Почему опасны сайты накрутки, которые просят пароль

Сайт, который просит пароль в обмен на подписчиков или лайки, опасен по одной простой причине: для доставки подписчиков и лайков пароль не нужен. Ничего из этого не происходит внутри вашего аккаунта, значит, ключ от аккаунта для этого не требуется. Если сайт всё равно его просит, он просит то, чем не сможет воспользоваться честно.

Что делают с введённым паролем

В момент, когда пароль попадает к постороннему, вы перестаёте решать, что будет дальше. Вот сценарии, о которых люди рассказывают чаще всего.

Угон аккаунта

Первым делом редко что-то публикуют. Сначала меняют почту и номер телефона для восстановления на те, что контролирует новый владелец, а затем сбрасывают пароль. Вас выкидывает из приложения, и процедура «забыли пароль» отправляет код уже не вам. Аккаунты с живой аудиторией перепродают или возвращают за деньги, а маленькие используют для рассылки мошеннических ссылок людям, которые доверяют имени в профиле.

Вариант с cookie сессии

Некоторые сайты поняли, что слова «введите пароль» отпугивают, и вместо этого просят скопировать значение из браузера. Это cookie сессии, ключ, который платформа записала в браузер, чтобы не спрашивать каждый раз, кто вы. Он открывает ту же дверь, что и пароль. Хуже того, смена пароля не всегда его отзывает: пока открытые сессии не завершены вручную, украденный ключ может продолжать работать. «Мы никогда не спрашиваем пароль» ничего не стоит, если следующей строкой просят cookie.

Ваш аккаунт становится частью обменника

Большинство систем накрутки с паролем работают по принципу обмена. Пока подписчики приходят к вам, ваш аккаунт тихо подписывается на незнакомцев, лайкает их записи, иногда оставляет комментарии. Он может писать людям, о которых вы никогда не слышали, или выложить рекламу в вашу историю. Платформа видит такое поведение именно с вашего аккаунта и считает его вашим, поэтому предупреждение, ограничение функций или закрытие достаются вам, а не сайту, который это устроил.

Всё, что связано тем же паролем

Большинство людей используют один пароль в нескольких местах. Если пароль от соцсети совпадает с паролем от почты, тот же человек теперь читает вашу почту, а почта, это главный ключ: туда приходят сбросы пароля от всех остальных ваших аккаунтов, от банка до магазинов. Номер телефона, это второй главный ключ. Как только привязанный к аккаунту номер изменён, коды подтверждения перестают приходить на ваш телефон и начинают приходить на чужой.

Скачиваемые «программы для накрутки» и файлы APK

Файлы, которые раздают под видом программ для подписчиков или просмотров, будь то APK для Android или исполняемый файл для компьютера, устанавливаются в обход магазина приложений, а значит, в обход любой проверки. Что внутри, не проверял никто. Разрешения, которые они просят при установке, обычно и выдают замысел: чтение SMS перехватывает коды подтверждения, доступ к специальным возможностям читает всё, что появляется на экране, а показ поверх других приложений подкладывает убедительное поддельное окно входа поверх настоящего.

Чтобы получить просмотры, лайки или подписчиков, устанавливать ничего не нужно. Всё происходит с открытым контентом, снаружи, и единственное, что нужно ввести, это ссылка. Любое предложение, которое начинается со скачивания, противоречит факту, о котором вы, по расчёту его авторов, не знаете.

Поддельные экраны входа

Самая распространённая ловушка, это копия настоящей страницы входа платформы. Логотип правильный, цвета правильные, шрифты правильные; единственное, что не сходится, это адресная строка. Введённое отправляется напрямую человеку, который держит сайт, а вас перебрасывают на настоящую страницу, где вы решаете, что опечатались, и пробуете снова.

Каждый раз, когда появляется экран входа, читайте адрес. Настоящая страница входа открывается на домене самой платформы: instagram.com для Instagram, tiktok.com для TikTok. Адреса с переставленной буквой, приклеенным лишним словом или незнакомым окончанием, это копии. Окно, открывшееся внутри другого приложения, заслуживает той же проверки: если адреса не видно, не вводите туда ничего.

Как распознать опасный сайт

Любого из этих признаков достаточно, чтобы закрыть вкладку. Два вместе, это уже не совпадение.

• Поле для пароля. Форма, которая просит имя пользователя и пароль, не готовится отправлять подписчиков. Она готовится войти.
• Просьба установить приложение. «Установите приложение, чтобы продолжить» означает, что непроверенный файл хочет поселиться в вашем телефоне.
• Просьба назвать код из SMS. Этот код, это вопрос платформы «это точно вы?». Тот, кому вы его продиктовали, отвечает платформе «да» от вашего имени.
• Кнопка «привязать аккаунт». Привязка часто оказывается лишь другим способом ввести пароль. Даже если авторизация настоящая, вы разрешаете незнакомцу действовать от вашего имени.
• Сначала задания, потом награда. «Подпишитесь на эти аккаунты, и подписчики придут к вам» и есть тот самый обменник, а ресурсом, который тратят, служит ваш аккаунт.
• Точное обещание в цифрах. Никто за пределами платформы не управляет её счётчиками, поэтому никто не может обещать, что они покажут.

Когда сомневаетесь, задайте один вопрос: нужно ли этому сервису попасть внутрь моего аккаунта, чтобы выполнить свою работу? Для просмотров, лайков и подписчиков честный ответ всегда «нет». Всё это делается снаружи, с контентом, который и так открыт. Сервис, который хочет внутрь, делает не то, что говорит.

Если вы уже ввели пароль

Здесь важен порядок, поэтому выполняйте шаги по очереди.

1. Смените пароль

Сначала в соцсети, затем во всех аккаунтах, где стоял тот же пароль. Новый должен быть длинным и нигде больше не использоваться. Если вы установили подозрительное приложение, сначала удалите его или сделайте всё с другого устройства.

2. Завершите все открытые сессии

Смена пароля не всегда выкидывает другие устройства. В Instagram активность входа находится в настройках безопасности, в TikTok список устройств лежит в разделе безопасности и разрешений. Удалите каждое устройство и местоположение, которые не узнаёте. Именно этот шаг обезвреживает украденную cookie сессии.

3. Включите двухфакторную аутентификацию

С ней тот, кто знает пароль, не войдёт без второго подтверждения. Предпочтительнее приложение-аутентификатор, а не SMS: сообщения можно перехватить сменой номера или перевыпуском SIM-карты. Резервные коды сохраните там, где они останутся у вас даже без телефона.

4. Отзовите подключённые приложения

В Instagram этот список лежит в разделе приложений и сайтов, в TikTok в разделе разрешений приложений. Там перечислены все сторонние сервисы, которым разрешено действовать от имени аккаунта. Уберите всё незнакомое и неиспользуемое, а с телефона удалите программы, установленные не из магазина.

5. Проверьте почту и телефон в аккаунте

Убедитесь, что почта и номер для восстановления по-прежнему ваши, а затем загляните в сам почтовый ящик. Обычный ход после проникновения, это правило пересылки или фильтр, который тихо копирует входящие письма на сторону. Удалите всё, что не настраивали сами, и смените пароль от почты тоже.

6. Обратитесь в поддержку платформы

Если вход уже закрыт, начните со ссылки помощи на экране входа. И Instagram, и TikTok проводят восстановление с проверкой личности для угнанных аккаунтов, и оно идёт быстрее, если вы ещё контролируете привязанную почту или телефон. Пока ждёте, предупредите подписчиков, чтобы не верили ссылкам, приходящим от вашего имени.

Чем сервисы на этом сайте отличаются

Сервисы здесь просят одно: открытую ссылку или открытое имя пользователя. Нет поля для пароля, нет скачивания, нет шага «привязать аккаунт», на телефон не приходит код. Заявка уходит поставщику, доставка ложится на ваш открытый контент, а к аккаунту никто не прикасается, потому что в этом нет нужды. Весь механизм описан в статье о том, как работает бесплатная накрутка.

Честности ради, у такого подхода есть пределы. Количество фиксировано, между заявками стоит таймер, часть присланного может позже отвалиться, а контент должен быть открытым, иначе ничего не произойдёт. Аккаунт сам по себе от этого не вырастет. Зато вы не ставите под удар пароль, телефон и все остальные свои аккаунты.

Подписчики TikTok, подписчики Instagram и лайки TikTok работают по этому правилу, а полный список собран на страницах TikTok и Instagram. Где бы вы ни оказались, правило одно: если у вас просят пароль, вам не отправляют подписчиков, у вас забирают аккаунт.