Код приходит на то, чего вы не делали. Само сообщение не говорит, почему его отправили, и в этом вся сложность: одна и та же SMS согласуется с несколькими совершенно разными ситуациями.
Коротко: не передавайте код никому, кто с вами по его поводу связался, и не действуйте по ссылкам или номерам внутри сообщения. Рекомендация Google для незапрошенного кода — проигнорировать и удалить его и не делиться им. Дальше — что имеет смысл сделать, зависит от того, что ещё вы можете наблюдать: называет ли код сервис, которым вы действительно пользуетесь, приходят ли следом другие коды, изменилось ли что-то в этом аккаунте и нормально ли работает ваша мобильная связь.
Три вещи, которые нужно сделать первыми
- Не передавайте код. Если кто-то связывается с вами и просит код входа, регистрации или восстановления — звонком, в чате или сообщением, — не давайте его. Пользуйтесь только тем процессом, который начали вы сами, внутри официального приложения или сайта сервиса.
- Не действуйте по ссылкам и номерам телефона из самого сообщения. Пришедший код не делает окружающий его текст подлинным.
- Если код называет сервис, которым вы пользуетесь, откройте этот сервис сами — его официальное приложение или адрес, набранный вами, — и посмотрите на аккаунт оттуда.
Справка Google о незапрошенных кодах подтверждения говорит, что сообщение можно проигнорировать и удалить, а кодом делиться не следует, и указывает на Проверку безопасности для более широкого обзора.
Что это может означать
Само сообщение эти варианты не различает. Страница Microsoft по разбору незапрошенных кодов называет три возможности прямо:
- Кто-то пытается получить доступ к аккаунту.
- Кто-то ошибся при вводе номера телефона или адреса почты при входе.
- Код, который вы запрашивали раньше, задержался и дошёл только сейчас. Если вы не уверены, каким каналом шёл прежний запрос, куда на самом деле уходят коды подтверждения разбирает, как прочитать адресата.
Ещё две стоит держать в голове:
- Сообщение может быть приманкой. Сообщение в форме кода может сопровождать попытку заставить вас позвонить на номер, перейти по ссылке или прочитать код кому-то вслух.
- Номер может нести историю прежнего владельца. Номера передаются, и это тот же механизм, что стоит за номером, который приходит уже зарегистрированным в WhatsApp.
Это возможности, а не диагноз. Чтобы выбрать между ними, нужно что-то помимо SMS — например, сам аккаунт.
На что смотреть, в зависимости от того, что вы наблюдаете
| Что вы наблюдаете | С чем это согласуется | Соразмерный ответ |
|---|---|---|
| Один код, для сервиса, которым вы не пользуетесь | Неверно введённый номер, задержавшееся сообщение или попытка против аккаунта, который не ваш | Проигнорировать и удалить; никуда его не вводить |
| Один код, для сервиса, которым вы пользуетесь | Любая из возможностей выше, включая попытку | Открыть сервис самостоятельно и посмотреть его страницу безопасности |
| Приходят новые коды | Повторяющиеся попытки или сервис, повторяющий отправку | Просмотреть настройки безопасности названного аккаунта и усилить вход |
| Кто-то связывается с вами и просит код | Попытка получить его от вас | Не передавать; прекратить контакт; сообщить через официальный канал сервиса |
| На аккаунте что-то незнакомое — сессия, устройство или изменённый способ восстановления | Возможный доступ | Пользоваться собственными средствами сервиса, начиная со способов восстановления |
| Мобильная связь неожиданно перестала работать | Сбой сети, неисправность устройства или SIM-карты либо изменение линии | Связаться с оператором — см. ниже |
Способы восстановления заслуживают самого пристального взгляда
Если после неожиданного кода вы осматриваете только одну часть аккаунта, пусть это будет эта.
Доступ к аккаунту можно сделать устойчивым, изменив его способы восстановления — резервную почту, телефон для восстановления, доверенные устройства, связанные сессии. Восстановление пароля не обязательно это отменяет, потому что путь обратно уже перенаправлен.
Поэтому на странице безопасности аккаунта ищите прицельно:
- резервную почту, которую вы не узнаёте или не можете открыть;
- телефон для восстановления, который вам не принадлежит;
- связанные устройства или активные сессии, которые вы не узнаёте;
- подключённые приложения или пароли приложений: их поведение после смены пароля различается по сервисам — посмотрите документацию конкретного сервиса, а не исходите из того, что они автоматически отозваны.
Google документирует просмотр активности и устройств аккаунта для своих аккаунтов.
Если телефон потерял связь
У потери мобильной связи есть обычные причины: сбой сети, повреждённая или сместившаяся SIM-карта, неисправность устройства, вопрос по оплате.
Она также может сопровождать изменение самой линии. Быстрого звонка оператору заслуживает именно сочетание — связь пропала без обычного объяснения, особенно вместе с сообщениями об изменениях в аккаунте, переносе номера или запросах на перенос, которых вы не начинали.
Связывайтесь с оператором по номеру, который нашли сами, а не по номеру из сообщения. Как пример одного оператора: рекомендация AT&T в США просит клиентов, подозревающих незаконный перенос номера, связаться с компанией без промедления; у других операторов свои процедуры и каналы связи, поэтому пользуйтесь тем, что есть у вашего. Сама по себе потеря связи не устанавливает, что номер переехал; это повод быстро проверить, потому что контроль над линией определяет вход и восстановление доступа по SMS.
Два случая, которые стоит разобрать
Иллюстративные сценарии, а не отчёты о реальных аккаунтах.
Код от сервиса, которым вы никогда не пользовались. Он называет маркетплейс, аккаунта на котором у вас нет. Защищать вам здесь нечего. Проигнорируйте и удалите, и не создавайте там аккаунт, чтобы разобраться, — это превращает случайное сообщение в реальный след. Если от того же сервиса приходят новые, сообщить о них стоит в его собственный канал безопасности или поддержки; маркетплейсы публикуют свои рекомендации, например справка Shopee по безопасности аккаунта. WhatsApp тоже публикует рекомендации для кода, который вы не запрашивали.
Код от сервиса, которым вы пользуетесь, дважды за десять минут. Здесь есть что осмотреть. Откройте собственное приложение сервиса, зайдите на его страницу безопасности и прочитайте активность входов, устройства и способы восстановления — именно в таком порядке. Если всё совпадает с вашими ожиданиями, разумный ответ — усилить вход. Если же аккаунт отказывает номеру, который вы пытаетесь добавить, это другая задача — см. что означает отказ Google в номере телефона. Если какой-то способ восстановления вам незнаком, это и есть находка, и разбирается она собственными средствами восстановления и безопасности сервиса.
Если вы уже отдали код кому-то
Так бывает, и давление, которое при этом применяют, рассчитано на то, чтобы сработать. Что делать, зависит от того, можете ли вы ещё войти в аккаунт.
Если доступ у вас остался:
- Откройте сервис напрямую — его приложение или адрес, набранный вами.
- Сначала просмотрите способы восстановления и верните те, что были изменены.
- Просмотрите связанные устройства и активные сессии. Завершите незнакомые; будьте осторожны с завершением всех сразу, если сессия, которая у вас есть, — ваш единственный вход.
- Смените те учётные данные, которыми сервис действительно пользуется. Не каждый сервис использует привычный пароль — WhatsApp, например, построен вокруг номера регистрации и двухэтапного PIN-кода или пароля, предлагаемого приложением, — поэтому пользуйтесь тем, что даёт страница безопасности этого сервиса.
- Включите самый сильный доступный второй фактор, учитывая, что фактор входа не становится автоматически способом восстановления.
Если вы уже не можете войти в аккаунт: идите прямо в официальную процедуру восстановления аккаунта у сервиса. Не продолжайте перебирать альтернативные способы входа и не общайтесь с тем, кто с вами связался.
Если деньги перевели или действия уже совершены, сообщите напрямую в официальный канал реагирования этого сервиса — у платёжного провайдера, банка или маркетплейса для этого свой процесс.
Ни одна последовательность шагов не гарантирует, что все последствия будут отменены. Цель — закрыть пути обратно внутрь.
Если вы хотите об этом сообщить
Сообщайте через официальный канал того сервиса, от имени которого пришло сообщение. Полезно приложить:
- что вы получили код подтверждения, которого не запрашивали;
- примерные дату и время;
- название сервиса или отправителя, которое отображается;
- ваш номер, скрытый до последних цифр.
Чего не должно быть ни в одном сообщении: самого кода, паролей и кодов восстановления. Скрытые доказательства — например, скриншот с закрашенным кодом — это не то же самое, что сам код. Следуйте требованиям к доказательствам той формы, которой пользуетесь, оставляя коды, пароли и коды восстановления за её пределами.
Если вы арендуете входящие у нас, помните, что арендованный номер может нести прежние привязки и позже может быть передан другому, поэтому сообщение, не имеющее к вам отношения, — ничем не примечательный исход, а не сигнал о вашем аккаунте. Неожиданное сообщение само по себе не устанавливает, что что-то ваше затронуто. Но если код называет сервис, которым вы действительно пользуетесь, отнеситесь к нему как к любому своему аккаунту и осмотрите его как обычно. Если вы считаете, что заказ неверен, путь — тикет в поддержку с ID заказа, а FAQ описывает, что заказ устанавливает, а что нет.
Ограничения этого руководства
- Одно сообщение не устанавливает, кто запросил код и зачем. Мы не можем определить инициатора по полученной SMS; сервис назначения может хранить записи активности, но и они не устанавливают личность человека.
- Перечисленные возможности — это именно возможности. Чтобы их различить, нужен аккаунт, а не сообщение.
- Средства безопасности и их названия различаются по сервисам и меняются со временем. Страница безопасности самого сервиса — источник истины.
- Ни одна последовательность шагов не гарантирует, что компрометация полностью отменена.
FAQ
Значит ли один неожиданный код, что в мой аккаунт вошли?
Нет — он согласуется с несколькими ситуациями, включая неверно введённый кем-то номер, задержавшийся прежний запрос и неудавшуюся попытку. Для одиночного кода рекомендация Google — проигнорировать и удалить его, не делясь им.
Человек говорит, что отправил его по ошибке, и просит переслать. Стоит ли?
Нет. Не передавайте код входа, регистрации или восстановления никому, кто с вами связался. Если их просьба искренняя, они могут запустить процесс заново сами.
Можете выяснить, кто запросил код?
Не можем. Полученная SMS этого не несёт, и у нас нет доступа к запрашивавшему сервису. Сам сервис может хранить записи активности, но они показывают запросы и устройства, а не устанавливают личность человека.
Мне постоянно приходят коды от одного и того же сервиса. Что теперь?
Если это аккаунт, которым вы пользуетесь, откройте его напрямую, просмотрите активность входов, устройства и способы восстановления, затем усильте вход. Если это не ваш аккаунт, защищать вам нечего; сообщите через официальный канал того сервиса, а не регистрируйтесь, чтобы разобраться.
Примерно тогда же телефон потерял связь. Это связано?
Может быть, а может быть сбой сети, SIM-карты или устройства. Сочетание, на которое стоит реагировать быстро, — необъяснимая потеря связи вместе с уведомлениями об изменениях в аккаунте или переносе номера, которых вы не начинали. Позвоните оператору по номеру, который нашли сами.
Остановит ли это смена номера телефона?
Не как общий ответ — случайный код может прийти на любой номер, а защита аккаунта лежит в его собственных средствах. Смена номера — решение для конкретных обстоятельств, например при продолжающихся нежелательных контактах, а не рутинный ответ на одно сообщение.
Я получил код на арендованный номер. Это значит, что что-то не так?
Само по себе нет. Арендованный номер может нести прежние привязки и позже может быть передан другому, поэтому посторонние сообщения ничем не примечательны. Никуда их не вводите. Если код называет сервис, которым пользуетесь лично вы, осмотрите этот аккаунт как обычно.