Подмена номера: почему ваши звонки и SMS больше не безопасны и как на это реагирует Arcep

Введение: Мираж цифровой идентичности

Представьте, что вам звонят из вашего банка, страхового агента или даже близкий человек, и на экране отображается именно тот номер, который вы ожидаете увидеть. Вы уверенно поднимаете трубку, чтобы в итоге понять, что общаетесь с мошенником, находящимся на другом конце света. Этот сценарий, когда-то присущий только шпионским фильмам, стал повседневной реальностью для миллионов французов. Это явление называется подменой номера, или спуфингом (от англ. spoofing).

Телефонная идентификация, которую мы считаем уникальным и надежным идентификатором, на самом деле весьма хрупка. Протоколы, используемые для передачи звонков и SMS, не проектировались с приоритетом безопасности, что открыло дверь для простых технических манипуляций с целью скрыть реальную личность отправителя. Столкнувшись с резким ростом такого мошенничества, Arcep (Управление по регулированию электронных коммуникаций, почты и распространения прессы) решило перейти в наступление, начав расследование в отношении всех телекоммуникационных операторов.

Почему эта уязвимость сохраняется в 2026 году? Как мошенникам удается обходить системы безопасности? И главное, что может сделать регулятор, чтобы заставить операторов обезопасить наши коммуникации?

Технический механизм: Как работает спуфинг?

Чтобы понять суть подмены, нужно осознать, что номер, отображаемый на вашем телефоне, не является доказательством личности, а представляет собой простой «ярлык», передаваемый в сигнальных данных вызова.

Уязвимость протокола SIP

Большинство современных звонков проходят через протокол SIP (Session Initiation Protocol), используемый для IP-телефонии (VoIP). Главная проблема SIP заключается в том, что он позволяет отправителю самостоятельно определять поле «From» (От кого) в заголовке сообщения.

Когда мошенник использует плохо защищенный VoIP-шлюз или специализированное ПО, он может вписать в это поле любой номер. Сеть оператора получает вызов и, не проводя глубокой проверки реального источника сигнала, просто передает запрошенный «ярлык» на телефон получателя.

Различные формы подмены

Спуфинг не ограничивается только голосовыми звонками. Можно выделить три основных типа атак:

1. Корпоративный спуфинг: Мошенник имитирует номер организации (банк, налоговая, Ameli), чтобы мгновенно вызвать доверие.
2. Локальный спуфинг: Злоумышленник использует номер с тем же региональным кодом, что и у жертвы, чтобы повысить вероятность того, что трубку снимут.
3. Персональный спуфинг: Более редкий и целевой вид атаки, когда мошенник подменяет номер близкого человека, чтобы попросить о срочном переводе денег (мошенничество по схеме «фальшивого сына» или «фальшивого босса»).

Расследование Arcep: Операторы перед лицом ответственности

С начала 2026 года Arcep усилил надзор. Расследование направлено не против мошенников — которые зачастую находятся вне досягаемости закона, — а против операторов. Регулятор задает фундаментальный вопрос: Почему мобильные сети пропускают звонки, личность которых явно сфальсифицирована?

Отсутствие фильтрации на входе

Arcep указывает на «пористость» взаимосвязей между сетями. Когда вызов поступает от иностранного оператора или небольшого VoIP-провайдера в крупную французскую сеть (Orange, SFR, Bouygues, Free), фильтрация часто оказывается недостаточной. Операторы принимают звонки, доверяя информации, переданной сетью-источником, без механизмов перекрестной проверки.

Финансовые и технические сложности

Для операторов внедрение строгой фильтрации представляет собой технический вызов. Проверка подлинности каждого входящего вызова в режиме реального времени может привести к задержкам соединения или, что еще хуже, к блокировке легитимных звонков (ложноположительные результаты). Кроме того, отсутствие единого глобального стандарта усложняет борьбу: французский оператор не может легко потребовать гарантий идентификации от оператора, базирующегося в юрисдикции с мягким законодательством.

Какие существуют решения для защиты наших коммуникаций?

Arcep подталкивает операторов к внедрению протоколов сертификации. Цель состоит в том, чтобы перейти от системы «слепого доверия» к системе «проверенного доверия».

Стандарт STIR/SHAKEN

Техническим решением, которое уже успешно развернуто в Северной Америке, является фреймворк STIR/SHAKEN. Вот как он работает:

• STIR (Secure Telephone Identity Revisited): позволяет добавлять к вызову зашифрованный цифровой сертификат.
• SHAKEN (Signature-based Handling of Assertions provided by Tokens): определяет, как операторы должны обрабатывать эти сертификаты.

Проще говоря, оператор отправителя «подписывает» вызов. Оператор получателя проверяет подпись. Если подпись отсутствует или недействительна, телефон может отобразить пометку «Потенциально мошеннический вызов» или вовсе заблокировать его.

Роль интеллектуальных фильтров и ИИ

Параллельно с этим операторы и производители (Apple, Google) интегрируют базы данных помеченных номеров. ИИ теперь анализирует поведение: номер, совершающий 10 000 звонков по 10 секунд в течение часа, практически автоматически идентифицируется как робот-спуфер и заносится в черный список.

Практическое руководство: Как защититься от спуфинга?

Пока меры Arcep и операторов не станут полностью эффективными, бдительность остается вашей лучшей защитой. Спуфинг играет на эмоциях и чувстве срочности.

Правила безопасности

Ситуация	Рекомендуемая реакция
Звонок из банка с просьбой назвать код	Немедленно повесьте трубку. Перезвоните своему менеджеру по официальному номеру.
Срочное SMS от близкого с просьбой о деньгах	Позвоните этому человеку по его обычному номеру, чтобы проверить информацию.
Звонок из госучреждения (Налоговая, CAF)	Никогда не сообщайте банковские данные по телефону. Администрация общается преимущественно через защищенные личные кабинеты.
Сомнение в личности собеседника	Задайте личный вопрос, ответ на который может знать только реальный собеседник.

Инструменты для снижения рисков

• Приложения для фильтрации: Инструменты вроде Hiya или Truecaller могут помочь, но будьте осторожны с конфиденциальностью ваших собственных контактов.
• Блокировка неизвестных номеров: В Android и iOS можно настроить телефон так, чтобы все вызовы от номеров, которых нет в контактах, перенаправлялись сразу на автоответчик.
• Жалобы: Используйте платформу 33700 для сообщения о мошеннических SMS. Это помогает операторам выявлять волны атак в реальном времени.

Заключение: На пути к сертифицированной телефонной идентификации

Подмена номера — это симптом сети, которая создавалась для связности, но не для безопасности. В 2026 году мы достигли точки разрыва, когда доверие к отображаемому номеру стало риском для безопасности. Расследование Arcep — это мощный сигнал: ответственность за защиту больше не может лежать исключительно на плечах конечного пользователя.

Переход к таким стандартам, как STIR/SHAKEN, и более строгая фильтрация на границах сетей необходимы. Телефонный номер должен снова стать тем, чем он должен был быть всегда: надежным доказательством личности, а не простой маской в руках киберпреступников. А пока помните: в современном цифровом мире номер, который вы видите на экране, не обязательно принадлежит тому, кто с вами говорит.