# Мошенничество с заменой SIM-карты: как происходит захват учетной записи и почему одного SMS-кода недостаточно

> Мошенничество с заменой SIM-карты заключается в захвате номера жертвы, в результате чего одноразовые пароли, отправленные по SMS, попадают к злоумышленнику. Как работает захват учетной записи — и как SNA и системы обнаружения замен SIM-карт предотвращают это.

- Канонический URL: https://www.broadnet.me/ru/blog/sim-swap-fraud-sms-otp-defense
- Язык: ru
- Последнее обновление: 2026-10-20
- Издатель: BroadNet (https://www.broadnet.me)

- Опубликовано: 2026-08-03
- Автор: BroadNet Editorial Team

Мошенничество с подменой SIM-карты — это атака с захватом учетной записи, при которой преступник переносит номер мобильного телефона жертвы на контролируемую им SIM-карту — посредством социальной инженерии оператора или внутренней переадресации — таким образом, любой одноразовый пароль, отправленный на этот номер по SMS, попадает на устройство злоумышленника. Поскольку номер телефона используется в качестве второго фактора, одного SMS-кода недостаточно для предотвращения этой атаки.

> Это подробный анализ способов противодействия подмене SIM-карты. Для беспроблемной проверки сети, которая лежит в основе большей части защиты, ознакомьтесь с нашим руководством по [бесшумной сетевой аутентификации](https://www.broadnet.me/blog/silent-network-authentication-2026) — в этой статье показано, как она сочетается с обнаружением подмены SIM-карты и многоуровневой аутентификацией.

## Как на самом деле работает подмена SIM-карты

Подмена SIM-карты (также называемая захватом SIM-карты или несанкционированным переносом номера) вовсе не атакует ваши серверы — она атакует процесс восстановления учетной записи в мобильной сети. Преступник сначала собирает достаточно личных данных о жертве, чтобы выдать себя за неё: имя, дату рождения, адрес, последние набранные номера или украденные документы, удостоверяющие личность. Затем он связывается с мобильным оператором жертвы, заявляет о потере или повреждении SIM-карты и просит перенаправить номер на новую SIM-карту, находящуюся в его распоряжении, или перенести его к другому оператору.

Иногда переадресация номера осуществляется подкупленным или принужденным сотрудником розничного магазина или колл-центра, поэтому даже самые строгие технические средства контроля должны исходить из предположения, что перенос номера может быть успешным. В момент переадресации номера реальный телефон жертвы незаметно теряет связь, и все звонки и сообщения — включая одноразовые пароли, ссылки для сброса пароля и уведомления о транзакциях — перенаправляются злоумышленнику. Далее последовательность действий быстрая и механическая:

1. Инициировать сброс пароля или вход в целевую учетную запись (банк, кошелек, электронная почта, биржа), которая использует номер телефона для восстановления или двухфакторной аутентификации.
2. Получите одноразовый пароль по SMS на замененную SIM-карту и выполните задание.
3. Захватить учетную запись, изменить данные для восстановления и заблокировать доступ законному владельцу.
4. Списать средства, авторизовать платежи или перенаправить их на другие счета, имеющие тот же номер восстановления.

## Почему одного SMS-кода недостаточно

SMS-код подтверждения (OTP) рассматривает контроль над номером телефона как доказательство владения. Это предположение остается в силе до тех пор, пока номер не будет перемещен — а именно, при замене SIM-карты. Сам код в порядке; проблема в том, что он передается в открытом виде тому, кто в данный момент владеет SIM-картой, а сеть только что передала SIM-карту злоумышленнику. Ни сообщение, ни длина кода, ни срок его действия не меняют того, кто его получит.

Именно поэтому организации, занимающиеся стандартизацией, теперь рассматривают SMS как канал с более низким уровнем надежности, а не как надежный второй фактор аутентификации. NIST классифицирует внеполосную аутентификацию на основе SMS как «ограниченный» аутентификатор в стандарте SP 800-63B и ожидает, что проверяющие обнаружат такие признаки, как недавняя смена SIM-карты или перенос номера, прежде чем доверять ей. Практическое толкование для команды безопасности или продуктовой команды предельно ясно: SMS-одноразовый пароль допустим в качестве одного из сигналов в многоуровневой архитектуре, но он никогда не должен быть единственным шлюзом, защищающим сброс пароля или действие, имеющее высокую ценность. Подробнее о том, как мы описываем эту многоуровневую архитектуру, см. в обзоре [безопасности](https://www.broadnet.me/security).

## эшелонированная оборона

Ни один отдельный механизм не останавливает подмену SIM-карты, поскольку атака затрагивает две системы, которыми вы не владеете полностью — процесс предоставления доступа оператору связи и устройство пользователя. Надежное решение — это многоуровневая защита: проверка владения таким способом, который недоступен для подмененной SIM-карты, обнаружение факта подмены, привязка сессий к известным устройствам и усиление защиты при повышении риска. Каждый последующий уровень защиты предотвращает атаку на разных этапах.

### Бесшумная аутентификация сети и проверка номера оператора связи.

Бесшумная сетевая аутентификация (SNA) подтверждает наличие SIM-карты, напрямую связываясь с мобильным оператором в рамках активной сессии передачи данных, без отправки кода. Поскольку одноразовый пароль (OTP) не передается, перехваченная SIM-карта ничего не может перехватить — и, что особенно важно, проверка привязана к активному сетевому подключению, поэтому она отражает SIM-карту, которая фактически подключена в данный момент. API-интерфейсы проверки номера оператора, стандартизированные в рамках инициативы GSMA Open Gateway, обеспечивают доступность этой функции в разных сетях. Поставьте SNA на первое место в каскаде, а SMS-код OTP — ниже для большей доступности. Полное описание механизма приведено в нашем руководстве по бесшумной сетевой аутентификации.

### Обнаружение подмены/изменения SIM-карты

Самый прямой способ противодействия — задать оператору простой вопрос, прежде чем доверять одноразовому паролю (OTP): когда в последний раз менялась SIM-карта? Сигнализация оператора может вернуть метку времени последней замены SIM-карты или переноса номера. Если это изменение произошло в течение периода повышенного риска — обычно за последние 24–72 часа — вы рассматриваете номер как номер высокого риска и отказываетесь принимать SMS-код OTP или выполнять с ним конфиденциальные действия. Вместо аутентификации вы приостанавливаете действие, переходите на более строгий фактор аутентификации или отправляете дело на рассмотрение. Это превращает именно то событие, на которое полагается злоумышленник, в сигнал, который его останавливает.

### Привязка устройства

Привяжите учетную запись к устройствам, которые она обычно использует. Когда учетные данные или сессия привязаны к известному устройству — с помощью аппаратного ключа, пароля или проверенного отпечатка устройства — злоумышленник, владеющий только номером, все равно находится на нераспознанном устройстве. Вход в систему с нового устройства становится видимой аномалией, а не скрытым успехом, и может быть принудительно осуществлен через дополнительные проверки, прежде чем будет предоставлено какое-либо доверие.

### Повышенная аутентификация рисков и ценностей.

Сделайте сложность проверки соразмерной риску. Обычный вход в систему только для чтения может пройти без проблем; добавление получателя платежа, изменение номера восстановления или перевод денег должны требовать более строгих мер — фактора защиты от фишинга, подтверждения в приложении или повторной проверки сети. Когда недавняя смена SIM-карты, новое устройство или необычное местоположение совпадают с важным действием, эта комбинация всегда должна вызывать более строгую проверку, чем SMS-код.

### Учитывайте множество факторов — одноразовый пароль (OTP) — это лишь один из сигналов, а не вся блокировка целиком.

Объединяющий принцип заключается в том, чтобы не использовать какой-либо отдельный сигнал подтверждения владения номером. Необходимо объединить проверку владения номером, подтвержденную сетью, сигналы смены SIM-карты и устройства, а также фактор защиты от фишинга для наиболее ценных потоков, и сохранить SMS-код подтверждения в качестве универсального резервного варианта для расширения охвата. В зависимости от характера атаки, эти уровни нарушают ее на каждом этапе:

| Шаг атаки | Что получает злоумышленник | Контроль, который его нарушает |
|---|---|---|
| Перенесите номер на новую SIM-карту. | Входящие SMS и звонки | Обнаружение подмены SIM-карты по метке времени последнего изменения |
| Запустить SMS-код подтверждения (OTP) | Одноразовый код на их устройстве | Бесшумная сетевая аутентификация (код не отправляется) |
| Войти с нового устройства | Сессия по целевому аккаунту | Привязка устройства плюс поэтапная аутентификация |
| Перевести деньги или изменить данные | Выплата или полное поглощение | Многоуровневая аутентификация: одноразовый пароль (OTP) — это лишь один из факторов, но никогда не единственный. |

## Банковский аспект стран Ближнего Востока и Северной Африки, а также стран Персидского залива.

В странах Персидского залива это не абстрактный риск. Согласно отчетам GSMA Mobile Economy, страны Персидского залива входят в число мировых лидеров по проникновению смартфонов и внедрению мобильного банкинга, а мобильные кошельки и системы мгновенных платежей уже широко распространены в ОАЭ, Саудовской Аравии и Египте. Там, где телефон является основным каналом банковских операций и идентификации личности, номер телефона становится чрезвычайно ценным активом, а успешная операция по его замене имеет немедленный финансовый эффект. В связи с этим региональные регуляторы и банки ужесточают требования к переводам крупных сумм и изменению получателей.

Для банков и финтех-компаний в регионе наиболее эффективной является многоуровневая система защиты, реализуемая через инфраструктуру, напрямую связанную с операторами связи. Проверка наличия SIM-карты, подтвержденная сетью, и запрос на замену SIM-карты зависят от реальных сигнальных отношений с операторами-конечными абонентами — та же самая прямая маршрутная сеть, которая обеспечивает надежную доставку A2P-трафика, обеспечивает точность обнаружения замены SIM-карты. Серые маршруты не могут предоставить достоверную метку времени последней замены SIM-карты.

> Стек [OTP и верификация](https://www.broadnet.me/products/otp) от BroadNet сначала выполняет скрытую сетевую аутентификацию, проверяет наличие недавних изменений SIM-карты перед подтверждением кода и переключается на использование только SMS для обеспечения связи — поэтому при замене SIM-карты проверка на наличие SIM-карты не проходит, а проходит. Для встроенного виджета верификации с возможностью переключения на голосовую связь, построенного в той же сети оператора, см. [MyOTP](https://www.broadnet.me/products/myotp).

## Часто задаваемые вопросы

### Что такое мошенничество с заменой SIM-карты?

Мошенничество с подменой SIM-карты — это метод захвата учетной записи, при котором преступник убеждает мобильного оператора перенести номер телефона жертвы на SIM-карту, контролируемую им самим, — используя методы социальной инженерии, украденные личные данные или информацию от инсайдера в компании. После переноса номера на устройство злоумышленника поступают звонки и SMS-сообщения, включая одноразовые пароли, что позволяет ему обойти аутентификацию по телефону и захватить учетные записи.

### Можно ли обойти SMS-код подтверждения при замене SIM-карты?

Да. В этом и заключается основная уязвимость, которую использует подмена SIM-карты. SMS-код подтверждения (OTP) предполагает контроль над номером и доказывает его владение, но подмена перенаправляет номер на SIM-карту злоумышленника, поэтому код доставляется ему напрямую. Защита заключается не в улучшении кода, а в другой проверке: скрытой сетевой аутентификации, запросе на смену SIM-карты перед подтверждением OTP, привязке устройства и поэтапной аутентификации для важных действий.

### Как банки предотвращают атаки с использованием подмены SIM-карт?

Ведущие банки используют несколько уровней контроля. Они запрашивают у сети метку времени последней смены SIM-карты и отказываются принимать одноразовые пароли (OTP) или совершать крупные транзакции, если смена произошла недавно; они используют скрытую сетевую аутентификацию, чтобы предотвратить отправку перехватываемого кода; они привязывают сеансы к известным устройствам; и они внедряют фактор защиты от фишинга при перемещении денежных средств и изменении получателя. SMS-коды OTP используются как один из многих сигналов, а не как единственный способ контроля.

## Ссылки

- NIST — Руководство по цифровой идентификации SP 800-63B (рекомендации по аутентификаторам и внеполосным операциям): [nist.gov](https://pages.nist.gov/800-63-3/sp800-63b.html)
- GSMA — API для открытых шлюзов, проверки номеров и замены SIM-карт: [gsma.com](https://www.gsma.com/solutions-and-impact/gsma-open-gateway/)
- BroadNet — обзор [OTP и проверки](https://www.broadnet.me/products/otp) и [безопасности](https://www.broadnet.me/security).
- BroadNet — [Бесшумная сетевая аутентификация в 2026 году](https://www.broadnet.me/blog/silent-network-authentication-2026).