Чому я отримав код підтвердження, який не запитував?

Чому ви можете отримати код підтвердження, який ви не запитували

Несподіваний код підтвердження може надійти через друкарську помилку, спробу входу або скидання пароля чи шахрайське повідомлення, розраховане на те, щоб ви відповіли. Код, який ви не запитували, сам по собі не доводить, що ваш акаунт було зламано або що хтось знає ваш пароль. Не діліться кодом, не схвалюйте несподіваний запит і не переходьте за посиланнями з повідомлення. Відкрийте згаданий сервіс безпосередньо й перевірте активність свого акаунта.

Що саме захищає код, залежить від сервісу. Він може підтверджувати нову реєстрацію, вхід, скидання пароля, спробу відновлення, номер телефону або чутливу дію, як-от платіж. Саме тому правильна реакція залежить від ситуації, а не від самого коду.

• Один код, жодних інших попереджень: це може бути друкарська помилка, реєстрація, спроба входу чи скидання або фальшиве повідомлення. Не використовуйте код; перевірте згаданий акаунт безпосередньо, якщо він у вас є.
• Коди, які надходять постійно: хтось може неодноразово намагатися увійти або скинути доступ. Перевірте цей акаунт негайно.
• Код разом із сповіщенням про акаунт: вхід із нового пристрою, зміна пароля або повідомлення про зміну способу відновлення потребують дій уже сьогодні.
• Якщо хтось просить у вас код: сприймайте це як шахрайство, ким би він себе не називав.

Хтось випадково ввів вашу електронну адресу або номер телефону

Люди постійно помиляються, вводячи власні контактні дані, і тоді код надходить до вас, а не до них. Сторінка допомоги Login.gov «Я отримую одноразові коди, які не запитував» називає це ймовірною причиною, а також випадок, коли хтось, хто користується вашим телефоном, наприклад чоловік, дружина, батько чи дитина, входить у свій акаунт. Один код без подальших повідомлень — типова ознака такої плутанини.

Хтось намагався увійти або скинути ваш пароль

Багато сервісів надсилають код, коли вхід відбувається з нового пристрою чи місця або коли хтось запускає скидання пароля. Це можете бути ви на іншому пристрої, людина, яка переплутала ваш акаунт зі своїм, або автоматизована спроба входу з паролем, злитим з іншого сайту. Залежно від сервісу код може бути другим кроком після пароля або основним засобом входу без пароля, і лише з коду цього не визначити. Не діліться ним і не вводьте його, а перевірте акаунт через офіційний додаток або вебсайт.

Хтось використав ваші контактні дані для реєстрації

Код реєстрації може надійти від сервісу, яким ви ніколи не користувалися, бо хтось ввів вашу електронну адресу або номер телефону, створюючи акаунт. Більшість сервісів не завершують реєстрацію, доки не використано код або посилання для підтвердження, тож зазвичай достатньо проігнорувати повідомлення. Не створюйте акаунт лише для того, щоб це розслідувати.

Повідомлення — це фішинг, а не справжній код

Повідомлення може імітувати сповіщення про підтвердження і містити посилання, номер телефону або вказівку «відповісти, щоб скасувати», навіть якщо жодних реальних дій з акаунтом не було. Мета — змусити вас зателефонувати, натиснути або ввести щось на фальшивій сторінці. Не перевіряйте посилання. Відкрийте офіційний додаток або самостійно введіть відому вам веб-адресу сервісу.

Проблема на боці сервісу спричинила хвилю повідомлень

Іноді причина на боці компанії. У січні 2026 року Instagram пояснив хвилю несподіваних листів про скидання пароля «проблемою, яка дозволила зовнішній стороні запитувати листи про скидання пароля для деяких користувачів Instagram», за даними споживчої групи Which?, і Instagram заперечив, що його системи було зламано. Навіть у такому випадку безпечна реакція та сама: ігноруйте посилання й перевірте акаунт у додатку.

Що робити просто зараз

Найбезпечніша реакція на незапитаний код займає кілька хвилин і жодним чином не пов'язана із самим повідомленням. Виконайте ці кроки по порядку й зупиніться, щойно переконаєтеся, що з акаунтом усе гаразд.

1. Не діліться кодом, не пересилайте його і не читайте вголос. Не вводьте його ніде й не схвалюйте запит на вхід, який ви не ініціювали. Сторінка допомоги Google «Коли Google може надіслати вам SMS» зазначає, що ви можете проігнорувати й видалити код у текстовому повідомленні, який ви не запитували, і не повинні ділитися отриманими кодами.
2. Не використовуйте нічого з самого повідомлення. Оминайте посилання, номери телефонів і будь-які вказівки щодо відповіді, навіть якщо відправник здається знайомим.
3. Відкрийте сервіс самостійно. Скористайтеся офіційним додатком або введіть адресу, яку ви вже знаєте, а потім перегляньте останню активність входу, пристрої з активними сеансами та сповіщення про безпеку. Сторінка Microsoft «Що таке сторінка останньої активності?» пояснює, що вона показує активність облікового запису Microsoft за останні 30 днів і дає змогу вибрати «Це був не я» для будь-чого, позначеного як незвичайне.
4. Змініть пароль, коли цього вимагають обставини. Зробіть це через офіційний сервіс, якщо активність виглядає незнайомою, сервіс підтверджує спробу входу, ви поділилися кодом або пароль повторно використовується на інших сайтах. Використовуйте унікальний пароль для цього акаунта.
5. Увімкніть надійнішу багатофакторну автентифікацію. Агентство з кібербезпеки та безпеки інфраструктури США (CISA) вважає ключ безпеки найнадійнішим варіантом, далі йде додаток-автентифікатор, а текстові чи електронні коди — найслабшими. CISA радить використовувати текстові або електронні коди лише тоді, коли акаунт не пропонує нічого надійнішого.
6. Зверніться до сервісу, якщо коди продовжують надходити. Скористайтеся довідковим центром у додатку або на офіційному сайті, а не номером із повідомлення.

Якщо у вас немає акаунта в названому сервісі, хтось може реєструватися з вашою електронною адресою або номером телефону, або повідомлення може бути підробленим. Проігноруйте його. Якщо той самий сервіс продовжує надсилати вам повідомлення, зверніться до його служби підтримки через офіційний сайт.

Один код, повторювані коди або сповіщення про акаунт: що означає кожен варіант

Сукупність ознак важливіша за кількість кодів. Один код може бути наслідком помилки, реєстрації, спроби входу чи скидання пароля або підробленого повідомлення. Повторювані коди виправдовують негайну перевірку акаунта, а код разом із незнайомим сповіщенням про вхід чи зміну акаунта вимагає негайних дій через офіційний сервіс.

Самі лише коди рідко розкривають повну картину. Ознаки того, що акаунт справді було зламано, конкретніші:

• Ви більше не можете увійти, або сервіс підтверджує, що ваш пароль чи дані для відновлення змінилися.
• У вашому акаунті з'являються пристрої, сеанси або місця, яких ви не впізнаєте.
• З'являються повідомлення, публікації чи покупки, яких ви не робили.
• У вашій електронній пошті з'явилися нові правила пересилання або фільтри, які ви не налаштовували.

Якщо ви помітили щось із цього, негайно скористайтеся офіційною процедурою відновлення акаунта від провайдера.

Коди в електронних листах, коди в SMS і запити на вхід

Канал визначає, що саме варто перевірити. Код у листі вказує на вашу електронну пошту та названий сервіс, код у SMS — на ваш номер телефону, а запит на схвалення означає, що вхід чекає на ваше підтвердження.

Якщо ви отримали випадковий код підтвердження на електронну пошту

Лист із випадковим кодом верифікації може надійти через реєстрацію, спробу входу або скидання пароля, помилку в адресі чи фейкове повідомлення. Перевірте згаданий акаунт через його офіційний сайт або додаток. Якщо є інші ознаки того, що хтось отримав доступ до вашої поштової скриньки, також перегляньте останні сесії, резервну електронну пошту й телефон, надіслані листи, а також будь-які правила пересилання чи фільтри. Правило пересилання, яке ви не створювали, може копіювати майбутні повідомлення, зокрема коди, тому видаліть його й захистіть поштову скриньку.

Якщо ви отримали код верифікації в текстовому повідомленні

Не відповідайте, не телефонуйте за номером із повідомлення і не вважайте, що знайома гілка листування доводить справжність тексту. Щодо текстів, які виглядають як спам, посібник FTC «How To Recognize and Report Spam Text Messages» радить пересилати їх на номер 7726 (SPAM). Будьте обережні з блокуванням номера справжнього сервісу, адже його коди можуть знадобитися вам пізніше. Якщо ваш телефон раптово втрачає мобільний зв'язок саме тоді, коли надходять коди або сповіщення про акаунт, зв'яжіться з оператором через канал, якому ви вже довіряєте; перебої в роботі мають звичайні причини, але такий збіг варто швидко перевірити.

Якщо ви отримали запит на підтвердження входу

Відхиляйте будь-який вхід, який ви не ініціювали. Посібник користувача Apple з особистої безпеки каже, що якщо ви отримуєте сповіщення про вхід на новому пристрої, який не впізнаєте, слід вибрати «Не дозволяти». Повторювані запити можуть бути спробою вас виснажити, тому ніколи не підтверджуйте вхід лише для того, щоб припинити сповіщення.

Шахрайство з кодом верифікації: коли хтось просить код

Прохання надати ваш код — це найчіткіша попереджувальна ознака. У березневому попередженні FTC 2024 року «What's a verification code and why would someone ask me for it?» сказано прямо: «Кожен, хто просить у вас код верифікації вашого акаунта, є шахраєм». Справжні компанії надсилають коди, щоб ви самі ввели їх на екрані, який відкрили.

Сценарій змінюється, але просять завжди код:

• Дзвінок від «відділу боротьби з шахрайством». Абонент стверджує, що він із вашого банку, служби підтримки чи державної установи, і каже, що йому потрібен код, щоб захистити або підтвердити ваш акаунт.
• Друг, який надіслав код «помилково». Повідомлення від відомого контакту каже, що код надійшов вам випадково, і просить передати його назад. Зв'яжіться з цією людиною через інший канал, якому ви довіряєте. Акаунт може бути зламаний або підроблений, а код може дозволити комусь зареєструвати ваш номер телефону чи захопити акаунт.
• Покупець на онлайн-майданчику. У жовтневому попередженні FTC 2021 року про шахрайство з кодом верифікації Google Voice описано, як людей, які продають товари онлайн, просять назвати код, щоб «довести», що вони справжні. Порада FTC: не діліться жодним кодом верифікації з людиною, якщо ви не зв'язалися з нею першими.

Ніколи не надавайте код у відповідь на несподіване звернення. Якщо ви самі почали розмову зі службою підтримки, дотримуйтеся лише інструкцій, наведених в офіційному додатку або на сайті організації, і читайте попередження в повідомленні з кодом. Щоб перевірити акаунт, зв'яжіться з компанією за номером, якому ви вже довіряєте, наприклад за номером на вашій картці або в її додатку, і повідомляйте про спроби шахрайства на ReportFraud.ftc.gov.

Якщо ви вже поділилися кодом або підтвердили запит

Дійте швидко й зберігайте спокій. Передача коду не завжди означає, що хтось отримав доступ, але варто припустити таку можливість і негайно захистити акаунт.

1. Відкрийте сервіс безпосередньо і змініть пароль. Потім вийдіть з інших сесій або пристроїв, якщо сервіс пропонує таку можливість.
2. Перегляньте налаштування безпеки, зокрема резервну електронну пошту, резервний телефон, методи багатофакторної автентифікації та будь-які резервні коди. Наприклад, Login.gov радить людям, які отримують несподівані коди, змінити пароль, підтвердити свої методи автентифікації та створити нові резервні коди, якщо вони ними користуються.
3. Зателефонуйте у свій банк або емітенту картки за номером на картці чи у виписці, якщо код стосувався фінансового рахунку.
4. Перевірте свою поштову скриньку на наявність правил пересилання, фільтрів або надісланих листів, яких ви не створювали, якщо переданий код стосувався вашої пошти.
5. Скористайтеся офіційними кроками відновлення сервісу, якщо йшлося про додаток для обміну повідомленнями чи сервіс номера телефону і ви втратили доступ.
6. Повідомте про це на ReportFraud.ftc.gov і будьте готові до подальших повідомлень, які намагатимуться «допомогти» вам відновити доступ. Ставтеся до них з такою ж обережністю.

Як не пускати дрібні реєстрації в основну поштову скриньку

Ваша основна електронна адреса — це шлях відновлення для багатьох важливих акаунтів, тому варто ділитися нею обережно. Окрема адреса для дрібних реєстрацій допоможе тримати коди реєстрації та маркетингові повідомлення подалі від основної скриньки. Вона не завадить комусь помилитися в написанні вашої справжньої електронної адреси чи скористатися нею, і не замінює надійного пароля чи багатофакторної автентифікації.

Для розсилок, одноразових завантажень або безкоштовних пробних періодів, які ви, можливо, не збережете, тимчасова електронна дає цим повідомленням окрему скриньку. Це може зменшити безлад в основній скриньці, але несподіваний код, що туди потрапить, усе одно не розкриє, хто його запросив і чому.

Тимчасова пошта має реальні обмеження, і найважливіші вони для безпеки. Tmailor працює лише на прийом, повідомлення зникають приблизно через 24 години після надходження, а адресу можна знову відкрити лише за допомогою Access Token. Втрачений Access Token відновити неможливо, тому сторінка повторного використання Access Token — єдиний спосіб повернутися до збереженої вами адреси.

Коди від деяких сервісів можуть взагалі не надходити на тимчасові адреси, як пояснює посібник про те, що працює і що не працює з тимчасовими поштовими OTP. Тримайте банківські, основні поштові, операторські, робочі та пристроєві акаунти на постійній адресі, яку ви контролюєте; огляд тимчасових лімітів і ризиків розповідає, де тимчасова скринька не доречна.

Якщо отримане повідомлення було «тимчасовим кодом входу в ChatGPT», то посібник з коду входу ChatGPT описує конкретні кроки OpenAI. Коли будете готові відокремити наступну дрібну реєстрацію, ви можете зможете створити безкоштовну тимчасову електронну адресу за лічені секунди.

Правило, що охоплює кожен випадок

Хоч би що спричинило повідомлення, не діліться кодом, який ви не запитували, і не використовуйте його. Перевірте названий акаунт через його офіційний додаток або сайт. Негайно захистіть його, якщо коди продовжують надходити, ви бачите незнайому активність, ви поділилися кодом або схвалили запит, який не ініціювали. Якщо ваша проблема протилежна — код, який ви запитували, так і не надійшов, дивіться подивіться, чому OTP-коди не надходять.