Smishing – co to jest? Fałszywe SMS-y: przykłady i jak się bronić

Smishing to phishing przez SMS: fałszywa wiadomość ma skłonić Cię do kliknięcia, podania danych, zapłaty, telefonu albo instalacji aplikacji. Nazwa łączy słowa SMS i phishing. Jeśli dostałeś podejrzany SMS, nie wykonuj polecenia z wiadomości, dopóki nie sprawdzisz sprawy poza nią.

Jeśli SMS zawiera podejrzany link, możesz przekazać go w niezmienionej formie na numer 8080 do CERT Polska. Jeśli już podałeś dane, liczy się szybka reakcja: zabezpieczenie banku lub konta, zmiana hasła, wylogowanie sesji, włączenie uwierzytelniania dwuskładnikowego i — po przekazaniu danych tożsamości — zastrzeżenie PESEL.

Co to jest smishing i skąd bierze się ta nazwa

Smishing jest odmianą phishingu, w której pierwszym kanałem kontaktu jest SMS. Nadawca podszywa się pod podmiot, któremu odbiorca może zaufać, i próbuje wywołać konkretne działanie: przekazanie danych, zapłatę, wejście na stronę, telefon albo instalację aplikacji. Nazwa powstała z połączenia SMS i phishing.

W praktyce SMS jest tylko początkiem. Po kliknięciu możesz trafić na stronę udającą bank lub urząd, zostać poproszony o dane karty, przenieść rozmowę do komunikatora albo zadzwonić pod numer kontrolowany przez oszusta. Dlatego smishing nie oznacza wyłącznie „SMS-a z fałszywym linkiem”.

Jak działa smishing krok po kroku

1. Pojawia się wiarygodny pretekst. Wiadomość może dotyczyć przesyłki, mandatu, banku, punktów lojalnościowych, sprzedaży w serwisie z ogłoszeniami albo oferty pracy. Oszust nie musi wiedzieć, czy akurat czekasz na paczkę. W masowej wysyłce wystarczy, że temat trafi na część odbiorców w odpowiednim momencie.

2. SMS przyspiesza decyzję. Krótki termin, groźba blokady, kara, utrata punktów albo obietnica zarobku mają sprawić, żebyś najpierw działał, a dopiero później sprawdzał.

3. Pojawia się żądanie. Masz kliknąć, dopłacić niewielką kwotę, zalogować się, podać dane, zadzwonić albo przenieść rozmowę do innej aplikacji. To właśnie żądane działanie jest ważniejsze niż wygląd wiadomości.

4. Oszust przejmuje następny krok. Link może prowadzić do podrobionej strony, numer do rozmówcy podszywającego się pod zaufaną instytucję, a komunikator do kolejnego etapu manipulacji. Zatrzymanie ataku polega na przerwaniu tej ścieżki i sprawdzeniu sprawy poza SMS-em.

5. Po błędzie oszust próbuje wykorzystać rezultat. Mogą to być dane karty, hasło, dostęp do konta, informacje osobowe albo wykonany przelew. Im szybciej zabezpieczysz właściwą usługę i zgłosisz zdarzenie, tym większa szansa na ograniczenie skutków.

Przykłady fałszywych SMS-ów z życia

Smishing nie ma jednego tekstu ani jednej marki. Te pięć opisanych przez PHISHLY przypadków pokazuje, jak różne mogą być przynęty:

• Mandat i fałszywy CEPiK. SMS o rzekomym mandacie prowadził do strony podszywającej się pod CEPiK i formularza żądającego danych karty.
• Wygasające dane w mObywatelu. Fałszywy SMS o ważności danych kierował do strony udającej login.gov.pl, a następnie do podrobionego logowania bankowego.
• Wygasające punkty operatora. W kampanii podszywającej się pod T-Mobile obietnica zachowania punktów i krótki termin miały skłonić odbiorcę do użycia phishingowego linku.
• Weryfikacja konta sprzedawcy. SMS „Verify” podszywający się pod OLX prowadził przez kopię prawdziwego ogłoszenia do fałszywego procesu weryfikacji i logowania bankowego.
• Oferta pracy i płatne zadania. SMS z ofertą pracy na Telegramie przenosił rozmowę do komunikatora, gdzie proste zadania i początkowe wypłaty poprzedzały żądania coraz większych przelewów.

Wspólnym elementem nie jest treść SMS-a, tylko próba przejęcia Twojej następnej decyzji. Raz będzie to strach przed karą, innym razem chęć ochrony konta, nagroda albo obietnica zarobku.

Jak rozpoznać fałszywy SMS i sprawdzić link

Nadawca. Sama nazwa wyświetlana nad wiadomością nie jest wystarczającym dowodem autentyczności. Oceniaj przede wszystkim to, czego wiadomość od Ciebie chce, i czy taki sposób kontaktu pasuje do usługi, z której naprawdę korzystasz.

Presja czasu. „Zapłać dziś”, „konto zostanie zablokowane”, „punkty wygasają” albo „oferta jest tylko teraz” mają skrócić czas na sprawdzenie sprawy. Pilność jest powodem, żeby zwolnić.

Dopłata, kara albo nagroda. Niewielka kwota może wyglądać niegroźnie, ale formularz płatności może służyć do zebrania pełnych danych karty. Z kolei niespodziewana nagroda może prowadzić do logowania lub płatności pod pretekstem jej odebrania.

Domena. Nie oceniaj strony po logo, kolorach ani nazwie marki umieszczonej gdzieś w adresie. Sprawdź właściwą domenę i porównaj ją z adresem, którego używasz na co dzień. Literówka, dodatkowy wyraz lub myślnik mogą być ostrzeżeniem, ale poprawnie wyglądający adres też trzeba zweryfikować.

Skrócony adres. Skracacz linku ukrywa docelową domenę. Nie klikaj tylko po to, żeby sprawdzić, dokąd prowadzi. Jeżeli SMS dotyczy banku, urzędu, kuriera lub innej usługi, otwórz znaną aplikację albo wpisz adres samodzielnie.

Brak błędów niczego nie dowodzi. Fałszywy SMS może być napisany poprawnie. Błędy językowe są jednym z możliwych sygnałów, nie testem rozstrzygającym.

Jak się bronić przed smishingiem

Najskuteczniejsza zasada jest prosta: oddziel wiadomość od działania. Jeżeli SMS każe Ci coś zrobić, sprawdź tę samą sprawę bez korzystania z linku, numeru telefonu ani instrukcji z wiadomości.

Otwórz samodzielnie aplikację banku, mObywatel, serwis kurierski lub portal, którego dotyczy komunikat. Jeżeli sprawa ma być pilna, prawdziwa usługa powinna pokazać ją także po wejściu niezależną drogą.

Nie podawaj hasła, kodu autoryzacyjnego ani danych karty na stronie otwartej z nieoczekiwanego SMS-a. Czytaj opis operacji, którą zatwierdzasz w aplikacji lub kodem, zamiast zakładać, że dotyczy tego, co powiedział nadawca wiadomości.

Włącz uwierzytelnianie dwuskładnikowe, czyli 2FA, tam gdzie jest dostępne. Nie zastępuje ono ostrożności — kod również może zostać wyłudzony — ale zwiększa ochronę konta, gdy samo hasło wpadnie w niepowołane ręce.

Podejrzany SMS z linkiem przekaż w niezmienionej formie na numer 8080. Podejrzaną stronę lub inny incydent możesz zgłosić przez incydent.cert.pl.

Co zrobić po kliknięciu lub podaniu danych

Kliknąłeś, ale niczego nie podałeś ani nie zainstalowałeś: zamknij stronę i nie wykonuj dalszych poleceń. Samo otwarcie linku nie oznacza automatycznie utraty pieniędzy lub konta, ale nie jest powodem, żeby kontynuować.

Podałeś hasło: wejdź do prawdziwej usługi własną drogą i zmień hasło. Jeśli używałeś go także gdzie indziej, zmień je również tam. Wyloguj aktywne sesje, sprawdź podłączone urządzenia lub aplikacje i włącz 2FA.

Podałeś dane karty lub bankowości: skontaktuj się z bankiem tak szybko, jak to możliwe. Poproś o zabezpieczenie karty lub dostępu do bankowości i powiedz dokładnie, jakie dane zostały ujawnione oraz czy zatwierdziłeś jakąś operację.

Przekazałeś PESEL lub dane dokumentu tożsamości: zastrzeż PESEL w aplikacji mObywatel, serwisie mObywatel lub urzędzie gminy. Jeżeli oszust dostał także dane do innych kont, zabezpiecz je oddzielnie.

Straciłeś pieniądze: zachowaj SMS, adres strony, potwierdzenia operacji i historię kontaktu. Skontaktuj się z bankiem i zgłoś sprawę Policji. Incydent lub podejrzaną stronę zgłoś także przez incydent.cert.pl.

Zainstalowałeś aplikację z linku: przestań używać jej do logowania i płatności, usuń ją dopiero po zabezpieczeniu potrzebnych dowodów i skonsultuj stan urządzenia z zaufanym serwisem lub administratorem, jeśli telefon służy także do pracy.

Smishing w firmie

W pracy ten sam fałszywy SMS może prowadzić do konta służbowego, kodu logowania, płatności albo rozmowy z osobą podszywającą się pod przełożonego. Pracownik powinien przerwać działanie i zgłosić wiadomość do zespołu IT lub bezpieczeństwa, szczególnie jeśli użył służbowych danych albo telefonu.

Dla organizacji osobnymi obszarami są testy phishingowe dla firm oraz program security awareness, czyli regularne szkolenia i ćwiczenia zachowania pracowników. W obu przypadkach warto mierzyć nie tylko kliknięcia, ale też zatrzymanie działania, niezależną weryfikację i zgłoszenie podejrzanej wiadomości.

Smishing a phishing, vishing i quishing

Phishing to szersza kategoria oszustw opartych na podszywaniu się i manipulacji. Smishing opisuje przypadek zaczynający się od SMS-a, vishing wykorzystuje rozmowę głosową, a quishing kieruje odbiorcę przez kod QR.

Kanały mogą się łączyć. SMS może nakłonić do telefonu, fałszywa strona do rozmowy z „konsultantem”, a kod QR do formularza płatności. Dlatego ważniejsze od zapamiętywania nazw jest sprawdzenie, kto kontroluje kolejny krok.

Mity o fałszywych SMS-ach

„Znana nazwa nadawcy oznacza prawdziwy SMS.” Nie. Nazwa nadawcy nie zastępuje sprawdzenia żądania i domeny.

„Oszustwo zawsze zdradzają błędy językowe.” Nie. Poprawny język nie potwierdza autentyczności wiadomości.

„Samo kliknięcie oznacza utratę konta.” Nie automatycznie. Największe ryzyko pojawia się, gdy podasz dane, zatwierdzisz operację, zainstalujesz aplikację albo wykonasz inne polecenie.

„2FA zamyka temat.” Nie. Uwierzytelnianie dwuskładnikowe pomaga, ale oszust może próbować wyłudzić także kod lub akceptację operacji.

Podsumowanie: co zrobić z podejrzanym SMS-em

Gdy dostaniesz dziwny SMS, nie zaczynaj od pytania, czy wygląda profesjonalnie. Sprawdź, do jakiego działania próbuje Cię skłonić, i potwierdź sprawę samodzielnie w prawdziwej aplikacji, na znanej stronie lub pod numerem, który już masz.

Jeśli wiadomość zawiera podejrzany link, przekaż ją na 8080. Jeżeli podałeś dane, nie czekaj na oznaki oszustwa: zabezpiecz bank, kartę lub konto, zmień hasło i włącz 2FA, a po przekazaniu danych tożsamości zastrzeż PESEL. Szybka reakcja jest ważniejsza niż próba ustalenia, jak przekonujący był fałszywy SMS.