Коды от банка, уведомления, сообщения от мошенников «от Сбера» − всё это приходит по SMS, и в какой-то момент возникает вопрос: а можно ли вообще доверять этому каналу? Особенно когда речь о деньгах и доступе к аккаунтам.
Ниже разберём, как SMS устроены внутри, чем отличаются от мессенджеров и почему для конфиденциальных данных это слабое место. Главное − выйдете с простым правилом: когда SMS нормальный канал, когда рискованный, и чем его заменить.
TL;DR
SMS (Short Message Service) − это короткие текстовые сообщения, которые идут через сеть оператора, а не через интернет, и работают на любом телефоне.
У SMS нет сквозного шифрования: оператор технически видит содержимое, сообщение можно перехватить на уровне сети или подделать отправителя. Для болтовни и неважных уведомлений канал нормальный, для кодов доступа, денег и личных данных − рискованный.
Чем заменить: для двухфакторной аутентификации − приложение-аутентификатор (TOTP), аппаратный ключ или passkey; для переписки − мессенджер со сквозным шифрованием.
Что такое SMS и почему они до сих пор используются
SMS − одна из тех технологий, с которыми сталкивался почти каждый, даже не задумываясь, что это такое. Аббревиатура SMS расшифровывается как Short Message Service − «служба коротких сообщений». Изначально это был вспомогательный канал внутри мобильной сети: служебные уведомления и короткий текст до 160 символов.
SMS − это не приложение и не мессенджер, а базовая услуга мобильной связи.
Главная особенность в том, как сообщение передаётся:
- не через интернет;
- не через приложения;
- а напрямую через инфраструктуру мобильного оператора.
Именно поэтому такие сообщения работают там, где нет мобильного интернета, и на самых простых телефонах. Они доступны на любом аппарате из коробки и не требуют установки приложений. Эта универсальность и стала причиной их долгой жизни − технология остаётся минимальным общим знаменателем мобильной связи.
За универсальность приходится платить. SMS придумали в эпоху, когда о цифровой приватности думали иначе, и никто не закладывал, что через короткие сообщения будут гонять коды доступа, персональные данные и финансовые уведомления. Поэтому сегодня их всё чаще считают компромиссным каналом связи − простым, но слабо защищённым. Подробнее о рисках − в разделе про уязвимость SMS ниже.
Как идёт SMS от отправителя к получателю
Когда вы нажимаете «Отправить», кажется, что сообщение улетает напрямую другому человеку. На деле всё устроено сложнее: SMS − это не прямое соединение между телефонами, а цепочка шагов внутри сети оператора.
SMS всегда проходят через сеть оператора − даже если оба абонента стоят рядом.
Упрощённо путь сообщения выглядит так:
- телефон формирует текст и номер получателя;
- сообщение уходит в сеть оператора;
- попадает в специальный узел − SMSC;
- SMSC проверяет, доступен ли получатель;
- сообщение доставляется на устройство адресата или ставится в очередь.
SMSC (Short Message Service Center) − это сервер оператора, который принимает, хранит и доставляет их. Если телефон получателя выключен или вне сети, текст временно лежит именно там и уходит, как только абонент снова в сети.
Почему SMS приходят даже без интернета
Ключевое отличие от интернет-сообщений в том, что они идут по сигнальным каналам мобильной сети, а не по IP-трафику. Сигнальные каналы − это служебные протоколы, которыми оборудование операторов обменивается между собой: через них передаётся короткий текст. Поэтому интернет может быть отключён, телефон может быть кнопочным, сеть − старого поколения, а сообщение всё равно дойдёт, если есть базовое покрытие.
По этой же причине SMS долго считались надёжным способом доставки уведомлений. Но у такой архитектуры есть обратная сторона, и она напрямую связана с безопасностью.
SMS, MMS, iMessage и веб-SMS − в чём разница
Короткие сообщения давно перестали быть однородной категорией. Кроме классических SMS, есть MMS, iMessage и веб-SMS. Снаружи всё это «текст на экране», но внутри − разные технологии и разные риски.
| Тип | Идёт через | Шифрование | Что передаёт |
|---|---|---|---|
| SMS | сеть оператора (SMSC) | нет | только текст, до 160 символов |
| MMS | сеть оператора (MMSC + WAP/HTTP) | нет | картинки, видео, длинный текст |
| iMessage | интернет, серверы Apple | сквозное | текст, медиа, между устройствами Apple |
| веб-SMS | сеть оператора через веб-панель | нет | те же SMS, отправленные из браузера |
SMS и MMS
SMS − это короткий текст, ограниченный по длине. MMS (Multimedia Messaging Service) добавляет картинки, видео и длинные сообщения.
Это разные технологии: MMS идут через отдельный узел − MMSC − и используют веб-протоколы WAP и HTTP, а не сигнальные каналы. Но в одном они совпадают: сквозного шифрования нет ни у того, ни у другого. Так что с точки зрения приватности разница невелика − по уровню защиты MMS наследуют слабости SMS, хотя устроены иначе.
iMessage и интернет-сообщения
Отдельно стоит iMessage − система сообщений от Apple. Внешне она похожа на SMS, но технически это уже интернет-сообщения: работает через интернет и серверы Apple, со сквозным шифрованием (см. таблицу выше).
Если сообщение отправлено через интернет − это уже не SMS, даже если выглядит похоже.
То же относится к сообщениям в Android-экосистеме и другим современным сервисам: они зависят от сети, но дают более высокий уровень защиты данных.
Веб-SMS
Веб-SMS − это отправка сообщений через браузер или веб-панель. Так удобно делать рассылки и уведомления в бизнесе. Важно понимать: это не меняет природу технологии. Перед нами всё те же SMS, просто отправленные из интерфейса, а не с телефона, и все ограничения по безопасности остаются.
Чем SMS отличаются от мессенджеров
На первый взгляд SMS и переписка в мессенджерах выглядят одинаково: текст, отправитель, получатель. Технически это разные каналы связи, и здесь кроется большая часть путаницы в вопросах безопасности.
SMS − это услуга оператора. Мессенджеры − это сервисы поверх интернета.
| Параметр | SMS | Мессенджеры |
|---|---|---|
| Канал | сеть оператора | интернет |
| Серверы | инфраструктура SMSC | серверы конкретного сервиса |
| Шифрование | нет | часто сквозное |
| Возможности | только текст | вложения, звонки, статусы |
| Требования | работают на любом телефоне | нужна установка приложения |
Из-за этой разницы SMS удобны для массовых уведомлений, но плохо подходят для конфиденциального общения.
Есть и нюанс с подтверждением личности: встроенного механизма проверки, кто именно отправил сообщение, тут нет. Из-за этого возможны подмена номеров, фальшивые уведомления и фишинг «от банка» или «госслужбы».
Ещё одно практическое отличие − статусы. SMS могут сообщить только о доставке на устройство, но не о прочтении: нет статуса «онлайн», индикаторов прочтения и синхронизации между устройствами. Если сообщение доставлено − это максимум информации, которую вы получите.
Почему SMS − уязвимый канал
Здесь собрано всё про безопасность, что раньше было разбросано по тексту. Проблемы начинаются там, где заканчиваются возможности технологии: её создавали, чтобы надёжно доставить короткий текст, а не защитить его от перехвата или подмены.
SMS не шифруются от отправителя до получателя. Это их главное ограничение.
Слабые места такие:
- сообщения проходят через инфраструктуру оператора, и содержимое технически доступно на уровне сети;
- нет защиты от подмены отправителя;
- нет проверки целостности сообщения.
На практике это значит, что текст можно перехватить на уровне телеком-сети, подделать отправителя или использовать как инструмент социальной инженерии. Поэтому SMS так активно применяют в мошеннических схемах − от фальшивых уведомлений до выманивания кодов доступа.
SMS-коды и двухфакторная аутентификация
Отдельная тема − коды подтверждения. SMS долго были стандартным вторым фактором, но сегодня этот подход всё чаще критикуют. Основные риски:
- перехват кода при атаке на сигнальную сеть оператора − такие атаки относят к классу уязвимостей протокола SS7, на котором десятилетиями держится межоператорный обмен;
- подмена SIM-карты, или SIM swap, − мошенник перевыпускает вашу SIM и получает ваши коды;
- утечка кодов через вредоносные приложения на телефоне.
SMS-код − это лучше, чем ничего, но это самый слабый из распространённых вторых факторов.
Поэтому всё больше сервисов уходят от него к приложениям-аутентификаторам и другим способам, о которых ниже.
Когда SMS можно использовать, а когда лучше не стоит
SMS уместны там, где важнее доставка, чем защита:
- служебные уведомления и информационные рассылки;
- разовые сообщения без чувствительных данных;
- резервный канал, когда интернета нет.
Где такой канал лучше избегать:
- передача кодов доступа и паролей;
- обсуждение личной и финансовой информации;
- подтверждение важных операций с деньгами.
В этих случаях ограничения технологии становятся критичными, и стоит выбрать более защищённый способ связи.
Чем заменить SMS-коды и переписку
Если SMS не подходит для чувствительного, логичный вопрос − а что вместо. Тут есть готовые и доступные варианты.
Для двухфакторной аутентификации вместо кода из сообщения:
- Приложение-аутентификатор (TOTP). Генерирует одноразовые коды прямо на устройстве, без участия сети оператора, поэтому перехват и SIM swap на него не действуют. Это целый класс приложений − например, Google Authenticator или Authy.
- Аппаратный ключ. Отдельное физическое устройство, которое подтверждает вход по стандарту FIDO2. Самый устойчивый к фишингу вариант.
- Passkey. Более новый способ входа без пароля: ключ хранится на устройстве и подтверждается отпечатком или лицом. Поддержку passkey уже добавили крупные сервисы и операционные системы.
Для переписки вместо SMS − мессенджеры со сквозным шифрованием, где содержимое видят только отправитель и получатель.
Стоит держать в голове и общую картину: на смену приходит RCS (Rich Communication Services) − развитие стандарта с поддержкой медиа, статусов и, в ряде реализаций, сквозного шифрования. Распространение RCS зависит от операторов и производителей и идёт неравномерно, поэтому классические SMS никуда не денутся ещё долго.
Где здесь VPN
Полезно разделить два разных уровня. Выбор канала − на стороне пользователя: можно осознанно не слать коды и личные данные по SMS. Но за самим сообщением есть ещё сетевой слой: IP-адрес, к какой сети вы подключены, метаданные соединения. Это уже зона VPN.
Честно про границы: VPN не защищает сам SMS-канал − сообщения идут через сеть оператора, и это его работа, а не VPN. Зато VPN закрывает сетевой след при работе в интернете: скрывает реальный IP и шифрует трафик до VPN-сервера, чтобы провайдер или владелец публичного Wi-Fi не видели, куда вы ходите. В мобильной связи, где приватность распадается на несколько слоёв, это один из них − не единственный, но важный. Защита данных всегда строится из нескольких уровней: сам канал передачи, устройство и сетевое окружение, и слабое звено тянет вниз всю цепочку.
Частые вопросы
Сколько символов помещается в одно SMS?
До 160 символов латиницей или до 70, если в тексте есть кириллица. Длинное сообщение разбивается на части и собирается обратно на телефоне получателя.
Почему длинное SMS приходит несколькими сообщениями?
Из-за лимита в 160 символов. Если текст длиннее, телефон режет его на сегменты и отправляет по очереди, а получателю они склеиваются в одно. Иногда части могут прийти не по порядку.
Можно ли восстановить удалённое SMS?
На самом телефоне − обычно нет, если нет резервной копии. Оператор хранит факт доставки в служебных журналах ограниченное время, но содержимое старых сообщений по запросу пользователю не выдаёт.
Как отличить настоящую SMS от банка от поддельной?
Подделать имя отправителя технически возможно, поэтому не ориентируйтесь только на название. Главный признак фишинга − просьба перейти по ссылке, продиктовать код или «подтвердить данные». Настоящий банк не просит код из SMS. При сомнении не переходите по ссылке из сообщения, а зайдите в приложение банка или позвоните по номеру с обратной стороны карты.