Smishing
Smishing to phishing w kanale SMS (i pokrewnych: RCS, czasem wiadomości od „operatora”). Krótki tekst, krótki link, silna emocja: paczka, mandaty, prąd, bank, e-urząd. Cel: kliknięcie w podrobioną bramkę, instalacja malware, oddzwonienie na numer oszusta, albo start rozmowy vishingowej.
Na blackweb.pl smishing jest wzorcem, nie listą „jak napisać skutecznego SMS-a”. Opisujemy rozpoznawanie i higienę. Bez mapy kampanii pod fraud.
Dlaczego SMS działa
Telefon jest zawsze pod ręką. Powiadomienie przerywa. Linki są skrócone, więc adres wygląda niewinnie. Marki kurierskie i bankowe są w głowie ofiary. Kwoty „dopłaty” bywają małe, żeby obniżyć czujność. Język bywa poprawny; AI zjadło stare kryterium „pełno literówek”.
Sam fakt, że SMS przyszedł „od InPost”, nic nie dowodzi. Nadawcę alfanumerycznego da się naśladować w granicach techniki operatorów i bramek. Treść da się skopiować z prawdziwej powiadomienia.
Typowe scenariusze (opisowo)
„Paczka wstrzymana, dopłać 1,50 zł”. „Konto zablokowane, odblokuj”. „Mandat / nieopłacony prąd, uniknij komornika”. „Twój PESEL wykorzystano”. Link prowadzi do strony zbierającej dane karty albo loginy. Czasem do strony z „aktualizacją aplikacji”. Czasem tylko do numeru telefonu, po którym zaczyna się vishing.
Spear: SMS używa imienia, numeru przesyłki z wycieku sklepu, fragmentu prawdziwej sprawy. Personalizacja podnosi wiarygodność. Nadal nie zamienia SMS-a w oficjalny kanał banku.
Obrona praktyczna
Nie klikaj w link z nieoczekiwanego SMS-a, gdy stawką są pieniądze albo logowanie. Wejdź w aplikację kuriera / banku z ikony, którą zainstalowałeś wcześniej, albo wpisz adres ze znanej zakładki. Nie oddzwaniaj na numer z treści wiadomości podejrzanej. Nie instaluj APK z SMS.
Jeśli już kliknąłeś i podałeś dane: zmień hasła z innego urządzenia, zastrzeż kartę, włącz silniejsze 2FA, sprawdź sesje. W Polsce podejrzane SMS-y zgłasza się m.in. na 8080 (CERT Polska) oraz kanałami banku.
Menedżer haseł, który nie wypełnia pól na obcej domenie, jest czujnikiem. Skrócony link w SMS nie jest.
Smishing a warstwa techniczna
Firewall nie czyta Twojej skrzynki SMS. Antywirus na PC nie widzi wiadomości na telefonie. Filtrowanie po stronie operatora pomaga częściowo; kampanie rotują domeny. Dlatego higiena człowieka zostaje w modelu. Opsec tu oznacza: nie mieszać „pilnej dopłaty” z odruchem kliknięcia.
Po stronie ofiary telefon jest często słabiej „utwardzony” niż laptop: sideloading, zgody na instalację, brak menedżera haseł w przeglądarce systemowej. Fałszywa bramka na mobile wygląda wiarygodnie, bo pasek adresu bywa schowany. Stąd nawyk otwierania oficjalnej aplikacji z ikony ma większą wagę niż na desktopie.
Wniosek: smishing atakuje nawyk zaufania do krótkich komunikatów marek. Niezależna weryfikacja bierze górę nad treścią SMS. Presja czasu jest sygnałem, nie powodem do pośpiechu.