Дата актуализации:

Социальная инженерия (Social Engineering) — это метод кибератак, основанный не на взломе программного кода, а на манипуляции человеческой психологией. В контексте телефонной связи этот вид атаки получил название вишинг (Voice Phishing, «голосовой фишинг»)

Суть атаки проста: злоумышленник звонит жертве, представляется кем-то другим (сотрудник банка, сотрудник службы безопасности, полицейский, техподдержка, родственник в беде) и под психологическим давлением заставляет совершить действия, противоречащие здравому смыслу: перевести деньги, назвать код из СМС, установить вредоносное приложение или предоставить доступ к экрану смартфона.

«Сегодня тысячи пользователей самостоятельно и неосознанно передают злоумышленникам свои пароли, коды подтверждения и доступ к аккаунтам вовсе не потому, что системы защиты слабые, а потому, что их убедили это сделать».

Психология атаки: на какие эмоции давлят мошенники?

По данным экспертов (НБРБ, CNews, научные публикации КиберЛенинка), социальные инженеры используют четыре базовые эмоциональные триггера:

• Страх: «Ваш счет взломан», «По вашему имени оформляют кредит», «Родственник попал в аварию/арест».
• Чувство срочности (Urgent): «Действуйте прямо сейчас, иначе деньги спишут», «У вас 10 минут, чтобы отменить транзакцию».
• Любопытство: «У нас для вас важная информация», «Вы выиграли приз, нужно подтвердить данные».
• Жадность / Выгода: «Вернем кэшбэк за прошлые годы», «Инвестиции под 300% годовых», «Компенсация за плохой сервис».

Мошенники заранее разрабатывают сценарий разговора (скрипт), подбирают легенду под категорию жертвы (пенсионер, студент, бизнесмен, IT-специалист) и репетируют интонации для максимального доверия.

Основные схемы телефонного мошенничества (2025–2026 гг.)

Классический «Звонок из банка / Службы безопасности»

Злоумышленник сообщает о «подозрительной транзакции» или «попытке кредита». Цель: заставить жертву перевести деньги на «безопасный счет», назвать CVV/CVC код, срок действия карты или коды из СМС/пуш-уведомлений.

Обратная социальная инженерия (Callback Scam)

Один из самых коварных методов, зафиксированный в 2025 году.

1. Жертве приходит СМС/звонок с просьбой перезвонить по номеру * (например, «Служба поддержки Госуслуг / Банка»).
2. Или мошенник создает искусственную проблему (блокирует доступ, отправляет вирус) и оставляет контакты «помощника».
3. Жертва сама звонит мошеннику, теряя бдительность, так как инициатором выступила она;

«Родственник в беде» / «Следователь / Прокурор»

Звонок ранним утром или поздно ночью. Плачущий голос (часто сгенерированный ИИ) говорит: «Мам/Пап, я наехал человека / в полиции». Затем трубку берет «сотрудник правоохранительных органов» и требует деньги за «закрытие дела» или «поручительство».

Техподдержка / Удаленный доступ

«Мы обнаружили вирус на вашем телефоне / утечку данных». Просят установить приложение для удаленного доступа (TeamViewer, AnyDesk, RustDesk, «Защита Госуслуг» и фейковые аналоги). После получения доступа мошенники видят коды СМС, пароли и сами подтверждают транзакции.

Мошенничество с инвестициями / Криптовалютой

Долгая «прогревка» (недели общения). Предлагают заработать на бирже, арбитраже, ICO. Сначала позволяют вывести маленькую сумму для доверия, затем требуют крупный взнос для «разморозки» счета или уплаты «налога».

Технические инструменты защиты

Технические барьеры не дают 100% гарантии, но критически снижают риски:

• Определители номеров (Анти-спам): Яндекс, Кaspersky Who Calls, Truecaller, встроенные в Android/iOS/Google Phone. Они помечают номера с жалобами на спам/мошенничество. «Значительно сокращает риски установка определителя номеров…» (CNews, 2025).
• Двухфакторная аутентификация (2FA): Обязательна для Госуслуг, банков, почты, соцсетей. Важно: используйте push-уведомления или приложения-аутентификаторы (Google Authenticator, Яндекс.Ключ), а не только СМС (СМС можно перехватить через SIM-swap или вредоносное ПО). «Даже если мошенник узнает логин и пароль, он не войдет без второго фактора».
• Биометрия и лимиты: Включите биометрическое подтверждение крупных переводов в банковском приложении. Установите дневные лимиты на переводы и снятие наличных.
• Запрет установки из неизвестных источников: В настройках Android (Безопасность) и iOS (Ограничения) запретите установку APK/IPA файлов не из официальных магазинов.
• Сервисы «Защита от мошенников» от операторов связи: МТС, Билайн, Мегафон, Теле2, МОТИВ предлагают бесплатные/платные сервисы блокировки подозрительных звонков на уровне сети.

Поведенческие правила: «Цифровая гигиена» при звонках

Самая надежная защита — ваши рефлексы и привычки.

Золотые правила:

1. Банк / Полиция / Госуслуги НИКОГДА не звонят первыми с просьбой назвать коды, пароли, перевести деньги или установить приложения.
2. Код из СМС/Пуш, это пароль. Его нельзя сообщать никому, в т.ч; «роботу» или «автоинформатору». Настоящий сотрудник банка не имеет права его спрашивать.
3. Положите трубку и перезвоните официальным номером. Номер с задней стороны карты, с официального сайта (gosuslugi.ru, cbr.ru) или из приложения. Не перезванивайте по номеру, с которого звонили, и не нажимайте кнопки в меню IVR.
4. Не устанавливайте «защитные» приложения по ссылке из СМС или по просьбе звонящего. Любое приложение для удаленного доступа в руках мошенника — это полный контроль над вашим телефоном.
5. Проверяйте информацию через альтернативные каналы. «Сын в полиции», позвоните сыну / жене / другу. «Кредит оформлен» — зайдите в приложение банка сами (не по ссылке из СМС).
6. Не говорите «Да» / «Подтверждаю» на запись. Мошенники могут записать голос для обхода голосовой биометрии (хотя современные системы защищены от реплей-атак, риск существует). Лучше говорить: «Слушаю», «Говорите», «Не удобно».

Что делать, если вы уже дали данные или перевели деньги?

Действуйте максимально быстро (алгоритм действий):

1. Заблокируйте карту/счет: Звоните в банк по официальному номеру (с карты или приложения), сообщайте о компрометации данных. Требуйте блокировку онлайн-банкинга и перевыпуск карты.
2. Смените пароли: Госуслуги, почта, банковские приложения, соцсети. Включите 2FA везде, где еще не включено.
3. Проверьте доверенные устройства: В настройках Госуслуг, банков, Google/Apple ID удалите все неизвестные сессии и устройства.
4. Напишите заявление в полицию: Обязательно, даже если сумма мала. Это нужно для банка (спорная транзакция) и для статистики. Сохраните квитанцию-уведомление (КУСП).
5. Сообщите в банк-эмитент (через чат/телефон) о мошеннической транзакции: По закону № 167-ФЗ банк обязан вернуть деньги, если клиент соблюдал правила безопасности и сообщил в течение суток (но лучше сразу).
6. Если аккаунт в соцсетях/мессенджерах взломан: «Оповестите об этом подписчиков Вашей страницы и смените пароль» (Рекомендации по противодействию). Напишите в поддержку платформы (Telegram, WhatsApp, VK) для восстановления доступа.
7. Пройдите антивирусную проверку телефона (Kaspersky, Dr.Web, ESET и др.), если устанавливали подозрительные приложения.

Особенности защиты для уязвимых групп

• Пенсионеры: Обучите их правилу «Не разговариваю с незнакомцами о деньгах». Настройте на телефоне режим «Только контакты» для входящих звонков (или используйте приложение-секретаря). Закрепите на холодильнике памятку с официальными телефонами банка/полиции/детей.
• Дети и подростки: Объясните, что «подарки в играх за код из СМС мамы» — это обман. Настройте «Семейный доступ» / «Контроль покупок».
• Сотрудники компаний (Корпоративный вишинг): Мошенники звонят на корпоративные телефоны, выдавая себя за IT-отдел, HR или руководство. «Обратная социальная инженерия — создается ситуация, при которой жертва вынуждена обратиться к злоумышленнику за помощью» (НБРБ). Внедряйте политику: «IT-отдел никогда не просит пароль по телефону». Проводите тренировочные фишинг-звонки (Red Teaming).

Правовые аспекты и ответственность (РФ)

• Ст. 159 УК РФ (Мошенничество): Наказание до 10 лет лишения свободы (ч. 4, 5, 6 ст. 159 УК РФ — по предварительному сговору группой лиц, в крупном/особо крупном размере).
• ФЗ-167 «О национальной платежной системе»: Банк обязан вернуть украденные средства, если клиент не нарушал правила безопасности и сообщил в срок (сутки с момента получения уведомления о списании).
• ФЗ-126 «О связи» (поправки 2024-2025 гг.): Операторы обязаны блокировать номера, используемые для спама/мошенничества, по запросу Роскомнадзора/ЦБ/МВД. Внедряется проверка подлинности номера (ANI) для борьбы со спуфингом (подменой номера).
• Реестр недобросовестных поставщиков (РНП) и «Черные списки» номеров: Ведутся ЦБ РФ и Роскомнадзором.

Чек-лист: «Звонок подозрительный — что делать за 30 секунд?»

Телефонная социальная инженерия — это битва за ваше внимание и эмоции. Технические средства (анти-спам, 2FA, биометрия) создают периметр обороны, но «человеческий фактор» остается главной уязвимостью. Универсальной защиты не существует, но сочетание критического мышления, знания актуальных схем и настроенных технических барьеров делает вас практически неуязвимой целью.

Помните: Никакая государственная структура, банк или служба поддержки не решают проблемы безопасности через один входящий звонок с требованием срочных действий. Ваша спокойствие и пауза перед действием — лучший антивирус.