Подмена номера при отправке СМС технически возможна из-за особенности протокола SMPP: поле отправителя (source address) в сообщении не проверяется на подлинность большинством транзитных шлюзов, поэтому в него можно вписать чужой номер или произвольную буквенную подпись. Именно этой уязвимостью пользуются мошенники, рассылая сообщения «от имени банка», и именно её эксплуатируют сомнительные бесплатные сервисы, которые находятся в поиске по соответствующему запросу.
Прежде чем разбирать механику, важно зафиксировать главное: подмена номера отправителя с целью введения в заблуждение — это правонарушение, а бесплатные сервисы такого рода почти всегда либо не работают, либо собирают данные самих пользователей. Ниже — разбор того, как устроена технология, почему «бесплатно» здесь означает подвох, и какие легальные способы заменить номер на имя компании существуют на самом деле.
Как технически устроена подмена отправителя в СМС
Стандартное СМС передаётся по протоколам SMPP и SS7, разработанным десятилетия назад, когда вопросы аутентификации отправителя не стояли остро. В структуре сообщения есть поле source_addr, которое отправляющая сторона заполняет самостоятельно. Оператор-получатель в идеале должен фильтровать подозрительные значения, но на практике уровень фильтрации сильно различается между странами и сетями.
Существует два типа подмены. Первый — подстановка чужого номера телефона, чтобы получатель увидел знакомые цифры. Второй — подстановка альфанумерического имени (Alpha Sender ID), например названия банка или магазина. Второй вариант легален при регистрации имени у оператора, первый — практически всегда признак мошенничества.
Понимание этой механики помогает распознать обман: если сообщение «от банка» содержит ссылку на незнакомый домен, высока вероятность, что имя отправителя подделано, а настоящий банк здесь ни при чём.
Почему бесплатные сервисы подмены номера — ловушка
Сервисы, обещающие бесплатную отправку СМС с любым номером, делятся на несколько категорий, и ни одна из них не безопасна. Часть таких сайтов просто не доставляет сообщения, собирая введённые номера в базы для последующего спама. Другая часть работает через взломанные или арендованные шлюзы и может исчезнуть в любой момент.
- 🎣 Фишинговые клоны — сайт имитирует отправку, а сам крадёт введённые номера и тексты сообщений
- 💣 Сервисы-однодневки — работают через серые шлюзы, доставка не гарантирована, номер получателя попадает в спам-базы
- 🦠 Приложения с вредоносным кодом — APK-файлы «для подмены номера» нередко содержат трояны, крадущие банковские данные
- 📉 Подставные «тестовые» сервисы — бесплатна только первая отправка, дальше требуют оплату или подписку с автосписанием