SIM-своп: как защититься от подмены SIM

Автор: MarioSMS team · Опубликовано 15 октября 2026 г. · 6 мин чтения

SIM-своп, или подмена SIM-карты, происходит, когда кто-то уговаривает мобильного оператора или платит ему, чтобы тот перенёс ваш номер на SIM-карту или eSIM под контролем злоумышленника. С этого момента все звонки и SMS на ваш номер приходят на его телефон, в том числе коды для сброса пароля. Ваш собственный телефон остаётся без сети. Дальше злоумышленник перебирает все аккаунты, где пароль можно сбросить по SMS, и начинает с почты, потому что через почтовый ящик сбрасывается почти всё остальное.

Как работает SIM-своп?

Операторы каждый день переносят номера с одной SIM-карты на другую по обычным причинам: потерянный телефон, сломанная SIM, переход на eSIM. Злоумышленник пользуется той же процедурой, только подставляет ваши данные вместо своих.

Собирает ваши данные. Имя, адрес, дата рождения, последние цифры номера документа и сам номер телефона всплывают в утечках и на сайтах брокеров данных. Номер, который указан во многих формах регистрации, проще сопоставить с остальными сведениями.
Просит у оператора новую SIM-карту. По телефону, в салоне связи или через ваш онлайн-кабинет оператора он заявляет, что старая SIM потеряна, и отвечает на контрольные вопросы собранными данными. В некоторых случаях замешан сотрудник оператора, которого подкупили или обманом заставили пропустить проверки.
Номер переезжает. Оператор активирует новую SIM или eSIM, и сеть перестаёт направлять ваш трафик на ваш телефон. На это уходят минуты.
Запрашивает коды. Сначала в вашей почте, потом в банке, на криптобирже или в соцсетях он нажимает «Забыли пароль» и получает код по SMS.

Перенос номера к другому оператору (port-out) устроен так же, только второй шаг другой. Злоумышленник заводит счёт у другого оператора и просит перенести туда ваш номер, используя номер вашего лицевого счёта и PIN-код для переноса, если они у него есть.

Какие аккаунты под угрозой?

Любой аккаунт, где одно SMS позволяет сбросить пароль или подтвердить вход. Обычно это почтовые сервисы, в которых сохранён телефон для восстановления, многие банки и платёжные приложения, присылающие одноразовые коды по SMS, криптобиржи, соцсети и мессенджеры, где номер и есть аккаунт.

Аккаунт с двухфакторной защитой по SMS тоже уязвим, если пароль у злоумышленника уже есть из утечки. Не хватало только кода, и подмена SIM его даёт. В статье двухфакторная аутентификация без номера телефона SMS сравнивается с приложениями-аутентификаторами и аппаратными ключами по защите от этой атаки.

По каким признакам заметить атаку?

Телефон показывает «Нет сети» или «Только SOS», хотя у других телефонов рядом связь есть, и перезагрузка не помогает.
Оператор присылает SMS или письмо о замене SIM, активации eSIM или переносе номера, которые вы не заказывали. Некоторые операторы отправляют такое уведомление на старую SIM за считаные мгновения до того, как она отключится.
Приходят письма о сбросе пароля или уведомления о «новом входе» от аккаунтов, которые вы не трогали.
В почте появились правило пересылки или новый резервный адрес, которые вы не добавляли.

Первый признак самый надёжный, и его проще всего списать на сбой сети. Если связь внезапно пропала там, где она обычно есть, проверьте с другого устройства, что ваши аккаунты всё ещё принадлежат вам.

Как заблокировать номер у оператора?

Сейчас операторы предлагают настройки, которые запрещают замену SIM и перенос номера, пока вы сами их не отключите. В США FCC в 2023 году приняла правила, которые обязывают операторов проверять личность клиента, прежде чем переносить номер на новую SIM или к другому оператору, и уведомлять клиента, когда такой перенос запрошен.

Оператор (США)	Настройка	Что блокирует
T-Mobile	SIM Protection	Замену SIM и eSIM на линии
T-Mobile	Port Out Protection	Перенос к другому оператору
Verizon	SIM Protection	Замену SIM и eSIM на линии
Verizon	Number Lock	Перенос к другому оператору
AT&T	Wireless Account Lock	Замену SIM, перенос номера и другие изменения в аккаунте

Названия и охват меняются, поэтому загляните в настройки аккаунта у своего оператора или спросите в поддержке, что доступно для вашей линии. За пределами США просите те же три вещи, называя их прямо.

Запрет на замену SIM и eSIM, чтобы новую SIM нельзя было выпустить, пока вы сами не снимете запрет.
PIN-код для переноса номера, который отличается от PIN-кода аккаунта и от любых номеров, связанных с вами. Запишите его и храните офлайн.
Надёжный пароль и приложение-аутентификатор для онлайн-кабинета оператора. Через такой кабинет часто можно выпустить eSIM, поэтому ему нужна та же защита, что и почте.

Как ограничить ущерб, если подмена всё-таки удалась?

Блокировка у оператора снижает вероятность подмены. Если убрать SMS из важных аккаунтов, подмена дотянется до меньшего числа из них.

Включите приложение-аутентификатор или аппаратный ключ для почты, менеджера паролей, банка и любых криптоаккаунтов.
Когда аутентификатор заработает, удалите номер телефона из способов восстановления в этих аккаунтах. Если его оставить, путь через SMS остаётся открытым.
Сохраните резервные коды каждого аккаунта офлайн.
Давайте личный номер меньшему числу сервисов. Магазину, форуму или приложению, которым код нужен только при регистрации, ваш настоящий номер ни к чему. Эту проверку пройдёт арендованный номер, а восстановление тогда пойдёт через вашу почту.

Последний шаг не исключает подмену, но сокращает число аккаунтов, которые можно сбросить через ваш номер, и то, как часто номер появляется рядом с вашим именем в утёкших базах. Более широкая чистка описана в гиде по приватности номера телефона.

Что делать в первый час?

Позвоните оператору с другого телефона и сообщите о подмене. Попросите вернуть номер на вашу SIM, затем включить блокировку SIM и задать новый PIN-код для переноса. Если вам дают номер обращения о мошенничестве, запишите его.
Сначала защитите почту с устройства, где вы ещё в неё вошли. Смените пароль, завершите все остальные сеансы и удалите правила пересылки и резервные адреса, которые вы не добавляли.
Смените пароли в банке, платёжных сервисах и на криптобиржах, а если со счетов что-то ушло, позвоните на линию банка по мошенничеству.
Проверьте остальные аккаунты на уведомления о входе и завершите незнакомые сеансы.
Сообщите о мошенничестве. Банк может попросить заявление в полицию или в национальное ведомство по борьбе с мошенничеством. В США сайт IdentityTheft.gov регистрирует заявление и выдаёт план восстановления.

Когда доступ вернётся, переведите перечисленные выше аккаунты с SMS на другие способы входа и удалите из них номер телефона как способ восстановления.

Частые вопросы

Защищает ли eSIM от SIM-свопа?

Нет. Оператор может перевыпустить eSIM на новое устройство так же, как пластиковую SIM, а иногда это делается через онлайн-кабинет оператора, без визита в салон. Оба варианта защищают блокировка у оператора и надёжно защищённый кабинет.

Возможен ли SIM-своп без моих данных?

Обычно часть данных всё же нужна, поэтому утечки и имеют значение. В случаях с инсайдером сотрудник оператора пропускал проверки целиком, и никакая настройка с вашей стороны от этого не спасает. Аккаунты под защитой приложения-аутентификатора или аппаратного ключа, из которых номер телефона удалён как способ восстановления, остаются недосягаемыми даже тогда, потому что ни один код не передаётся по SMS.

SMS-двухфакторка всё же лучше, чем ничего?

Да. Она не даст войти тому, у кого есть только ваш пароль. Для почты, банка и криптовалюты приложение-аутентификатор или аппаратный ключ закрывают ещё и случай с подменой SIM.