Το «smishing» είναι ένας τύπος επίθεσης κοινωνικής μηχανικής, η ονομασία του οποίου αποτελεί συνδυασμό δύο λέξεων: SMS και phishing. Η μέθοδος αυτή περιλαμβάνει την αποστολή δόλιων, παραπλανητικών μηνυμάτων SMS, τα οποία έχουν ως στόχο να εξαπατήσουν τον παραλήπτη ώστε να αποκαλύψει εμπιστευτικά δεδομένα, να μολύνει τη συσκευή του με κακόβουλο λογισμικό ή να παρασύρει το θύμα να πραγματοποιήσει μια επιζήμια οικονομική συναλλαγή (π.χ. να κάνει μια επείγουσα πληρωμή).

Οι επιθέσεις smishing είναι ιδιαίτερα αποτελεσματικές για διάφορους λόγους. Πρώτον, οι άνθρωποι τείνουν να εμπιστεύονται περισσότερο τα μηνύματα SMS σε σύγκριση με τα email. Οι χρήστες συχνά αντιλαμβάνονται την επικοινωνία μέσω κειμένου ως πιο άμεση, προσωπική και προερχόμενη από αξιόπιστους φορείς (π.χ. τράπεζες, εταιρείες ταχυμεταφορών, κυβερνητικές υπηρεσίες). Δεύτερον, η λήψη μιας ειδοποίησης σε κινητό τηλέφωνο προκαλεί την άμεση ανάγκη να αντιδράσει και να δράσει γρήγορα ο παραλήπτης. Αυτή η αίσθηση επείγοντος, σε συνδυασμό με τη μειωμένη προσοχή σε σύγκριση με τα email, κάνει τα θύματα πιο πρόθυμα να κάνουν κλικ σε έναν κακόβουλο σύνδεσμο ή να παρέχουν τα δεδομένα τους χωρίς ενδελεχή επαλήθευση.

Οι απατεώνες που χρησιμοποιούν το «smishing» εκμεταλλεύονται συναισθήματα όπως ο φόβος, η περιέργεια ή η επιθυμία να αποφευχθούν προβλήματα. Τα πιο συνηθισμένα σενάρια περιλαμβάνουν:

Υποτιθέμενες οφειλές και επείγουσες πληρωμές: Το μήνυμα ενημερώνει για ένα υποτιθέμενο οφειλόμενο, μικρό ποσό (π.χ. για ηλεκτρικό ρεύμα, φυσικό αέριο, τηλέφωνο) και απειλεί με διακοπή της παροχής ή επιβολή υψηλών τόκων. Το περιεχόμενο περιλαμβάνει έναν σύνδεσμο προς μια πλαστή σελίδα πληρωμής, σχεδιασμένη για να υποκλέψει τα στοιχεία σύνδεσης στο ηλεκτρονικό τραπεζικό σύστημα ή τα στοιχεία της κάρτας πληρωμής.

Προβλήματα με την παράδοση δεμάτων: Το θύμα λαμβάνει ένα SMS στο οποίο αναφέρεται ότι το δέμα του έχει καθυστερήσει λόγω λανθασμένης διεύθυνσης, της ανάγκης να καταβάλει τελωνειακά τέλη ή μιας μικρής επιπλέον χρέωσης για την παράδοση. Ο σύνδεσμος οδηγεί σε μια πλαστή πύλη εταιρείας ταχυμεταφορών. Αυτή η μέθοδος είναι ιδιαίτερα αποτελεσματική σε περιόδους αυξημένων διαδικτυακών αγορών.

Επαλήθευση ταυτότητας και ασφάλεια λογαριασμού: Το μήνυμα ενημερώνει για υποτιθέμενο αποκλεισμό τραπεζικού λογαριασμού, την επείγουσα ανάγκη επαλήθευσης ταυτότητας ή τον εντοπισμό ύποπτης συναλλαγής. Ο στόχος είναι να παρασύρει τον χρήστη να κάνει κλικ σε έναν σύνδεσμο που θα τον οδηγήσει σε έναν πλαστό ιστότοπο τράπεζας, όπου θα κλαπούν τα στοιχεία σύνδεσης και εξουσιοδότησής του.

Απάτες με επιπλέον χρεώσεις: Συχνά, το SMS έχει ως στόχο να ζητήσει γρήγορη οικονομική βοήθεια, π.χ. από ένα υποτιθέμενο μέλος της οικογένειας ή φίλο που «άλλαξε τον αριθμό του» και χρειάζεται επειγόντως μια μικρή πληρωμή.