Smishing (SMS Phishing) – Oszustwo w wiadomościach SMS

Smishing to rodzaj ataku socjotechnicznego, którego nazwa powstała z połączenia dwóch słów: SMS i Phishing. Metoda ta polega na wysyłaniu fałszywych, podstępnych wiadomości tekstowych SMS, które mają na celu wyłudzenie poufnych danych, zainfekowanie urządzenia złośliwym oprogramowaniem lub skłonienie ofiary do wykonania szkodliwej dla niej operacji finansowej (np. dokonania pilnej płatności).

Ataki typu smishing są szczególnie skuteczne z kilku powodów. Przede wszystkim, ludzie mają tendencję do większego zaufania do wiadomości SMS w porównaniu do e-maili. Często postrzegają komunikację przez SMS jako bardziej bezpośrednią, osobistą i pochodzącą od wiarygodnych instytucji (np. banków, firm kurierskich, urzędów).

Po drugie, otrzymanie powiadomienia na telefonie komórkowym wywołuje natychmiastową potrzebę reakcji i szybkiego działania. To poczucie pilności, połączone z mniejszą ostrożnością niż w przypadku poczty elektronicznej, sprawia, że ofiary są bardziej skłonne do kliknięcia w złośliwy link lub podania swoich danych bez głębszej weryfikacji.

Oszuści wykorzystujący smishing bazują na emocjach, takich jak strach, ciekawość lub chęć uniknięcia kłopotów.

Najczęściej spotykane scenariusze to:

• Rzekome niedopłaty i pilne płatności: Wiadomość informuje o rzekomo zaległej, niewielkiej kwocie (np. za prąd, gaz, telefon) i grozi odcięciem usługi lub naliczeniem wysokich odsetek. W treści znajduje się link do fałszywej strony płatności, która ma za zadanie wyłudzić dane logowania do bankowości elektronicznej lub dane karty płatniczej.
• Problemy z przesyłką kurierską: Ofiara otrzymuje SMS z informacją, że jej paczka została wstrzymana z powodu błędnego adresu, konieczności uiszczenia opłaty celnej lub niewielkiej dopłaty za dostawę. Link prowadzi do fałszywego portalu firmy kurierskiej. Jest to szczególnie efektywne w okresach wzmożonych zakupów online.
• Weryfikacja tożsamości i bezpieczeństwo konta: Wiadomość informuje o rzekomym zablokowaniu konta bankowego, konieczności pilnej weryfikacji tożsamości lub wykryciu podejrzanej transakcji. Celem jest skłonienie użytkownika do kliknięcia w link, który przeniesie go na fałszywą stronę banku, gdzie zostaną skradzione jego dane logowania i autoryzacyjne.
• Oszustwa „na Blika” lub „na dopłatę”: Często SMS jest wycelowany w prośbę o szybką pomoc finansową, np. od rzekomego członka rodziny lub znajomego, który „zmienił numer” i pilnie potrzebuje kodu BLIK lub drobnej wpłaty.