Россиянам объяснили, зачем удалять старые SMS с одноразовыми кодами

Сообщения с одноразовыми кодами от «Госуслуг», банков, операторов и других сервисов разумнее стирать сразу после операции. Пока код действует, его пытаются выманить у владельца телефона, а неактуальные SMS способны рассказать постороннему, какими сервисами он пользуется. Об этом рассказал RT вице-спикер Госдумы Борис Чернышов.

На первый взгляд одноразовый пароль похож на бумажный стаканчик — воспользовался и выбросил. На деле сообщение способно застрять в памяти смартфона надолго, и если телефон окажется в чужих руках, старые SMS дадут мошеннику лишние данные для атаки.

Борис Чернышов объяснил, что код создаётся под конкретную операцию и работает ограниченное время — после входа или платежа хранить сообщение уже незачем, а пока пароль остаётся рабочим, его могут попытаться перехватить или выманить у владельца.

Мошенника интересует не только набор цифр. По цепочке старых уведомлений можно восстановить точный цифровой портрет — какими банками пользуется человек, на каких госплощадках зарегистрирован, услугами какого оператора и маркетплейсов подтверждает вход.

Получается карта цифровых привычек, которую человек добровольно носит в кармане — если телефон попадёт в чужие руки, эта информация поможет мошеннику придумать более правдоподобный повод для следующего контакта, обратившись уже от имени конкретного сервиса, которым действительно пользуется жертва, а не абстрактно «из банка».

Борис Чернышов советует такой порядок действий:

• запросить код самостоятельно и ввести его;
• убедиться, что операция завершена;
• сразу удалить сообщение с кодом;
• скрыть текст SMS и push-уведомлений на заблокированном экране.

Сам телефон тоже стоит защитить базовыми средствами — паролем, PIN-кодом или биометрией, а перед продажей устройства другому человеку одного удаления фото и переписок недостаточно, гаджет нужно сбросить до заводских настроек.

Есть ситуация, когда удалять неожиданное сообщение сразу не стоит — если код пришёл, хотя пользователь ничего не запрашивал, это может быть признаком попытки входа в чужой аккаунт. Борис Чернышов советует выяснить, какой сервис прислал уведомление, не переходить по ссылкам из самого сообщения, а открыть официальное приложение или сайт и проверить всё уже там.

Отдельная тема — резервные коды восстановления доступа. Их часто хочется оставить в заметках, но смартфон для архива подходит плохо — лучше держать их в менеджере паролей либо на бумаге, куда посторонние не доберутся.

Действующий одноразовый пароль не стоит сообщать никому. Подозрительно, когда код приходит прямо во время звонка, а собеседник тут же просит продиктовать цифры — повод может звучать убедительно, будь то посылка, отмена платежа или защита аккаунта, но сама просьба уже повод завершить разговор и проверить проблему через официальное приложение, сайт или номер организации.

SMS необязательно оставлять главным способом входа в аккаунты. Более защищённой альтернативой могут быть push-запросы в приложении, коды из аутентификатора или аппаратный ключ.

Полезная привычка выглядит просто — код запросили, использовали, убедились, что операция закончена, удалили. А если пароль пришёл сам по себе, сначала проверили сервис и только потом решили, что с ним делать.

Ранее мы рассказывали, по каким мелким деталям можно распознать дипфейк на видеозвонке — от неестественного моргания до слишком ровной синтетической речи.