Код из банка, текст переписки и детали заказов: что выдаёт заблокированный экран

Смартфон лежит на столе экраном вверх. Пароль стоит, отпечаток пальца настроен, шифрование на месте. А сообщения всё равно читаются — прямо с заблокированного дисплея. Об этой уязвимости рассказал старший эксперт по расследованию фрод-инцидентов компании «МегаФон» Борис Лопатин.

Речь идёт о функции предварительного просмотра уведомлений. Многие включают её ради удобства: не хочется каждый раз разблокировать гаджет, чтобы понять, кто написал. Вот только текст сообщения в этот момент доступен любому, кто оказался рядом. В кафе, в транспорте, в очереди.

Что именно попадает на всеобщее обозрение? Имена отправителей и фрагменты переписки — это полбеды. Куда серьёзнее банковские оповещения, сведения о покупках и доставках, одноразовые коды подтверждения. По словам Лопатина, особую угрозу несут уведомления, которые используются для восстановления доступа к аккаунтам.

Как работает схема взлома

Механика простая. Злоумышленнику достаточно знать номер телефона или адрес электронной почты владельца. Дальше он запускает процедуру сброса пароля. Код приходит в виде сообщения или push-уведомления — и всплывает на заблокированном экране. Всё, доступ получен. Физически трогать устройство не нужно.

С сообщением о списании средств история похожая. Прямого доступа к счёту оно не даёт. Зато снабжает мошенника деталями: что за покупка, где, на какую сумму. С таким набором данных легко выдать себя за сотрудника службы доставки или представителя магазина. Дальше — социальная инженерия, и человек сам отдаёт деньги.

«Оптимальным решением является настройка, при которой отображается лишь факт поступления сообщения, но его содержание скрыто до момента разблокировки устройства», — пояснил Лопатин.

Полностью отключать оповещения эксперт не советует. Достаточно зайти в настройки и убрать показ содержимого. Уведомление придёт, экран загорится, но текст останется скрытым.

Второй канал утечки — виджеты и дополнительные функции экрана блокировки. В зависимости от модели телефона и выставленных параметров посторонний увидит события календаря, напоминания, информацию о пропущенных звонках. Кое-где доступны быстрый ответ на сообщение и управление отдельными функциями без полной разблокировки. Проверять этот список стоит вручную: производители редко выносят такие настройки на видное место.

Тема утечек для россиян давно не абстрактная. Опросы прошлых лет показывали: страх потерять персональные данные стабильно входит в число главных опасений жителей страны. Звонки от лжесотрудников банков, фишинг, слитые базы — с этим сталкивались миллионы. И заблокированный экран в этой цепочке — самое незаметное звено. Пароль человек поставил, биометрию включил, а привычку читать сообщения с дисплея не поменял.

Проверка занимает пару минут. Открыть настройки уведомлений, найти пункт о показе содержимого на экране блокировки, переключить. Заодно просмотреть, какие виджеты выведены на дисплей, и убрать лишние. Как отметил Лопатин, отключать оповещения целиком не требуется — хватит скрыть текст до разблокировки.