Код из смс и спасатели Малибу⁠⁠

Вот что я заметил, когда сложил рядом десяток историй про выманивание кода. Код никогда не просят просто так. Его просят под предлогом, который выглядит как забота о вас. Отменить чужую заявку или остановить подозрительный перевод. Подтвердить, что это вы, заменить домофон, спасти счёт от списания жульманами. То есть человек на том конце не угрожает, он предлагает спастись. И поэтому осторожность не срабатывает: мы настороже против того, кто хочет забрать, а перед нами тот, кто якобы помогает удержать.

Про домофон я не выдумал. Вот человек рассказывает, как это было у него: «Вот только что звонили из якобы жилищника, сказали что меняют домофон. У нас и правда проходит ремонт, так что я повелся и сообщил код из "твоего дома". Надеюсь, на этом все и остановится и ничего серьезного дальше не будет». Вся соль в четырёх словах: у нас и правда проходит ремонт. Не в убедительном голосе, не в знании фамилии.

Просто совпало с тем, что человек и так знал про свой дом. Теперь про сам код. Это не пароль. Пароль защищает вход, а код подтверждает конкретную операцию: перевод, вход, смену данных. Это подпись под документом. Продиктовали, считайте, что подписали своей рукой. Отсюда простая вещь, которая поможет всегда, как презик. Ну ок, почти всегда. Не бывает случая, когда документ надо подписать, чтобы его отменить. Это дичь по определению. Если говорят, что код нужен для остановки чего-то, пиз*ят не в деталях, а в корне.

Что делать вместо запоминания признаков, мои выстраданные на диване принципы.

Смотрю не на то, что говорят, а на то, кто начал разговор. Если не я — любая просьба о коде идет нахер. Не оцениваю убедительность, пилюю на то, что знают мои данные. Звонил не я? Сразу в печь.

Почему именно так, а не «слушайте внимательно»?

Вот ещё история, там прямо диалог: «Сын ходил в военкомат, относить справку об учебе в вузе. Через несколько дней ему позвонили якобы из военкомата. — Почему вы до сих пор не явились в военкомат? — я же был у вас три дня назад. — а, ну тогда, давайте уточним данные... Он не сразу понял, что развод, пока код из смс не попросили». Парень реально был в военкомате три дня назад. Звонок лёг ровно в то, что происходило. И заметил он не по голосу, не по номеру — а когда дошло до кода.

Это работает даже там, где отказывают обычные проверки.

В одной истории мошенник, чтобы его не заподозрили, сам отправил смс с кодом. И оно легло в ту же ветку, где лежат настоящие сообщения банка. Хз как так вышло, но на экране отправитель выглядел как банк.

Привычное «посмотри, от кого пришло» провалилось. А правило первого звонка сработало бы. И второй принцип. Говорю что перезвоню сам по официальному номеру. С карты, с сайта, похер откуда. Но не из чужих рук.

Настоящий вопрос это переживёт, банк дождётся, ему в принципе пох.

А вот жулик не переживёт, у его схемы есть срок и они начнут удерживать на линии. Реакция на эту фразу и есть ответ.

Ну и еще с дивана. Если код уже назвали, звоните в банк по номеру с обратной стороны карты.

Коротко сообщайте: перевод мошеннический, нужна блокировка. Не рассказывайте предысторию, иначе вас будут переключать дальше. В одной истории на эти переключения ушло пятнадцать минут, и перевод успел пройти.

Разложил прям по шагам, тынц на ссыль