Что именно подтверждает SMS-код
Когда сервис отправляет одноразовый код, он проверяет, что человек может получить сообщение на указанный номер. Телефонная сеть доставляет SMS абоненту, за которым сейчас закреплён этот номер; она не распознаёт лицо владельца и не выясняет, кому принадлежит аппарат в руках.
Поэтому код подтверждает доступ к каналу связи, а не личность. Если номер служит способом входа или восстановления аккаунта, тот, кто перехватил этот канал, может пройти такую проверку.
Как номер может оказаться у другого человека
При переносе номера на чужую SIM-карту оператор начинает направлять сообщения на неё. Это может произойти после обмана оператора или неправомерного перевыпуска SIM. В результате SMS приходит уже не на прежний телефон, хотя сам номер остаётся тем же.
Есть и другой путь: мошенник убеждает человека самостоятельно переслать ему код — например, под видом сотрудника банка или службы поддержки. Технически SMS доставлено адресату, но тот сам передал содержимое постороннему. Поддельное сообщение или сайт могут также побудить ввести код в форму, контролируемую злоумышленником.
Почему это важно для защиты аккаунта
Одноразовый код обычно подтверждает конкретный вход или действие, но его сила зависит от того, насколько защищён номер и куда именно человек вводит цифры. Он не становится надёжным доказательством личности только потому, что пришёл на «ваш» телефон: граница доверия здесь проходит по доступу к номеру.
Поэтому коды нельзя сообщать собеседнику, даже если он представляется представителем организации, а запросы стоит проверять через официальный канал. Если сервис предлагает более сильный способ входа, не зависящий от SMS, он уменьшает риск того, что чужой доступ к номеру автоматически откроет и аккаунт.
