Код подтверждения, который вы не запрашивали

Код подтверждения, которого вы не запрашивали, означает, что кто-то ввёл ваш номер телефона в форму. Обычно этот человек ошибся в цифрах или раньше владел вашим номером. Иногда это кто-то, кто пытается войти в ваш аккаунт или зарегистрировать ваш номер в мессенджере. Пока код остаётся у вас в телефоне, он безвреден. Опасность начинается, если вы им поделитесь, поэтому никогда не диктуйте его, не пересылайте и не вводите по ссылке, которую вам кто-то прислал.

Почему пришёл код, если вы ничего не запрашивали?

В сообщении указан сервис, который его отправил, и это первая подсказка.

Что написано в SMS	Вероятная причина	Что делать
Код регистрации от сервиса, которым вы никогда не пользовались	Кто-то ошибся в собственном номере или проверял форму на случайном	Игнорировать
Код входа или сброса пароля от сервиса, которым вы пользуетесь	Кто-то пытается попасть в ваш аккаунт, часто с паролем из утечки	Сразу защитить аккаунт
Код регистрации WhatsApp, Telegram или Signal	Кто-то пытается зарегистрировать ваш номер на своём телефоне	Никому не сообщать код, включить PIN-код в приложении
Коды от множества не связанных между собой сервисов за несколько минут	Ваш номер заваливают кодами через инструмент SMS-бомбинга	Игнорировать, пожаловаться, переждать
Код, а следом сообщение с просьбой его переслать	Мошенничество прямо сейчас	Не отвечать, заблокировать отправителя

Есть ещё один безобидный случай. Если номер достался вам недавно, к нему могут быть всё ещё привязаны аккаунты прежнего владельца. Его коды и уведомления будут приходить, пока в этих сервисах не обновят номер. Почему так происходит, объясняет статья о смене номера телефона.

Когда незапрошенный код значит, что кто-то пытается войти в ваш аккаунт?

Когда это код входа, сброса пароля или двухфакторной аутентификации от сервиса, где у вас есть аккаунт. Сервис отправляет такие коды, только если кто-то ввёл ваш номер или почту на странице входа, а многие сервисы присылают код только после правильного пароля. Код двухфакторки, который вы не запрашивали, обычно значит, что ваш пароль уже известен, часто из утечки на другом сайте, где вы использовали тот же пароль.

Всё, что ниже, делайте со своего устройства: откройте приложение или сами наберите адрес сайта. Ссылками из SMS не пользуйтесь.

1. Смените пароль и сделайте его уникальным для этого сервиса.
2. Завершите все остальные сеансы на странице безопасности аккаунта.
3. Если двухфакторная защита всё ещё работает через SMS, переключите её на приложение-аутентификатор. Варианты описаны в статье двухфакторная аутентификация без номера телефона.
4. Проверьте резервную почту и телефон в аккаунте и удалите всё, что добавляли не вы.
5. Так же проверьте почтовый ящик, привязанный к аккаунту, потому что взлом часто начинается именно с него.

Зачем мошеннику, чтобы вы переслали код?

Потому что код — последнее, чего ему не хватает. Такие схемы приходят в виде SMS или сообщения от «друга», чей аккаунт уже угнали.

• «Я случайно отправил свой код на твой номер, перешли, пожалуйста». Код был для вашего собственного аккаунта. Кто-то регистрирует ваш WhatsApp или Telegram на своём телефоне, и код отдаст аккаунт ему. Получив аккаунт, он пишет вашим контактам с той же уловкой.
• «Продиктуйте код, чтобы я убедился, что вы настоящий продавец». На площадках объявлений покупатель просит код до оплаты. Обычно это код подтверждения Google Voice, и, продиктовав его, вы привязываете новый номер Google Voice к своему номеру телефона, а мошенник потом использует этот номер в других схемах. Федеральная торговая комиссия США (FTC) предупреждала именно об этой схеме.
• «Это ваш банк, подтвердите код, который мы только что отправили». Звонящий начал вход или платёж в вашем аккаунте, и ему нужен код, чтобы завершить операцию. Банки не звонят, чтобы спросить одноразовый код.

Настоящие сервисы никогда не просят передавать код подтверждения другому человеку. Многие, в том числе WhatsApp, пишут об этом прямо в сообщении.

Что делать с кодом WhatsApp, Telegram или Signal?

Код регистрации в мессенджере значит, что кто-то ввёл ваш номер на новом телефоне. Если он получит код, аккаунт перейдёт на его телефон, а ваш телефон из аккаунта выйдет.

Включите в приложении собственную защиту, чтобы одного кода было мало.

• WhatsApp: «Настройки → Аккаунт → Двухшаговая проверка». Приложение будет спрашивать шестизначный PIN-код каждый раз, когда ваш номер регистрируют заново.
• Telegram: «Настройки → Конфиденциальность → Облачный пароль». После кода понадобится ещё и пароль.
• Signal: «Настройки → Учётная запись → Блокировка регистрации». Чтобы снова зарегистрировать номер, потребуется ваш PIN-код Signal.

Повторяющиеся коды от одного приложения обычно прекращаются, когда человек сдаётся. Как каждое приложение проверяет номер, разобрано в статье как WhatsApp, Telegram и Signal проверяют номер.

Что, если коды продолжают приходить от многих сервисов?

Шквал кодов от не связанных между собой сервисов за несколько минут обычно устраивает инструмент SMS-бомбинга. Такие программы отправляют один номер сразу во множество форм регистрации, чтобы досадить его владельцу. Попасть в ваши аккаунты так никто не может, потому что коды приходят только вам.

Не отвечайте ни на одно из сообщений. В США и Великобритании спам-SMS можно переслать на номер 7726, и жалоба уйдёт вашему оператору. Если это продолжается несколько дней, спросите у оператора, может ли он фильтровать такой трафик. Сервисы, отправившие коды, обычно ограничивают номер после нескольких попыток, так что поток, как правило, прекращается сам.

Как получать меньше случайных кодов в будущем?

Чем меньше мест хранит ваш номер, тем меньше форм, куда его можно ввести, и тем реже он встречается в утёкших базах. Оставьте личный номер для аккаунтов, которым он действительно нужен: банка, основной почты и мессенджеров. Для разовой регистрации, где номер проверяют один раз, подойдёт арендованный номер, а восстановление аккаунта тогда пойдёт через вашу почту.

Частые вопросы

Можно ли взломать аккаунт, зная только номер телефона?

По одному номеру нельзя. Нужен ещё код, а в большинстве сервисов и пароль.

Нужно ли отвечать STOP на незапрошенный код?

В этом нет нужды. STOP отписывает вас от сообщений только этого отправителя, но не мешает кому-то вводить ваш номер в форму, а ответ неизвестному отправителю подтверждает, что номер активен. Игнорируйте сообщение или пожалуйтесь на него как на спам, если оно похоже на мошенничество.

Сработает ли код у кого-то, если я ничего не сделаю?

Он истекает, обычно через несколько минут, и бесполезен для того, кто его не видит.