Пришло смс с кодом от OTPSMS: что это, как работает и что делать

OTP — это одноразовый код (пароль), который приходит в смс, приложении или звонке для подтверждения входа или операции. Если код запрашивали сами — беспокоиться не о чем. Если не запрашивали, тогда не сообщайте его никому, и через несколько минут код станет неактивным.

В статье рассказываем, что значит OTP SMS, в каких случаях код вводить безопасно, а в каких нужно насторожиться.

Что такое одноразовый OTP-код и как расшифровывается

OTP расшифровывается как «One-Time Password», то есть одноразовый пароль. Это код подтверждения действия, который приходит на телефон пользователя.

Иногда возникает путаница из-за написания: английскую букву «P» («Пи») в сочетании OTP путают с русской «Р». А в сообщениях OTP-код могут называть по-разному: код подтверждения, одноразовый пин, динамический пароль, смс-пароль — все это одно и то же.

OTP-код может состоять из цифр и букв. Вот только несколько ситуаций, в которых он может прийти:

Чем отличается от обычного пароля и пин-кода

Пароль (или пин-код) пользователь придумывает сам один раз, а затем использует эту же комбинацию при каждом входе в систему. Пароль нужно помнить или сохранять в безопасном месте. Никто, кроме самого человека, не должен его знать — это конфиденциальная информация. Если пароль попадет в чужие руки, аккаунт могут взломать. 

OTP-код придумывает не человек, а система. Он действует несколько минут и после ввода сгорает. В следующий раз система пришлет уже другую комбинацию. Из-за этого одноразовый код сложнее украсть: даже если он попадет мошенникам, толку от него уже не будет — он попросту не сработает второй раз. Заодно использование одноразового кода удобно и для пользователя: не нужно запоминать длинные комбинации или восстанавливать забытый пароль.

Почему пришло смс от OTPSMS и что это означает

Компании «OTPSMS» как отдельного бизнеса не существует — это не сайт, на который можно зайти, и не служба поддержки, куда можно позвонить. Так называют техническую платформу: SMS-шлюз, через который разные компании массово отправляют клиентам одноразовые коды, не разворачивая для этого собственную инфраструктуру.

Например, вы заказали товар на маркетплейсе или оформили карту, а код подтверждения пришел не от названия магазина или банка, а от OTPSMS. Просто эта компания не настроила себе отдельное имя отправителя, и вместо нее в смс показывается имя самого шлюза. Так что увидеть код без узнаваемой подписи — это нормально.

То есть вы не «имеете дело» с OTPSMS напрямую — вы имеете дело с банком, магазином или сервисом.

Если вам пришел код от ОТП СМС, значит, вы оказались в одной из ситуаций:

Если OTP-код поступил на телефон по вашей инициативе, то введите его в нужное поле и продолжайте то, что начали (вход в мобильный банк, смену пароля, онлайн-оплату и прочее).

Код пришел по ошибке или уже не актуален — просто проигнорируйте сообщение. Через несколько минут комбинация станет недействительной.

Если вы не запрашивали код, но получили его, это не повод для беспокойства. Сам по себе факт получения OTP SMS не несет рисков. Главное — никуда его не вводите и не называйте третьим лицам.

Как работает OTP-аутентификация

За сложным термином «OTP-аутентификация» скрывается, по сути, простая проверка: система убеждается, что действие совершаете именно вы, а не кто-то другой. Она срабатывает каждый раз, когда вы заходите в личный кабинет, расплачиваетесь картой или меняете пароль — и защищает ваши данные и деньги от мошенников. 

Как происходит верификация по одноразовому коду:

Где искать смс с кодом

Смс приходит как обычное сообщение, и чаще всего его видно уже на экране блокировки. Если превью не появилось, проверьте «Сообщения» и папку со спамом и заблокированными отправителями. Иногда туда автоматически уходят смс с незнакомых коротких номеров. В мобильном банке или приложении сервиса код может прийти пуш-уведомлением.

Как еще можно получить одноразовый код подтверждения

Кроме смс, код можно получать через специальное приложение-аутентификатор — этот способ называется TOTP. Вот как он работает:

Важно: такие приложения работают даже без интернета, сотовой сети и в авиарежиме. Это делает способ надежнее смс: чтобы получить код, мошенникам придется завладеть самим смартфоном, а не просто узнать номер телефона. 

Все больше компаний переходят на TOTP-аутентификацию. Например, Госуслуги постепенно уходят от входа по смс и предлагают TOTP как один из вариантов входа.

Что могут сделать мошенники, если получат чужой пароль из смс

Сам по себе код из смс не даст мошенникам доступа к аккаунтам и деньгам. А вот в сочетании с номером телефона, электронным адресом или данными карты, которые уже оказались в руках злоумышленников, — это ключ ко взлому. 

Собрали частые сценарии, что могут сделать мошенники по чужому коду из смс:

Украсть деньги со счета, если получат доступ к мобильному банку. Например, если вы ввели логин и пароль от онлайн-банка на фишинговом (подставном) сайте, а затем сообщили мошенникам код из смс.

Оформить кредит или микрозайм на имя жертвы. Хакеры так делают, если у них в руках оказались паспортные данные человека. Взять займ онлайн не составит труда, если выманить одноразовый пароль.

Зайти в аккаунт соцсетей или Госуслуг. Там злоумышленники могут изменить пароль и контактные данные для входа, выманивать деньги у друзей и родственников или оформлять онлайн-займы с помощью идентификации через портал.

Подтвердить оплату чужой картой через систему безопасности 3D Secure. Это когда, помимо ввода данных карты, нужно подтвердить списание кодом из смс.

Такие дела расследуют не быстро, и не всегда получается вернуть украденные деньги. Но у вас есть законный выход: если мошенники все же взяли кредит на ваше имя, а денег на его погашение нет и вы не знаете, как его погашать, рассмотрите оформление банкротства.

Что делать, если пришел код OTP, который не запрашивали

Такое случается по трем причинам: из-за ошибки в системе, из-за сбоя сети или потому, что кто-то пытается вас взломать.

В первых двух случаях ничего не предпринимайте. Срок действия кода закончится через несколько минут, и ничего не произойдет.

Если код пытаются выманить намеренно, запомните: никому и ни при каких обстоятельствах его не сообщайте. Вам могут прислать смс со ссылкой на «сайт банка» или куда-то еще — это обман, переходить по таким ссылкам нельзя.

Код действует недолго, поэтому мошенники нередко запрашивают его повторно и продолжают попытки выманить — тогда вы получите шквал смс за короткий промежуток времени. Если в сообщении указан источник — например, код для Госуслуг или банка ВТБ, — зайдите в личный кабинет и смените пароль. Затем проверьте активные сеансы и завершите ненужные.

FAQ: отвечаем на частые вопросы

1. Может ли OTP быть взломан хакерами?
   Это редкость — например, если мошенники перехватывают все сообщения, отправленные на ваш номер телефона. Но одного кода обычно недостаточно для взлома, потребуются дополнительные данные: электронный адрес, паспортные данные, номер карты. Храните эти сведения в тайне.
2. Можно ли отвечать на смс с кодом OTP?
   В этом нет смысла. Коды рассылает смс-шлюз, то есть этот процесс автоматизирован. Ваш ответ не попадет к сотруднику конкретной компании.
3. Сколько времени действует одноразовый OTP-код?
   Обычно несколько минут. Например, у Сбербанка — 5 минут, у ВТБ и Альфа-Банка — 10 минут.
4. Почему в смс с OTP-кодом не указано название сайта или сервиса?
   Потому что отправителем является не сама организация, а платформа-посредник. Процесс рассылки кодов автоматизирован. Текст сообщения содержит только сам код.