Звонит «техподдержка»: как остановить голосовой фишинг до кражи аккаунта

При неожиданном звонке от банка, коллеги или технической поддержки остановите любые действия с аккаунтом, завершите разговор и самостоятельно свяжитесь с организацией по заранее известным реквизитам. Не называйте пароль или код, не одобряйте вход и не переходите по присланной ссылке. Памятка Федеральной торговой комиссии США рекомендует собрать минимум несекретных деталей, положить трубку и обратиться в организацию через официальное приложение, сайт, выписку или номер на карте.

Если вы уже ввели пароль, продиктовали одноразовый код, одобрили запрос на вход или дали доступ к экрану, считайте учётную запись потенциально скомпрометированной. Немедленно прекратите контакт, сообщите службе безопасности через независимый канал и попросите заблокировать новые входы, отозвать действующие сеансы и проверить способы восстановления и многофакторной аутентификации.

Почему убедительный звонок не доказывает личность

Звонящий может знать имя, должность, работодателя, банк или часть сведений о счёте. Это делает легенду правдоподобной, но не устанавливает, кто находится на линии: сведения могли быть опубликованы, украдены или получены из прежней переписки. Отображаемый номер, знакомый голос и оформление страницы также не заменяют независимую проверку.

Риск не ограничивается примитивными звонками. В мае 2026 года Google Threat Intelligence описала действия UNC6671: звонящие выдавали себя за сотрудников внутренней ИТ-службы, направляли людей на страницы сбора учётных данных и в реальном времени получали пароли и коды многофакторной аутентификации. Легенда могла строиться вокруг обязательного обновления защиты или перехода на новый способ входа.

Требование срочно действовать, сохранить разговор в тайне, установить программу удалённого доступа, открыть ссылку или одобрить неожиданный вход повышает риск. Однако спокойный тон не делает звонок безопасным: проверять нужно обращение через другой канал, а не по голосу или осведомлённости собеседника.

Что делать во время подозрительного звонка

1. Остановите действия с аккаунтом. Не открывайте присланную ссылку, не вводите адрес под диктовку, не устанавливайте приложения и не выполняйте команды. Отклоните запрос на вход, который инициировали не вы.
2. Не передавайте секреты. Пароль, одноразовый и резервный коды, код из SMS и содержимое уведомления дают системе основание разрешить действие. Сотруднику поддержки они для установления личности не нужны.
3. Запишите несекретные детали. Достаточно времени звонка, отображавшегося номера, имени собеседника, подразделения, номера заявки и сути требования. Не продолжайте беседу ради сбора доказательств.
4. Завершите соединение сами. Не соглашайтесь на перевод к «службе безопасности» внутри того же звонка и не используйте номер, который назвал собеседник.
5. Обратитесь через доверенный канал. Для рабочего аккаунта используйте утверждённый контакт ИТ-службы или безопасности; для банка — официальное приложение, чат либо номер на карте.

Настоящая поддержка сможет найти заявку после самостоятельного обращения пользователя. Просьба обойти установленную процедуру под предлогом аварии или распоряжения руководителя — достаточная причина остановить разговор.

Как независимо проверить банк, коллегу или поддержку

Независимый канал означает, что контактные данные получены не от звонящего и не из его сообщения. Для компании используйте внутренний каталог, корпоративный портал или заранее сохранённый номер дежурной службы. Для банка подойдут приложение, обратная сторона карты, договор или официальный сайт, адрес которого введён вручную.

Попросите известную службу проверить наличие заявки и имя назначенного специалиста. Сам номер заявки ничего не доказывает: обращение должно быть видно в официальной системе и относиться к вашей учётной записи. Не перезванивайте на номер из сообщения и не доверяйте первому рекламному результату поиска.

Если звонит якобы коллега, свяжитесь с ним через уже известный корпоративный мессенджер, внутренний номер или видеосвязь. Сброс пароля, добавление нового способа входа и другие операции с доступом должны проходить через установленную систему заявок и согласований, а не только по личной просьбе.

Если пароль или код уже передан

Не ждите уведомления о взломе. С доверенного устройства самостоятельно откройте официальный сервис, смените пароль на уникальный и проверьте недавние входы, устройства, способы восстановления, ключи доступа и приложения с разрешениями. Если тот же пароль применялся в других местах, в первую очередь замените его в почте и системе единого входа.

Сотруднику важно сразу сообщить ИТ-службе, что именно произошло: был раскрыт пароль или код, одобрен вход, открыта страница либо предоставлен удалённый доступ. Передайте время события, адрес страницы и замеченные изменения, но не пересылайте действующие секреты и не удаляйте журналы.

Администратору одной смены пароля недостаточно. Нужно заблокировать новые входы, отозвать токены и сеансы, удалить неизвестные факторы аутентификации, проверить правила почты, переадресацию, разрешения приложений и журналы действий. Документация Microsoft Entra ID указывает, что поставщик удостоверений не может напрямую отозвать сеанс, выпущенный самим приложением: связанные облачные сервисы приходится проверять отдельно.

Если посторонний управлял устройством удалённо, отключите его от сети и передайте специалистам, не удаляя программы и файлы самостоятельно. При раскрытии банковских данных параллельно свяжитесь с банком по официальному номеру и следуйте его процедуре ограничения операций.

Какие правила нужны организации

• Запрет на передачу секретов. Поддержка не просит пароль, одноразовый или резервный код и не требует одобрить вход, который пользователь не начинал.
• Доверенный обратный контакт. Номер или кнопка связи заранее опубликованы во внутреннем каталоге, а запросы на изменение доступа привязаны к видимой сотруднику заявке.
• Раздельная проверка личности. Сброс пароля и добавление фактора выполняются через другой доверенный канал; для привилегированных аккаунтов применяется дополнительное согласование.
• Устойчивые к фишингу способы входа. Для важных систем целесообразны ключи безопасности или ключи доступа на основе FIDO/WebAuthn. Рекомендации CISA по многофакторной аутентификации относят FIDO/WebAuthn к широко доступным способам входа, устойчивым к фишингу.
• План отзыва доступа. Дежурные администраторы должны уметь быстро заблокировать учётную запись, завершить сеансы у поставщика удостоверений и в отдельных приложениях, удалить неизвестные факторы и сохранить журналы.

Рабочая последовательность для получателя звонка короткая: остановиться — завершить звонок — найти доверенный контакт — перепроверить — сообщить. Если секрет уже раскрыт, организация должна перейти к блокировке входа, отзыву сеансов и проверке связанных сервисов.

Читайте также:

• Как завершить навигацию в Google Maps на телефоне, в автомобиле и голосовой командой
• Как обеспечить безопасность аккаунта в Google Ads
• Голосовой набор текста: онлайн-сервисы и приложения для компьютера