Подмена отправителя SMS — приём, при котором сообщение мошенника попадает в ту же ветку переписки, где лежат настоящие письма банка или биржи. Технически это правка одного поля при отправке: имя отправителя задаётся текстом, а не привязано к номеру. Ни банк, ни площадка при этом не взломаны. Единственная надёжная защита — не действовать по содержимому сообщения, а проверять информацию в приложении или по номеру с оборота карты.

Как это устроено технически

В обычной SMS есть поле, которое телефон показывает вместо номера. Оно называется именем отправителя и заполняется отправляющей стороной. Никто это имя не проверяет.

Дальше срабатывает поведение самого телефона. Операционная система группирует сообщения по имени отправителя, а не по номеру. Поэтому подделка ложится в существующую ветку, между настоящими уведомлениями о покупках и кодами подтверждения.

Именно группировка делает схему опасной. Человек открывает знакомую переписку, видит сверху историю подлинных сообщений за месяцы, и последнее письмо наследует доверие ко всем предыдущим. Проверять его отдельно в голову не приходит.

Как выглядят такие сообщения

Сценариев всего четыре.

Пятый сценарий встречается реже остальных, зато бьёт по площадкам. У биржи «подтверждение отмены вывода» и «подтверждение вывода» отличаются одним словом, а последствия отличаются всей суммой на счёте, и человек в спешке читает то, что ожидает прочесть.

Отдельно про четвёртый сценарий. Схема с продиктованным кодом остаётся рабочей годами, и в криптовалютной версии она бьёт сильнее: код от площадки открывает не карту с лимитом, а весь баланс сразу.

По оценке специалистов, подмена имени отправителя выглядит для пользователя убедительно, при том что сам банк или государственный орган не взламывали. Та же логика работает с электронной почтой: домен отличается одной буквой, дефисом или лишним словом, и глаз этого не ловит.

Почему привычные советы здесь не работают

Три привычные рекомендации здесь бесполезны.

Первая — «проверьте номер отправителя». Номера нет: вместо него имя, и проверять нечего. Вторая — «сравните с предыдущими сообщениями». Подделка лежит в той же ветке, что и подлинные сообщения, поэтому сравнение подтверждает подлинность вместо того, чтобы её опровергнуть, — и человек уходит из проверки увереннее, чем в неё зашёл.

Третья рекомендация — «обратите внимание на ошибки в тексте». Она устарела. Тексты давно копируются с настоящих уведомлений слово в слово, а ошибки остались разве что в самых грубых рассылках, которые и без того видно.

Второй по частоте вопрос — про близких. Рассылки идут пачками по базам номеров, поэтому если сообщение пришло вам, оно почти наверняка пришло и родителям, у которых привычки проверять по второму каналу нет вовсе. Разговор занимает пять минут и стоит того.

Порядок действий при подозрительном сообщении

1. Не переходите по ссылке и не звоните по номеру из текста.
2. Откройте приложение банка или площадки сами, через свой значок на экране.
3. Проверьте, есть ли там операция или уведомление, о которых говорится в сообщении.
4. Если ничего нет, сообщение поддельное — удалите его и не отвечайте.
5. Если операция есть и она чужая, действуйте по обычному сценарию компрометации.
6. Сохраните скриншот сообщения до удаления: он пригодится при обращении.
7. Пожалуйтесь оператору на рассылку: это уменьшает поток похожих сообщений.
8. Предупредите близких, если сообщение пришло от имени вашего банка: рассылки идут пачками.
9. Проверьте, не ушёл ли ответ автоматически: часть телефонов предлагает быстрые ответы.

Пятый пункт разворачивается. Смена пароля, завершение сессий, проверка устройств — порядок разобран в материале про активные сессии.

Шестой пункт кажется лишним, пока не понадобится. Скриншот с видимым именем отправителя, текстом и временем — единственное, что вы сможете предъявить банку или площадке, потому что само сообщение из истории удаляется вместе с веткой, а восстановить его нельзя.

Что убирает саму возможность атаки

Схема живёт ровно до тех пор, пока SMS остаётся значимым каналом. Уберите канал — исчезнет и схема.

Первая мера закрывает самый дорогой сценарий. Код из приложения-аутентификатора невозможно перехватить в сети связи и невозможно прислать поддельным сообщением, потому что он вообще никуда не отправляется — он вычисляется на вашем устройстве. Как это настраивается, разобрано в отдельном материале.

Вторая мера недооценена. Пока номер работает способом восстановления, злоумышленнику не нужен ваш пароль вовсе: достаточно запустить процедуру восстановления и получить контроль над каналом, по которому придёт код.

Отдельно про биржи

Криптовалютные площадки редко используют SMS вообще. Уведомления идут на почту. Само появление сообщения от имени биржи — уже аномалия, а не повод для беспокойства о счёте.

Пользуйтесь этим как фильтром. Пришло SMS «от биржи» — значит, оно поддельное с вероятностью, близкой к единице, и открывать его содержимое смысла нет. Заходите в кабинет напрямую и смотрите раздел уведомлений: там лежит всё, о чём площадка хотела вам сообщить.

Чем это отличается от подмены SIM-карты

Схемы путают постоянно.

При подмене SIM-карты злоумышленник получает ваш номер физически: карта перестаёт работать, входящие уходят к нему. При подмене отправителя всё иначе. Номер остаётся у вас, связь работает, злоумышленник не получает ничего — он лишь отправляет сообщение, которое выглядит письмом от банка.

Отсюда разница в признаках. Подмену SIM-карты видно по молчащему телефону, и на реакцию есть минуты. Подмену отправителя не видно вовсе: телефон работает, сообщение выглядит обычным, и единственный способ обнаружить подлог — проверить содержание по другому каналу. План действий разобран отдельно.

Общее у них одно. Обе схемы держатся на том, что человек доверяет каналу связи, а не проверяет содержание, и обе рассыпаются в тот момент, когда проверка идёт по второму каналу. Проверка официальности канала — здесь.

Коротко

Имя отправителя в SMS — это текстовое поле. Заполняет его отправитель. Телефон группирует сообщения по этому полю, поэтому подделка садится в ветку рядом с настоящими письмами банка и наследует доверие к ним. Осмотр текста не помогает. Сравнение с предыдущими сообщениями тоже, и по той же причине: подделка лежит прямо среди них, в одной ленте, отсортированная по времени. Ловит только проверка по второму каналу. А совсем закрывает вопрос отказ от SMS как от способа подтверждения и восстановления доступа — после этого шага подделанное сообщение остаётся обычным спамом, а не угрозой для денег.