SMS-код подтверждает действие, но не защищает клиента, если тот сам сообщает его постороннему человеку. Малому бизнесу стоит выстроить защиту вокруг всей цепочки: ограничить срок жизни кода, связать его с конкретной операцией, предупредить получателя и отслеживать подозрительные попытки. В статье разберём, как настроить такие правила для входа, оплаты, изменения номера и онлайн-заказа, а также какие тексты SMS снижают риск обмана.
Почему одного SMS-кода недостаточно для защиты клиента?
Код из SMS доказывает, что сообщение пришло на телефон пользователя. Он не подтверждает, что код вводит сам владелец номера. Если клиент продиктует цифры собеседнику по телефону, тот сможет завершить действие от его имени.
В Минске 15-летний подросток стал жертвой схемы, в которой злоумышленники позвонили в Viber, представились сотрудниками мобильного оператора и под предлогом продления срока действия номера получили SMS-код. После этого они убедили подростка передать более 11 тысяч рублей наличными курьеру (Digital Belarus). Для бизнеса этот случай показывает практическую проблему: пользователь может раскрыть код не из-за сбоя системы, а под влиянием убедительного разговора.
Поэтому в SMS нужно прямо указывать назначение кода. Формулировка «Код: 483921» оставляет человека без подсказки. Вариант «Код для входа в личный кабинет: 483921. Никому его не сообщайте» уже связывает цифры с конкретным действием. Если клиент услышит по телефону просьбу назвать код «для отмены операции» или «для проверки номера», текст сообщения поможет заметить несоответствие.
Предупреждение не заменяет технические ограничения. Оно работает вместе с коротким сроком действия кода, лимитом попыток и контролем повторных запросов.
Какие правила нужно настроить для SMS-кодов?
Сначала опишите операции, в которых бизнес использует подтверждение. Для интернет-магазина это вход в кабинет, привязка номера, изменение адреса доставки и отмена заказа. Для сервиса услуг к списку добавятся запись клиента, перенос визита и восстановление доступа. Для каждой операции задайте отдельный шаблон и отдельное событие в системе.
- Привяжите код к действию. В тексте указывайте, что именно подтверждает клиент: вход, смену телефона или оплату заказа.
- Ограничьте срок действия. После истечения срока старый код должен перестать работать, даже если клиент нашёл его в переписке.
- Запретите повторное использование. После успешной проверки код нужно сразу закрыть.
- Введите лимит попыток. После нескольких неверных вводов система должна временно остановить проверку и попросить начать процедуру заново.
- Разделите запрос и отправку. Новый код должен отменять предыдущий, чтобы у пользователя не было нескольких действующих вариантов.
- Показывайте контекст. Если код подтверждает вход, SMS должно содержать название действия, а не только набор цифр.
Отдельно обработайте повторную отправку. Кнопка «Отправить код ещё раз» не должна создавать бесконечный поток сообщений. Для неё нужен интервал ожидания, а после нескольких запросов система должна предложить обратиться в поддержку через официальный канал.
Для операций с повышенным риском полезно проверять дополнительные признаки: резкую смену устройства, необычное количество попыток, частое изменение номера или последовательные запросы кода для разных аккаунтов. Сам по себе один такой признак не доказывает мошенничество. Он служит поводом остановить операцию до ручной проверки.
Технические меры для защиты кодов от перехвата и подмены номера собраны в материале о защите SMS-кодов от SIM-swap. Его стоит использовать вместе с настройками сценариев авторизации.
Как написать SMS, чтобы клиент не передал код мошеннику?
Текст сообщения должен отвечать на четыре вопроса: что происходит, где используется код, сколько он действует и что делать при неожиданном запросе. Не перегружайте SMS объяснениями. Человек должен понять смысл за несколько секунд.
| Ситуация | Пример текста | Что снижает риск |
|---|---|---|
| Вход в личный кабинет | Код для входа в личный кабинет: 483921. Никому его не сообщайте. | Название действия и прямой запрет на передачу. |
| Смена номера телефона | Код для смены номера: 483921. Если вы этого не делали, обратитесь в поддержку. | Подсказка для клиента, который не запрашивал операцию. |
| Подтверждение заказа | Код для подтверждения заказа №1842: 483921. Сотрудники не спрашивают этот код. | Связь кода с заказом и правило для общения с персоналом. |
| Восстановление доступа | Код для восстановления доступа: 483921. Действует ограниченное время. | Понимание назначения и срока действия. |
Номер заказа или краткое название операции полезнее, чем общий текст вроде «Подтвердите действие». Но в SMS не стоит раскрывать лишние сведения, которые помогут постороннему убедить клиента в правдоподобии звонка. Достаточно показать тот контекст, который пользователь сам ожидает увидеть.
Фразу «сотрудники не спрашивают этот код» лучше добавлять там, где клиент может столкнуться с социальной инженерией: при восстановлении доступа, смене реквизитов или подтверждении чувствительного действия. Для обычного уведомления о готовности заказа такая фраза будет лишней и перегрузит сообщение.
Если код не запрашивали, клиенту нужен понятный следующий шаг. Укажите официальный способ связи, который уже знаком пользователю: раздел поддержки на сайте, номер из договора или адрес, размещённый в личном кабинете. Не просите отвечать на SMS, если этот канал не обрабатывает ответы.
Как отличить код подтверждения от сервисного SMS?
Код подтверждения запускает или завершает действие. Сервисное SMS сообщает о результате или изменении статуса: заказ принят, документ готов, платёж обработан, доставка перенесена. Эти сообщения требуют разных шаблонов, событий и правил повторной отправки.
| Признак | SMS-код | Сервисное уведомление |
|---|---|---|
| Цель | Подтвердить действие пользователя. | Сообщить результат или статус. |
| Содержание | Короткий одноразовый код и назначение. | Описание события и следующий шаг. |
| Повторная отправка | По ограниченному запросу пользователя. | По правилам события, без дублирования каждого технического повтора. |
| Риск при передаче | Посторонний может завершить операцию. | Посторонний получает сведения о статусе, но не код доступа. |
Смешивать два типа сообщений в одном шаблоне не стоит. Фраза «Ваш заказ принят, код 483921» может создать у клиента впечатление, что код нужен для доставки или общения с курьером. Злоумышленник легко использует такую путаницу в разговоре. Коды отправляйте только для подтверждения конкретной операции, а статусы заказа ведите отдельной цепочкой.
Для сервисных сообщений задайте собственные события: создание заказа, изменение статуса, готовность документа, возврат или отмена. Так оператор поддержки видит, какое уведомление ушло клиенту, а разработчик может проверить ошибку через журнал API. Подход к уведомлениям о возврате разобран в материале о настройке SMS при возврате.
Если бизнес подключает SMS через API, в журнале полезно хранить технические сведения о попытке отправки: время запроса, тип события, результат доставки и код ошибки провайдера. Сам текст кода и другие чувствительные данные не нужно выводить в открытый журнал. Для поддержки достаточно видеть, что операция создана, сообщение отправлено и проверка завершилась успешно или неуспешно.
Какие сигналы считать подозрительными?
Автоматическое уведомление о подозрительном действии должно помогать остановить операцию, а не пугать клиента без причины. Сценарии лучше разделить по уровню риска и заранее определить реакцию системы.
- Много запросов кода за короткий период. Временно приостановите новые запросы и покажите клиенту инструкцию обратиться в поддержку.
- Повторяющиеся неверные коды. Закройте текущую сессию и потребуйте новый вход.
- Смена номера перед важной операцией. Введите паузу перед восстановлением доступа или изменением платёжных данных.
- Попытка изменить несколько критичных параметров подряд. Передайте операцию на ручную проверку.
- Запрос кода, который клиент не подтверждает. Отправьте предупреждение о попытке входа и предложите связаться с поддержкой.
В предупреждении не сообщайте, какое именно правило сработало, если эта информация помогает обходить защиту. Клиенту достаточно знать, что действие временно остановлено, и получить понятный официальный канал для проверки. Сотрудник поддержки при этом должен видеть событие, время и статус проверки.
Какие ошибки чаще всего ослабляют защиту?
- Один код используется для нескольких операций. Клиент не понимает, что именно он подтверждает, а система теряет точность контроля.
- В SMS нет запрета на передачу. Пользователь может принять звонок мошенника за штатную проверку.
- Старый код остаётся действующим. При нескольких запросах человек вводит предыдущую комбинацию, а система принимает её.
- Нет ограничения попыток. Злоумышленник получает возможность подбирать код.
- Сервисное уведомление содержит код. Статус заказа и авторизация смешиваются в одном сообщении.
- Поддержка просит продиктовать код. Такое правило внутри компании противоречит предупреждению в SMS и создаёт у клиента неверную привычку.
Перед запуском проверьте сценарий на тестовом номере: запросите код, введите неверное значение, запросите новый, дождитесь окончания срока действия и повторите старый код. Затем проверьте, что после подозрительной попытки система создаёт обращение для поддержки, а клиент получает понятное сообщение без технических подробностей.
На этой базе можно подключить информационные и транзакционные SMS отдельно от рекламных рассылок: коды остаются частью авторизации, а статусы и подтверждения привязываются к событиям бизнеса. Для малого проекта достаточно начать с трёх сценариев и постепенно добавить остальные.
3 шага, которые можно сделать на этой неделе:
- Составьте список операций, где клиент вводит SMS-код, и создайте отдельный шаблон для каждой операции.
- Добавьте срок действия, лимит попыток, отмену старого кода и фразу «Никому его не сообщайте».
- Проведите тестовый проход от запроса кода до подозрительной попытки и проверьте журнал событий через API.
