Как защитить номер от подмены SIM-карты

Подмена SIM-карты — это не взлом телефона. Никто не проникает в устройство, в операционную систему или в приложения. Кто-то связывается с вашим оператором связи, выдаёт себя за вас и просит перенести номер на SIM-карту, которую контролирует он сам, — новую пластиковую карту в салоне связи или, всё чаще, eSIM-профиль, активируемый за секунды прямо из приложения. Оператор выполняет запрос, телефон отключается от сети, и с этого момента все звонки и сообщения, предназначенные вам, приходят на чужой аппарат.

Номер — главная добыча, потому что к нему привязано слишком многое. Одноразовые коды банков, вывод средств с бирж, ссылки для сброса пароля, рабочие чаты, подтверждения доставки — всё это уходит тому, кто в данный момент держит линию. Пароль у мошенника обычно уже есть — из утечки данных или фишинговой страницы; подмена SIM-карты — последний шаг, который превращает устаревший пароль в захват живого аккаунта.

Номер можно перенести только тремя способами, и за каждым стоит живой человек:

• Салон связи: визит с убедительной историей и одолженным или поддельным документом.
• Служба поддержки: сотрудник, чей скрипт принимает дату рождения, адрес и последние четыре цифры карты — данные, которые давно лежат в старых утечках.
• Инсайдер: сотрудник салона связи или колл-центра, которому заплатили пару сотен долларов за перенос номера, — поэтому даже идеальный PIN-код аккаунта не даёт абсолютной защиты.

Одну и ту же атаку называют по-разному: SIM-своп, SIM-джекинг, порт-аут-мошенничество или SIM-сплиттинг. Механика везде одинакова, различается лишь оформление — переходит ли номер на новую SIM того же оператора или к другому оператору целиком.

Подмена SIM-карты заявляет о себе, но тихо, а окно между переносом номера и первым опустошённым счётом часто меньше часа. Самый надёжный признак — тишина: телефон показывает Нет сети или Только экстренные вызовы, при этом Wi-Fi продолжает работать без сбоев. Данные через Wi-Fi идут как обычно, поэтому аппарат дома может выглядеть совершенно нормально, пока вы не попробуете позвонить.

Обращайте внимание на следующее и относитесь к любым двум признакам вместе не как к совпадению, а как к чрезвычайной ситуации:

• Внезапная потеря мобильной связи без сбоев в вашем районе и без смены местоположения.
• Уведомление от оператора о замене SIM-карты, активации eSIM или запросе на перенос, который вы не делали.
• Письма о сбросе пароля для аккаунтов, которые вы не трогали, — в первую очередь для основной почты.
• Выход из мессенджеров — повторная регистрация номера выбрасывает старое устройство из WhatsApp, Telegram или Signal.
• Уведомления о входе из незнакомых мест или запрос второго фактора для приложения, которое вы не открывали.
• Мелкие необъяснимые списания, которыми проверяют, работает ли ещё карта, перед более крупной операцией.

Мошенники часто запускают перенос поздно вечером или в выходные, когда служба борьбы с мошенничеством у оператора работает не в полную силу, а мёртвый телефон легко принять за севшую батарею. Если аппарат замолкает в необычное время, проверьте это, а не списывайте на сбой сети: включите и выключите авиарежим, и если связь не вернулась, сразу позвоните оператору с другого номера.

Всё остальное на этой странице снижает ущерб. Единственная мера, которая полностью предотвращает саму подмену SIM-карты, — заранее предупредить оператора, что этот номер нельзя перенести без подтверждения, которое мошенник предъявить не сможет.

Эта функция есть почти у всех операторов, но в каждой стране называется по-своему — запрет на замену SIM-карты, заморозка переноса номера, кодовое слово на лицевом счёте, защита SIM-карты, PIN для передачи номера. Опишите оператору, что вам нужно: никакой замены SIM и никакого переноса к другому оператору без этого кода, лично, по паспорту. Затем усильте сам аккаунт:

• Задайте отдельный код, который не используете больше нигде, и никогда не дату рождения, индекс или последние четыре цифры того, что напечатано на карте.
• Удалите контрольные вопросы или отвечайте на них случайными строками из менеджера паролей. Девичья фамилия матери — публичная информация; первый питомец давно упомянут в вашей же соцсети.
• Спросите, что может отменить сотрудник поддержки и может ли персонал салона связи обойти запрет. Честный ответ покажет, чего эта защита на самом деле стоит у вашего оператора.
• Проверьте адрес для уведомлений на аккаунте. Если подтверждения приходят на старый ящик, который вы больше не читаете, вы лишились единственного раннего предупреждения.
• Уберите номер с сайтов-агрегаторов личных данных, чтобы вообще не попасть в список лёгких целей, — наш гид о том, как сохранить настоящий номер приватным, разбирает, как отказаться от таких баз.

Регулирование помогает. В США с 2024 года операторы обязаны надлежащим образом подтверждать личность владельца перед переносом номера на новую SIM-карту или к другому оператору и уведомлять его о таком запросе. Похожие правила применяют некоторые европейские и азиатские операторы. Ни одна из этих мер не закрывает канал через инсайдера, поэтому важны следующие два раздела.

Допустим на секунду, что подмена SIM-карты удалась. Что мошенник реально сможет сделать с вашим номером? Ровно столько, сколько вы сами ему разрешили. Смысл этого шага — сделать украденную линию бесполезной.

Расставьте вторые факторы по надёжности и поднимайте по этому списку каждый аккаунт, какой сможете:

• Passkey и аппаратные ключи безопасности — они никак не связаны с мобильной сетью, поэтому подменённый номер против них бесполезен.
• Приложения-аутентификаторы (TOTP) — код создаётся на самом устройстве, а не приходит на номер. Резервные коды храните офлайн, на бумаге.
• Push-подтверждения в собственном приложении сервиса — привязаны к установке приложения, а не к SIM-карте.
• SMS-коды — последний вариант, и только если сервис не предлагает ничего лучше.

Затем закройте ловушку, в которую попадает почти каждый. Переход на приложение-аутентификатор ничего не меняет, если тот же аккаунт всё ещё предлагает вариант потеряли доступ? пришлём код по SMS в качестве способа восстановления: мошенник проходит через чёрный ход и игнорирует парадный, который вы укрепили. В настройках безопасности каждого аккаунта уберите номер телефона из восстановления доступа, а не только из входа.

Проходите по аккаунтам в том порядке, в каком это сделал бы мошенник. Сначала основная почта, потому что через неё сбрасывается всё остальное, затем менеджер паролей, затем банк и любая криптобиржа, затем облачное хранилище, регистратор домена и социальные сети. Наш гид о том, как получать одноразовые коды онлайн, разбирает практическую сторону переноса кодов с личной SIM-карты.

Некоторые сервисы действительно не отказываются от SMS — многие банки, большинство служб доставки, немало государственных порталов. Именно для этого остатка нужна следующая защита.

Мошенник не может подменить номер, который не может опознать. Прежде всего ему нужен ваш номер, оператор, на котором он числится, и достаточно сведений о вас, чтобы звучать правдоподобно на линии поддержки. Все эти факты берутся из одного источника — номера, который вы раздавали десять лет подряд и который теперь лежит в утечках, объявлениях на маркетплейсах, приложениях доставки и профилях брокеров данных рядом с вашим именем, адресом и оператором.

Поэтому разделите роли. Оставьте личную SIM-карту для семьи, работодателя и двух-трёх организаций, которым она действительно нужна, а отдельную выделенную линию отдайте всему, что присылает вам коды. Эта вторая линия вообще не привязана к обычному оператору связи, а значит, устраняет саму возможность атаки, а не просто защищается от неё:

• Нет ни салона связи, ни линии поддержки для физлиц, которую можно уговорить на перенос номера датой рождения и адресом.
• Нет личных данных на аккаунте, которые можно найти и подделать, — PrivacyNumber не спрашивает документы и принимает оплату только в криптовалюте, так что применять социальную инженерию не к чему.
• Номера нет рядом с вашим именем в утечках. Номер, который преступники связывают с вами, — старый, и на нём больше нет ничего ценного для кражи.
• Настоящие, дозвониваемые номера в 47 странах — мобильные диапазоны, которые принимают банки и мессенджеры, а не одноразовые VoIP-диапазоны, которые сейчас отклоняет большинство сервисов.
• Долгосрочные, а не одноразовые — та же линия будет работать и через год, а это принципиально важно, если она указана в вашем банке.

Будьте честны с собой насчёт того, чего это не даёт. У любого провайдера с живыми людьми в процессе остаётся поле для социальной инженерии, перехват на уровне сети — отдельная и реальная проблема, а выделенная линия помогает только после того, как вы действительно поменяли номер в важных аккаунтах. Она убирает конкретную, дешёвую, поставленную на поток атаку, описанную на этой странице, — ту, что начинается в салоне мобильной связи. Линии стоят от $3.58/мес. и активируются меньше чем за 60 секунд.

Скорость важнее полноты. Проходите по этому списку с другого телефона или компьютера и не останавливайтесь на расследование — это потом.

1. Позвоните оператору с любой другой линии и скажите прямо: мой номер перенесли без моего согласия. Попросите отменить перенос и заблокировать аккаунт от дальнейших изменений.
2. Обезопасьте основную почту следующей: новый пароль, выход из всех сеансов, затем проверьте правила пересылки, фильтры и адреса восстановления, которые мог добавить мошенник. Незамеченное правило пересылки держит его внутри ещё долго после того, как вы вернёте номер.
3. Заблокируйте деньги. Позвоните на линию борьбы с мошенничеством банка и в поддержку биржи, заморозьте вывод средств и отмените всё, что ещё не прошло.
4. Смените и отзовите доступы — менеджер паролей, облачное хранилище, регистратор домена, социальные сети, именно в этом порядке, выходя из всех сеансов по ходу дела.
5. Перерегистрируйте мессенджеры, когда номер вернётся, и проверьте в каждом список привязанных устройств на незнакомые записи.
6. Подайте заявления: в службу безопасности оператора, в Роскомнадзор как регулятор связи, и заявление в полицию — банки обычно требуют его, прежде чем вообще обсуждать возмещение.
7. Записывайте время по ходу дела — когда пропала связь, когда пришло каждое уведомление, с кем вы говорили. Именно эта запись решает исход спора.

После этого считайте номер сгоревшим для всего важного. Он уже доказал, что его можно перенести, и теперь числится среди номеров, на которые однажды успешно нацелились. Перенесите коды на линию, которую мошенник никогда не видел, — а если хотите заранее понять, на что переходите, прочитайте, насколько виртуальный номер действительно отслеживаем.