Короткий ответ
Код подтверждения — это ключ, а не напоминание о пароле. Он существует, чтобы человек, выполняющий вход, мог доказать, что является владельцем аккаунта. Когда кто-то, с кем вы не связывались, просит вас поделиться этим кодом, запрос направлен на получение доступа к вашему аккаунту, каким бы дружелюбным или официальным ни звучал звонящий.
Коды подтверждения аккаунта предназначены для процесса аутентификации владельца аккаунта. Источник
Этот единственный факт решает большую часть вопроса. Вам никогда не нужно передавать код входа звонящему, потому что код предназначен не для звонящего. Он предназначен для экрана входа перед вами.
Три ситуации, которые выглядят похоже, но таковыми не являются
Путаница обычно возникает из-за смешения трёх разных моментов: входа, который начали вы, кода, который хочет кто-то другой, и проверки того, кто на самом деле звонит. Они требуют разных действий.
| Ситуация | Что происходит | Что делать |
|---|---|---|
| Вы открыли вход или приложение, и приходит код для его завершения | Вы выполняете вход, и код завершает ваше собственное действие | Введите код на экране, который вы открыли. Не пересылайте его никому |
| Нежелательный звонящий просит вас прочитать или отправить код | Кто-то другой пытается завершить вход от вашего имени | Не делитесь им. Прервите контакт |
| Вы хотите убедиться, что звонящий настоящий | Вам нужен канал, которому вы уже доверяете, а не номер звонящего | Повесьте трубку и свяжитесь с организацией через известный канал |
Средняя строка важнее всего. Код полезен только тому, кто пытается войти, поэтому запрос кода — это запрос доступа.
Мошенники могут выдавать себя за доверенную организацию и просить код, чтобы получить доступ к аккаунту. Источник
Почему собственный номер звонящего не может это решить
Звонящий может утверждать, что он из банка, службы поддержки платформы или любой организации, с которой вы имеете дело. Определитель номера, номер обращения или спокойный тон не доказывают, кто на линии. Безопасный шаг — перестать использовать канал, который контролирует звонящий, и переключиться на тот, который выбрали вы.
FTC рекомендует прервать нежелательный контакт и самостоятельно позвонить в организацию, используя доверенную выписку или контакт в приложении, а не номер, предоставленный звонящим. Источник
Именно этот шаг люди пропускают. Повесить трубку недостаточно, если затем вы перезваниваете по номеру, который дал звонящий, потому что так вы возвращаетесь к тому же человеку. Используйте контактный путь, который у вас уже был: выписку, приложение, сохранённый контакт или официальную страницу, которую вы открываете сами.
Чек-лист, которому можно следовать в момент звонка
- Приостановите разговор. Не подтверждайте, не отрицайте и не читайте вслух ничего, пока звонящий ещё говорит.
- Спросите себя, кто начал вход. Если вы не открывали вход, никакой код никому не должен приходить.
- Прервите нежелательный контакт. Вы не обязаны ничего объяснять незнакомцу.
- Не используйте номер звонящего. Найдите организацию через канал, которому вы уже доверяете.
- Свяжитесь с организацией самостоятельно и спросите, есть ли реальная проблема с вашим аккаунтом.
- Если пришёл код, который вы не запрашивали, расценивайте это как признак того, что кто-то пытался войти, и сообщите об этом через доверенный канал.
Шаг 6 стоит отделить от остальных. Код, который вы не запрашивали, не является доказательством взлома, но это причина проверить через маршрут, который вы контролируете, а не через звонящего.
Пути ошибок, которых следует избегать
- «Я просто подтвержу первые цифры». Частичный код — всё ещё часть ключа. Не делитесь ни одной его частью.
- «Я позвонил по номеру, который мне дали, и они подтвердили, что всё настоящее». Этот номер ведёт обратно к тому же звонящему. Это ничего не доказывает.
- «Звонящий уже знал моё имя, значит, это наверняка настоящий». Знание деталей о вас не является доказательством личности и не причина делиться кодом.
- «Я поделюсь сейчас, а пароль сменю позже». Как только кто-то другой завершит вход, ситуация уже изменится. Остановитесь до того, как поделиться, а не после.
Ни один из этих путей не требует знания того, как устроены меню конкретной платформы. Решение принимается до того, как меню станет иметь значение: код предназначен владельцу аккаунта, а нежелательный звонящий не является владельцем аккаунта.
Что это руководство не охватывает
Некоторые организации используют собственные процессы подтверждения, когда вы связываетесь с ними первыми. Они не совпадают с кодом входа, приходящим для входа, который вы не начинали, и это руководство не рассматривает каждый шаг подтверждения поддержки как код входа. Правило здесь намеренно узкое: код для входа остаётся у того, кто выполняет вход.
Эта страница также не охватывает очистку аккаунта после испуга, изменение настроек или проверку того, является ли профиль настоящим. Это отдельные задачи.
Полезный следующий шаг
Звонок часто сопровождается историей: сообщением, профилем в социальной сети или аккаунтом поддержки, который утверждает, что он официальный. Если вы хотите проверить это утверждение, а не сам телефонный звонок, следующая задача — проверить, является ли аккаунт поддержки настоящим. Наше руководство по проверке поддельных аккаунтов поддержки в соцсетях разбирает этот отдельный вопрос.
Поиск по имени пользователя может быть отправной точкой, когда вы смотрите на профиль, который с вами связался, но публичное совпадение — это зацепка, а не доказательство того, кто за ним стоит. Относитесь к этому как к тому, что нужно проверить, а не как к подтверждению.