На телефон приходят коды подтверждения, которые вы не запрашивали

Телефон коротко звякает, на экране — сообщение с кодом от сервиса, куда вы не заходили. Через минуту ещё одно. Разбираемся, что это значит, чем это грозит и в какой момент ситуация становится по-настоящему опасной.

Почему приходят коды, которые вы не запрашивали

Кто-то ошибся номером

Самая частая и самая безобидная причина. Человек регистрируется, промахивается на одну цифру — и код улетает вам. Обычно приходит одно-два сообщения, после чего всё прекращается: отправитель понимает, что ошибся.

Номер раньше принадлежал другому человеку

Операторы возвращают в продажу номера, которыми долго не пользовались. Если ваш номер вторичный, вы будете получать коды от сервисов, где зарегистрирован прежний абонент. Такие сообщения приходят нерегулярно, годами, от разных сервисов — характерный признак именно этой причины.

Кто-то пытается войти в ваш аккаунт

Тревожный вариант. Если код пришёл от сервиса, где у вас есть учётная запись, и в тексте написано «код для входа» или «код для восстановления доступа», — значит, кто-то ввёл ваш номер на странице входа. Пароль он может уже знать, а не хватать ему ровно этого кода.

Флуд кодами

На номер разом обрушивается поток сообщений от десятков сервисов. Иногда это месть или травля, но чаще — приём: за лавиной сообщений прячут одно важное уведомление, например о реальной операции по счёту, чтобы вы его не заметили.

Номер попал в базу для регистраций

Кто-то использует ваш номер, чтобы создавать аккаунты. Сообщения будут приходить от однотипных сервисов — маркетплейсов, сервисов доставки, площадок с бонусами новичкам.

Опасно ли это

Сам по себе код безвреден. Пока цифры лежат у вас в сообщениях, они не дают доступа никому, включая того, кто их запросил. Это просто набор символов, который что-то значит только внутри одной конкретной проверки.

Опасность возникает в один-единственный момент: когда вы сообщаете код другому человеку.

Схема всегда устроена одинаково. Злоумышленник уже нажал «Войти» или «Восстановить доступ» в вашем аккаунте, и код ушёл вам. Теперь ему нужно, чтобы вы его продиктовали. Для этого придумывается повод — звонок «из службы безопасности банка» о подозрительной операции, «из поддержки» об отмене заказа, сообщение от «знакомого», который «случайно указал ваш номер и просит переслать код».

Признаки, по которым такой разговор узнаётся:

• Вас торопят и создают ощущение, что медлить нельзя.
• Просят продиктовать цифры из сообщения — под любым предлогом.
• Просят не класть трубку и никому не звонить.
• Звонок случился сразу после того, как пришёл код.

Настоящая поддержка никогда не спрашивает код подтверждения. Он ей не нужен: у сотрудника есть доступ к системе, и проверить вас он может другими способами.

Что делать

1. Никому не сообщайте код. Ни при каких обстоятельствах и ни под каким предлогом. Это правило без исключений.
2. Определите, ваш ли это сервис. Если у вас там нет аккаунта — скорее всего, кто-то ошибся номером, ничего делать не нужно.
3. Если аккаунт есть — смените пароль. Код для входа, который вы не запрашивали, означает, что кто-то знает ваш логин и пробует войти. Меняйте пароль сразу и не используйте его больше нигде.
4. Включите второй фактор, если сервис это позволяет.
5. Проверьте активные сессии и историю входов в настройках аккаунта — там видно, была ли попытка успешной.
6. При потоке сообщений обратитесь к оператору. У операторов есть инструменты фильтрации; заодно просмотрите поток на предмет спрятанного уведомления о реальной операции.
7. Не переходите по ссылкам из таких сообщений. В настоящих сообщениях с кодами ссылок не бывает — если ссылка есть, это фишинг.
8. Не отвечайте на сообщение. Ответ уходит в никуда, но подтверждает, что номер живой.

Что означает «этот номер нельзя использовать для подтверждения»

Формулировка встречается при попытке привязать номер, и означает она не проблему с телефоном, а отказ конкретного сервиса. Причины обычно такие:

• Номер уже привязан к другой учётной записи в этом же сервисе.
• Исчерпан лимит регистраций на один телефон — многие сервисы разрешают одну-две учётные записи на номер.
• Номер из непринимаемого диапазона. Некоторые сервисы отказываются работать с номерами, которые не относятся к обычным абонентским.
• Номер заблокирован сервисом после подозрительной активности.
• Технический сбой или превышение частоты запросов — тогда достаточно подождать и повторить.

Решается это только на стороне сервиса — оператор связи здесь ни при чём. Если аккаунт с вашим номером завёл кто-то другой, обращаться нужно в поддержку сервиса с описанием ситуации.

Что такое коды подтверждения вообще и зачем сервисы их присылают — в материале код подтверждения телефона: что это. Обратная ситуация, когда нужный вам код не приходит, разобрана в статье не приходит код подтверждения.

Если ваш сервис рассылает коды — как не стать источником проблемы

Часть сообщений, о которых идёт речь выше, отправляют вполне добросовестные сервисы, просто не поставившие ограничений. Если вы разрабатываете продукт с телефонной верификацией, минимум выглядит так:

• Лимит на число запросов кода — на номер, на адрес и на сессию. Без него форма превращается в бесплатный инструмент флуда чужих телефонов.
• Задержка между повторными отправками и явный таймер в интерфейсе.
• Капча или проверка перед первым запросом — чтобы форму нельзя было дёргать скриптом.
• Понятный текст сообщения. Название сервиса, назначение кода и предупреждение, что его никому нельзя сообщать. Человек, получивший чужой код, должен сразу понимать, откуда он.
• Ограничение на число разных номеров с одного клиента за короткий промежуток.

Отдельно стоит отметить свойство проверки исходящим звонком: её невозможно использовать для флуда чужого номера. При этом сценарии сервис никому ничего не отправляет — звонит сам пользователь. Указать чужой телефон и завалить его сообщениями там просто нечем. Как это устроено — в статье про подтверждение номера звонком, а разбор того, что вообще даёт телефонная проверка против злоупотреблений, — в материале про проверку принадлежности номера.