Smishing

TL;DR — co to jest smishing i jak rozpoznać fałszywy SMS?

Smishing — co to jest? Smishing (SMS + phishing) to oszustwo polegające na wysyłaniu fałszywych SMS-ów podszywających się pod banki, kurierów czy urzędy, by skłonić ofiarę do kliknięcia złośliwego linku lub podania danych. Szczegółowy opis mechanizmu i scenariuszy znajdziesz w przewodniku po smishingu. W Polsce dominują warianty: dopłata do paczki (InPost/DPD), wezwania z ZUS/US/ePUAP i oszustwa BLIK. Sygnały ostrzegawcze: presja czasu, skrócony link zamiast oficjalnej domeny, prośba o dane karty/BLIK, numer spoza oficjalnego nadawcy. Bank nigdy nie prosi SMS-em o login, hasło ani potwierdzenie operacji w linku — w razie wątpliwości otwórz aplikację banku ręcznie.

Definicja smishingu

Smishing (SMS phishing) to forma cyberataku, w której oszuści wykorzystują wiadomości SMS do wyłudzania poufnych informacji, takich jak dane logowania, numery kart kredytowych, czy inne dane osobowe. Atakujący podszywają się pod zaufane instytucje lub osoby, aby skłonić ofiarę do kliknięcia w złośliwy link lub podania swoich danych.

W Polsce smishing ma też definicję ustawową. Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (art. 3 ust. 1 pkt 2) uznaje za smishing SMS, którego nadawca udaje inny podmiot, żeby skłonić adresata do konkretnego działania — na przykład do ujawnienia danych osobowych, przekazania pieniędzy, wejścia na stronę, wykonania połączenia albo zainstalowania aplikacji. To ważne rozróżnienie: o smishingu decyduje podszycie się i cel wiadomości, a nie sam fakt, że SMS zawiera link.

Jak działa smishing?

Wysyłanie wiadomości SMS: Oszust wysyła fałszywą wiadomość SMS do ofiary, podszywając się pod zaufaną instytucję (np. bank, dostawcę usług).

• Zachęcanie do działania: Wiadomość zawiera pilne wezwanie do działania, takie jak kliknięcie w link, pobranie załącznika, czy oddzwonienie na podany numer.

• Zbieranie danych: Po kliknięciu w link ofiara jest przekierowywana na fałszywą stronę internetową, gdzie jest proszona o podanie danych osobowych lub logowania.

• Wykorzystanie danych: Oszuści wykorzystują zebrane dane do kradzieży tożsamości, przejęcia kont bankowych, czy innych działań przestępczych.

Rodzaje ataków smishingowych

• Fałszywe powiadomienia bankowe: Wiadomości SMS informujące o rzekomych problemach z kontem bankowym.

• Oferty promocyjne: Wiadomości z fałszywymi ofertami, kuponami rabatowymi lub wygranymi w konkursach.

• Powiadomienia o dostawie: Wiadomości informujące o rzekomej przesyłce wymagającej potwierdzenia lub opłaty.

• Fałszywe alerty bezpieczeństwa: Wiadomości ostrzegające o zagrożeniu bezpieczeństwa konta, wymagające natychmiastowego działania.

Przykłady smishingu

• Wiadomość SMS od rzekomego banku z informacją o zablokowaniu konta i prośbą o kliknięcie w link w celu odblokowania.

• SMS z fałszywą informacją o wygranej w konkursie, wymagający podania danych osobowych w celu odebrania nagrody.

• Wiadomość od rzekomego dostawcy usług kurierskich z prośbą o potwierdzenie dostawy poprzez kliknięcie w link.

• SMS o drobnej dopłacie do paczki albo niewielkiej zaległości w rachunku, z linkiem do strony płatności, która tylko wygląda jak bramka banku.

• Wiadomość z poleceniem pobrania aplikacji, która ma „naprawić problem” — w rzeczywistości jest to oprogramowanie szpiegujące, które daje przestępcy wgląd w aktywność na telefonie, także w aplikacji bankowej.

• SMS z prośbą o pilny telefon pod wskazany numer, gdzie automat lub „konsultant” krok po kroku wyciąga dane logowania albo numer karty z kodem CVV.

Ministerstwo Cyfryzacji opisuje te trzy schematy jako typowe metody smishingu; link do fałszywej strony logowania i namowę do instalacji aplikacji wskazuje jako najpopularniejsze.

Zagrożenia związane ze smishingiem

• Kradzież tożsamości: Oszuści mogą wykorzystać zebrane dane do kradzieży tożsamości ofiary.

• Kradzież finansowa: Uzyskanie dostępu do kont bankowych i kradzież środków finansowych.

• Instalacja złośliwego oprogramowania: Kliknięcie w link może prowadzić do zainstalowania malware na urządzeniu ofiary.

• Utrata prywatności: Wyłudzenie danych osobowych, które mogą być wykorzystane do dalszych ataków.

Jak rozpoznać smishing?

• Nieznany nadawca: Wiadomości od nieznanych numerów lub instytucji.

• Pilne wezwanie do działania: Wiadomości zawierające pilne prośby o kliknięcie w link lub podanie danych.

• Błędy językowe i gramatyczne: Wiadomości zawierające liczne błędy językowe.

• Podejrzane linki: Linki prowadzące do nieznanych lub podejrzanych stron internetowych.

• Prośby o poufne informacje: Wiadomości proszące o podanie danych osobowych lub finansowych.

Metody ochrony przed smishingiem

• Edukacja i świadomość: Poznanie metod działania oszustów i zachowanie ostrożności przy otrzymywaniu wiadomości SMS.

• Nieklikanie w linki: Unikanie klikania w linki w wiadomościach SMS od nieznanych nadawców.

• Weryfikacja nadawcy: Sprawdzenie autentyczności wiadomości poprzez kontakt z instytucją bezpośrednio, używając znanych numerów kontaktowych.

• Używanie oprogramowania antywirusowego: Instalacja i aktualizacja programów antywirusowych na urządzeniach mobilnych.

• Zgłaszanie podejrzanych wiadomości: Zgłaszanie podejrzanych wiadomości SMS do odpowiednich instytucji lub operatorów sieci komórkowych.

Smishing jest poważnym zagrożeniem w dzisiejszym cyfrowym świecie, dlatego ważne jest, aby być świadomym metod działania oszustów i stosować odpowiednie środki ostrożności, aby chronić siebie i swoje dane.

W firmie lista sygnałów ostrzegawczych to za mało — liczy się odruch pracownika w chwili, gdy SMS przychodzi w środku dnia pracy. Ten odruch buduje się ćwiczeniem, dlatego warto włączyć smishing do symulacji phishingowych, w których scenariusze mogą obejmować także wiadomości SMS, i sprawdzać, ilu pracowników zgłasza podejrzaną wiadomość, zamiast w nią klikać.

Co zrobić po otrzymaniu lub kliknięciu SMS-a smishingowego?

• Nie odpisuj i nie oddzwaniaj na numer z wiadomości. Prawdziwość komunikatu sprawdź u nadawcy przez kontakt podany na jego oficjalnej stronie albo w aplikacji, nie w treści SMS-a.
• Przekaż SMS na bezpłatny numer 8080. Pod tym numerem CSIRT NASK przyjmuje zgłoszenia podejrzanych wiadomości (art. 5 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej). Na podstawie zgłoszeń zespół tworzy wzorce wiadomości, a operatorzy blokują SMS-y zgodne z takim wzorcem (art. 4 i art. 6).
• Jeśli podałeś dane do konta lub karty — od razu skontaktuj się z bankiem przez oficjalny kanał, zablokuj kartę i obserwuj historię operacji.
• Jeśli ujawniłeś hasło — zmień je natychmiast, także w każdej innej usłudze, w której używałeś tego samego hasła.
• Jeśli chodzi o telefon służbowy albo dane firmy — zgłoś zdarzenie zespołowi IT lub bezpieczeństwa, żeby mógł wypatrywać nietypowej aktywności na kontach i urządzeniach.

Powiązane terminy

• Phishing - wyłudzanie przez email
• Vishing - wyłudzanie przez telefon
• Socjotechnika - manipulacja psychologiczna
• Malware - złośliwe oprogramowanie

Sprawdź nasze usługi

Chcesz chronić organizację przed smishingiem? Sprawdź:

• Szkolenia Security Awareness - budowanie świadomości pracowników
• Testy socjotechniczne - symulacje ataków smishing
• SOC 24/7 - wykrywanie zagrożeń