SMS-бомбінг — це кібератака, під час якої на один номер телефону за короткий проміжок часу надходять десятки, сотні або навіть тисячі повідомлень. Донедавна її сприймали радше як цифрове хуліганство, проте нині потік SMS дедалі частіше стає димовою завісою: поки жертва намагається впоратися з лавиною сповіщень, справжня атака — захоплення акаунта, підміна SIM-картки чи виведення коштів — відбувається непомітно.
Технічно така атака майже не потребує підготовки. Найпоширеніший спосіб — зловживання формами реєстрації та підписки. Автоматизовані боти сканують інтернет у пошуку незахищених форм, де немає CAPTCHA, і одночасно вводять номер жертви на десятках чи сотнях сайтів. Кожен сервіс у відповідь надсилає SMS із кодом підтвердження або вітальним повідомленням — так і формується безперервний потік. Оскільки повідомлення надходять від справжніх сервісів, вони легко минають стандартні спам-фільтри.
Крім форм реєстрації, зловмисники використовують й інші канали:
спеціалізовані сервіси та ботів у месенджерах, створені саме для масової розсилки повідомлень;
уразливості в API онлайн-платформ, які дають змогу надсилати повідомлення без обмежень.
Хто стоїть за SMS-бомбінгом і як влаштований цей ринок
Ще кілька років тому SMS-бомбінг був радше саморобними скриптами серед технічно обізнаних. Сьогодні це ціла екосистема готових інструментів, і головне — вона майже не потребує навичок. Їх пропонують за моделлю «послуги»: замовнику не треба нічого програмувати, достатньо вказати номер-ціль і тривалість атаки.
Продають такі інструменти здебільшого через ботів у месенджерах і закриті форуми, часто під виглядом «сервісів для пранків» або «тестування SMS». Багато подібних веб-сервісів працюють відкрито і видають себе за безневинні пранк-інструменти, хоча дають рівно ту функціональність, що потрібна для цькування. Оплата зазвичай погодинна, за кількістю повідомлень або за підпискою — часом лише за кілька доларів, у криптовалюті. Простіші скрипти вільно лежать у відкритих репозиторіях, тож поріг входу фактично зник.
Мотиви різні — і саме тому «клієнтура» строката. Такі атаки застосовують для тролінгу, кібербулінгу та відвернення уваги жертви. До цього додаються переслідування в особистих конфліктах, тиск із боку колекторів, конкурентна диверсія проти чужого бізнесу — і, найнебезпечніше, шахраї, для яких потік повідомлень є прикриттям для захоплення акаунтів чи виведення коштів.
Окремо варто знати про пастку «безкоштовних» бомберів: жертвою стає й той, хто ними користується. Введені на таких сайтах номери систематично збирають і згодом використовують у спам- та шахрайських кампаніях або перепродають як бази для інших спамерів. Тобто, «пробуючи» бомбер, людина зливає і номер цілі, і власний.
Для України це не абстрактна закордонна загроза. За аналізом дослідників, Україна входить до найактивніше атакованих регіонів поряд з Іраном, Індією та Туреччиною. А в одному з розібраних скриптів фахівці знайшли пряму привʼязку: його створив російський користувач саме для атак через вразливості російських та українських сайтів. За країною походження самих сервісів найбільше виявлень також припадає на росію.
Технічно все впирається в незахищені інтерфейси сервісів: сотні вразливих сторінок реєстрації без обмежень на кількість запитів і без CAPTCHA дають змогу автоматично надсилати лавину повідомлень. Висновок для користувача той самий: уразливість — на боці сервісів, а особистий захист зводиться до фільтрів, обачності з номером і переходу зі SMS-кодів на застосунки-автентифікатори.
Чому SMS-бомбінг небезпечніший, ніж здається
SMS-бомбінг рідко буває самоціллю. Найчастіше це відволікання: поки екран заповнюють сповіщення, зловмисник у фоновому режимі змінює паролі, перехоплює доступ до акаунтів або виводить кошти. Серед сотень спам-повідомлень жертва легко пропускає єдине важливе — сповіщення банку про списання або лист про зміну пароля.
Фахівці з кібербезпеки називають цей прийом ще й «втомою від багатофакторної автентифікації» (MFA fatigue). Логіка та сама: завалити людину повідомленнями, щоб вона або погодилася на шахрайський вхід, аби спам нарешті припинився, або не помітила справжню атаку — наприклад, підміну SIM-картки.
Наслідки для жертв
Найочевидніший наслідок — телефон стає майже непридатним для користування. Батарея швидко розряджається, місце в памʼяті заповнюється, а важливі дзвінки та повідомлення губляться серед спаму. Але головна загроза не в цьому: під прикриттям потоку повідомлень може відбуватися викрадення грошей чи особистих даних, і жертва помічає це надто пізно.
Особливо небезпечним SMS-бомбінг стає тоді, коли обліковий запис захищено двофакторною автентифікацією через SMS. Якщо зловмисник уже знає пароль, йому залишається дістати лише одноразовий код. Потік фальшивих повідомлень маскує справжній SMS із кодом — і жертва може просто не звернути на нього уваги.
Як захиститися: вбудовані засоби смартфона
Повністю убезпечитися від таких атак неможливо, проте сучасні смартфони мають вбудовані інструменти, які суттєво знижують їхню ефективність — і не потребують сторонніх програм.
iPhone (iOS 26)
У iOS 26 фільтрацію повідомлень оновлено. Щоб її налаштувати, потрібно відкрити «Параметри» → «Програми» → «Повідомлення» і скористатися двома перемикачами:
«Фільтрувати невідомих відправників» (Screen Unknown Senders) — повідомлення від номерів, яких немає в контактах, потрапляють в окрему теку й не турбують сповіщеннями.
«Фільтрувати спам» (Filter Spam) — увімкнено за замовчуванням; система розпізнає спам безпосередньо на пристрої й переносить його до окремої теки.
Сповіщення про коди підтвердження та інші термінові повідомлення при цьому можна лишити ввімкненими, щоб не пропустити справжні SMS.
Android (Google Повідомлення)
У застосунку «Google Повідомлення» захист від спаму також вбудований: його вмикають у налаштуваннях застосунку в розділі захисту від спаму, після чого підозрілі повідомлення система розпізнає на пристрої та переносить до окремої теки. Окрему розмову можна заблокувати та поскаржитися на спам, утримуючи її на головному екрані.
Для суміжної загрози — так званих SMS-бластерів (пристроїв, що імітують базову станцію оператора й надсилають фішингові SMS в обхід мережевих фільтрів) — Google рекомендує вимкнути на смартфоні підтримку 2G. На пристроях з Android 12 і новіших це повністю усуває ризик від таких пристроїв.
Додаткові кроки захисту
Звернутися до мобільного оператора. Багато операторів мають власні системи фільтрації спаму й можуть тимчасово обмежити вхідні SMS.
Використовувати окремий номер для реєстрацій. Для необовʼязкових сервісів і розсилок краще завести окремий номер, а основний залишати для банків, держсервісів і близьких.
Обережно ставитися до свого номера. Не варто залишати його на сумнівних сайтах і без потреби вказувати у відкритих формах.
Ретельно обирати сторонні застосунки. Якщо вбудованих засобів недостатньо, сторонні блокувальники спаму можуть допомогти, але варто перевіряти розробника й уникати сумнівних чи маловідомих програм.
Що робити під час атаки
Якщо атака вже почалася, головне — не панікувати. Не варто намагатися прочитати всі повідомлення: це лише марна витрата часу й нервів.
Тимчасово вимкнути звук сповіщень для SMS — щоб зберегти батарею та власний спокій, не вимикаючи телефон повністю.
Уважно стежити за повідомленнями від банків та інших важливих сервісів — саме їх атака може маскувати.
Звернутися до оператора — багато хто може тимчасово заблокувати вхідні SMS.
Якщо є підозра на супутнє шахрайство — негайно змінити паролі з іншого, «чистого» пристрою, звернутися до банку та зафіксувати докази атаки.
Правова відповідальність в Україні
SMS-бомбінг в Україні — не просто прикрість, а кримінальне правопорушення. Стаття 363-1 Кримінального кодексу передбачає відповідальність за умисне масове розповсюдження повідомлень електрозвʼязку без згоди адресатів, якщо воно порушило роботу мереж. Таке діяння карається штрафом від п’ятисот до тисячі неоподатковуваних мінімумів доходів громадян або обмеженням волі на строк до трьох років, а якщо його вчинено повторно, групою осіб чи зі значною шкодою — обмеженням або позбавленням волі на строк до пʼяти років.
Про систематичні атаки, особливо якщо вони є частиною переслідування, варто повідомляти Кіберполіцію та зберігати всі докази — скріншоти, час і кількість повідомлень.
SMS-бомбінг не варто недооцінювати: за потоком дрібних повідомлень може ховатися значно серйозніша атака. Поєднання вбудованих фільтрів, обачності з власним номером і швидкої реакції дає змогу мінімізувати шкоду й зберегти контроль над своїми акаунтами.
