Смишинг (англ. SMiShing — от «SMS» и «фишинг») — вид фишинга через SMS. Мошенники отправляют жертве SMS-сообщение, содержащее ссылку на фишинговый сайт и мотивирующее ее войти на этот сайт. Как вариант, жертве предлагается отправить в ответном SMS-сообщении, конфиденциальную информацию, касающуюся платежных реквизитов или персональных параметров доступа на инфорационно-платежные ресурсы в сети Интернет.
Входящее смишинг-сообщение может выглядеть как СМС от банка, знакомой получателю компании либо как уведомление о выигрыше в лотерею. В электронных письмах такого толка можно заметить опечатки или общую неграмотность речи и тем самым распознать фишинг-сообщение (хотя зачастую такие послания выглядят весьма убедительно). В случае с СМС все не так просто, поскольку по размеру они невелики. Отличие разве что в том, что банки, компании или лотереи на самом деле таких сообщений посылать не будут.
Чаще подставное СМС гласит: «Поздравляем, вы выиграли!» — и предлагает ввести некий специальный код для того, чтобы получить приз. Также для «получения приза» могут предложить позвонить по бесплатному номеру или ответить на СМС-сообщение. Возможно и просто предложение зайти по указанной в сообщении ссылке.
Таким образом злоумышленники заманивают доверчивых граждан. Если жертва отвечает на подобное сообщение, то преступник начинает вытягивать из нее персональную информацию, а то и просит перевести деньги на свой счет в обмен на «приз». Если же перейти по ссылке в сообщении, то вполне реально загрузить вирус на свой сотовый.
Чтобы не стать жертвой мошенников, необходимо придерживаться следующих рекомендаций:
- Не верьте. Помните, торговые сети не раздают ценные призы и подарочные карты просто так. Если что-то выглядит слишком хорошо, чтобы быть правдой, значит, вас пытаются обмануть.
- Не отвечайте. Просто удалите сообщения, не отвечая. Если СМС содержит номер телефона, не звоните по нему, иначе вы рискуете привлечь к себе внимание как к потенциальной жертве. Не ходите по ссылкам, чтобы не загрузить никаких вирусов на свой мобильный телефон.
- Не раскрывайте свои персональные данные. Если вас просят сообщить какие-либо сведения личного характера для того, чтобы якобы выслать вам приз, назвать номер вашего банковского счета или перечислить деньги, которые нужны на «доставку» подарка, – не раскрывайте своих персональных данных.
- Поставьте в известность вашего сотового оператора и т.п. Если вы получили смишинг-сообщение, известите об этом вашего мобильного оператора и потребуйте заблокировать номера, с которых эти сообщения были отправлены. В случае если вы получили мошенническое СМС якобы от вашего банка или торговой сети, также поставьте их в известность о происходящем.
Распознать СМС мошенничество с банковскими картами бывает довольно трудно. Внушающий доверие отправитель сбивает с толку, а при общении с «оператором» вы услышите характерный шум, присущий работе офисному сотруднику.
При более тонком подходе к разговору с будущей жертвой заранее готовятся. Сейчас не трудно собрать дополнительную информацию с помощью социальных сетей. К вам могут обратиться по имени-отчеству, назвать вашу дату рождения, место работы. Все это, чтобы усыпить бдительность. Помните, мошенники-профессионалы имеют хорошую подготовку, они умны и хитры.
Должно насторожить:
- непривычный сервисный номер банка (любые комбинации букв и цифр, похожие на реальный банковский номер). Лучше всего вообще не перезванивать по указанным телефонам. Ведь подобные СМС-рассылки используются с единственной целью сбора информации;
- уклончивые ответы о состоянии вашего счета;
- если вам предлагают назвать реквизиты вашей карты;
- если предлагают подойти к банкомату и следовать указаниям оператора.
В случае, когда СМС о блокировке пластика действительно пришла от банка, в контактных данных будет указан прямой телефон банка, колл-центра. При этом обязательно будет прописана часть номера карты. Внимательно посмотрите, кто указан в качестве отправителя.
Онлайновые мошенники расширили направление своих атак на сотовые телефоны. Случаи массовой рассылки фальшивых SMS, заманивающих пользователей на инфицированный веб-сайт, уже имели место в Исландии и Австралии, что заставило экспертов по безопасности распространить предупреждение о смишинге (SMiShing).
В тексте фальшивой SMS пользователю сообщается о том, что он подписан на платную услугу, за которую с его счета будет удерживаться $2 ежедневно, и если он хочет отказаться от данной услуги, то ему нужно зайти на сайт. На сайте пользователей «ждала» троянская программа, написанная на VBS, которая открывала лазейку хакерам на зараженный ею компьютер и начинала автоматическую рассылку SMS на случайные номера, через соответствующие веб-сервисы сотовых операторов.