разбор к нему написала редакция проекта.

Случаю шесть лет, и мы не знаем, работает ли сегодня именно этот ход с заявкой на сайте банка. Проверять стоит не его, а правило, которое из него следует и которое годом публикации не ограничено: подлинность канала ничего не сообщает о собеседнике. Позиция Банка России про несуществующие «безопасные» счета тоже никуда не делась.