Smishing

Prostym językiem

Smishing jest odmianą phishingu prowadzoną przez wiadomości na telefonie. Oszust może podszywać się pod bank, firmę kurierską, urząd, operatora telefonu, sklep internetowy, platformę sprzedażową, dziecko, znajomego albo dział bezpieczeństwa. Wiadomość zwykle zawiera link, numer telefonu, prośbę o dopłatę, kod BLIK, dane karty, zalogowanie do konta, zainstalowanie aplikacji albo zatwierdzenie rzekomej operacji. Celem jest skłonienie odbiorcy do szybkiego działania bez sprawdzenia, czy wiadomość jest prawdziwa. Najbezpieczniej nie klikać linku z wiadomości, tylko samodzielnie otworzyć oficjalną aplikację lub stronę.

Dla dziecka

Wyobraź sobie, że dostajesz wiadomość: „Twoja paczka czeka, dopłać 2 zł, kliknij link”. Wygląda poważnie, ale tak naprawdę może ją wysłać oszust, który chce ukraść dane karty albo hasło. To tak, jakby ktoś przebrał się za kuriera i próbował wyłudzić tajne informacje. Gdy wiadomość każe działać natychmiast, lepiej zatrzymać się, nie klikać i sprawdzić sprawę w oficjalnej aplikacji albo zapytać dorosłego.

Dla zaawansowanych

Smishing jest atakiem socjotechnicznym wykorzystującym kanały mobilnych wiadomości tekstowych do inicjowania wyłudzenia, przejęcia konta, kradzieży środków lub instalacji złośliwego oprogramowania. W warstwie technicznej może obejmować skrócone linki, domeny podobne do legalnych, przejęte serwisy, fałszywe bramki płatności, spoofing nadawcy, wiadomości RCS, komunikatory, kody QR, przekierowania, malware mobilny, fałszywe aplikacje oraz kampanie łączone z vishingiem. W sektorze finansowym szczególnie istotne są ataki prowadzące do autoryzacji przelewu, podania kodu BLIK, przejęcia danych karty, wyłudzenia kodów jednorazowych, instalacji zdalnego pulpitu, zmiany limitów transakcyjnych albo dodania nowego urządzenia zaufanego. Skuteczna ochrona wymaga edukacji użytkowników, filtrowania wiadomości, reputacji domen, ograniczania linków w komunikacji, silnego uwierzytelniania, limitów płatności, monitorowania transakcji, mechanizmów antyfraudowych oraz szybkiego blokowania kart, rachunków, sesji i urządzeń po incydencie.

Przykład z życia

Michał otrzymuje wiadomość: „Twoja przesyłka została wstrzymana. Dopłać 1,99 zł”. W treści jest link do strony łudząco podobnej do serwisu firmy kurierskiej. Formularz prosi o dane karty i kod z banku. Michał przypomina sobie, że nie zamawiał paczki na ten numer telefonu. Nie klika dalej, tylko otwiera oficjalną aplikację przewoźnika i sprawdza status przesyłek. Następnie przekazuje podejrzaną wiadomość do CERT Polska na numer 8080, usuwa ją i nie podaje żadnych danych. Dzięki temu nie autoryzuje płatności ani nie przekazuje danych karty oszustom.

Najczęstsze błędy

1. Klikanie w link z SMS-a bez sprawdzenia nadawcy, adresu strony i sensu całej sytuacji.
2. Podawanie danych karty, kodu CVV, loginu, hasła, kodu BLIK albo kodu SMS po wejściu z linku w wiadomości.
3. Działanie pod presją komunikatu „ostatnia szansa”, „konto zostanie zablokowane”, „dopłać natychmiast” albo „odbierz zwrot”.
4. Uznawanie wiadomości za prawdziwą tylko dlatego, że zawiera logo firmy, imię, numer paczki lub podobny do znanego adres strony.
5. Zatwierdzanie operacji w aplikacji bankowej bez czytania kwoty, odbiorcy i rodzaju autoryzacji.
6. Przekazywanie kodu BLIK osobie piszącej z przejętego konta znajomego albo z nowego numeru rzekomego członka rodziny.
7. Oddzwanianie na numer z podejrzanej wiadomości zamiast skorzystania z oficjalnego numeru instytucji.
8. Instalowanie aplikacji z linku w wiadomości, szczególnie poza oficjalnym sklepem z aplikacjami.
9. Ignorowanie małych kwot, mimo że fałszywa dopłata może służyć do przejęcia danych karty.
10. Brak limitów płatności kartą, przelewów i transakcji BLIK w bankowości mobilnej.
11. Używanie tego samego hasła w wielu usługach, co ułatwia przejęcie kolejnych kont po jednym wycieku.
12. Zakładanie, że wiadomość w jednym wątku SMS z prawdziwymi komunikatami firmy na pewno jest bezpieczna.
13. Skanowanie kodu QR z wiadomości lub plakatu bez sprawdzenia, dokąd prowadzi.
14. Zbyt późny kontakt z bankiem po kliknięciu linku, podaniu danych albo zatwierdzeniu podejrzanej operacji.
15. Kasowanie wiadomości przed zrobieniem zrzutu ekranu lub przekazaniem jej do zgłoszenia.

Najważniejsze wnioski

Smishing wykorzystuje SMS-y, RCS, komunikatory i podobne kanały mobilne do wyłudzania danych oraz pieniędzy. Najczęściej działa przez presję czasu, fałszywy link, dopłatę do paczki, blokadę konta, kod BLIK, dane karty albo rzekomą pilną sprawę. Najbezpieczniej nie logować się i nie płacić przez link z wiadomości, lecz samodzielnie otworzyć oficjalną aplikację lub stronę. Przed zatwierdzeniem operacji w banku trzeba przeczytać kwotę, odbiorcę i rodzaj autoryzacji. Po podaniu danych należy natychmiast skontaktować się z bankiem, zastrzec kartę, zmienić hasła, sprawdzić historię operacji i zgłosić incydent. Podejrzane SMS-y w Polsce można przekazywać do CERT Polska na numer 8080.

Pytania i odpowiedzi

P: Co to jest smishing?
O: To oszustwo prowadzone przez SMS-y lub podobne wiadomości mobilne, w którym przestępca podszywa się pod zaufaną firmę, instytucję albo osobę, aby wyłudzić dane, pieniądze lub dostęp do konta.

P: Czym smishing różni się od phishingu?
O: Phishing jest szerszym pojęciem i może wykorzystywać e-mail, fałszywe strony, reklamy, komunikatory lub telefon. Smishing dotyczy przede wszystkim wiadomości SMS, RCS i kanałów mobilnych.

P: Jak wygląda typowy fałszywy SMS?
O: Może informować o dopłacie do paczki, blokadzie konta, zaległości, zwrocie podatku, wygranej, aktualizacji danych albo pilnej prośbie od znajomego. Zwykle zawiera link, numer telefonu lub prośbę o kod.

P: Czy krótki link w SMS-ie jest niebezpieczny?
O: Może być, bo skrócony link ukrywa prawdziwy adres strony. Nie warto go otwierać, jeśli wiadomość nie jest w pełni zweryfikowana.

P: Czy można kliknąć link, jeśli wiadomość wygląda jak od banku?
O: Bezpieczniej tego nie robić. Lepiej samodzielnie otworzyć aplikację banku albo wpisać adres strony ręcznie, a w razie wątpliwości zadzwonić na oficjalny numer banku.

P: Co zrobić, jeśli kliknąłem link, ale nie podałem danych?
O: Zamknij stronę, nie pobieraj plików, nie wpisuj danych i zgłoś wiadomość. Jeżeli pobrałeś aplikację lub plik, sprawdź telefon i rozważ kontakt z bankiem.

P: Co zrobić po podaniu danych karty?
O: Natychmiast skontaktuj się z bankiem, zastrzeż kartę, sprawdź transakcje, zgłoś nieautoryzowane operacje i zachowaj wiadomości jako dowody.

P: Co zrobić po podaniu loginu i hasła?
O: Zmień hasło z bezpiecznego urządzenia, wyloguj aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i skontaktuj się z bankiem lub administratorem konta.

P: Czy kod BLIK można podać znajomemu przez SMS lub komunikator?
O: Nie należy tego robić bez pełnej weryfikacji. Oszuści często przejmują konta znajomych i proszą o kod, udając nagłą potrzebę pieniędzy.

P: Gdzie zgłosić podejrzanego SMS-a?
O: W Polsce podejrzane SMS-y można przekazać do CERT Polska na numer 8080. W przypadku strat finansowych trzeba też skontaktować się z bankiem i rozważyć zgłoszenie sprawy policji.

P: Czy telefon może sam zainfekować się po wejściu w link?
O: Samo otwarcie strony nie zawsze oznacza infekcję, ale ryzyko rośnie, jeśli pobierzesz aplikację, plik, nadasz uprawnienia albo wpiszesz dane. Dlatego warto aktualizować system i aplikacje.

P: Czy fałszywy SMS może pojawić się w prawdziwym wątku wiadomości?
O: Tak, w niektórych scenariuszach oszuści mogą podszywać się pod nadawcę lub używać nazw podobnych do legalnych. Sam wątek wiadomości nie wystarcza do potwierdzenia bezpieczeństwa.

P: Czy QR kod z wiadomości też może być pułapką?
O: Tak. Kod QR może prowadzić do fałszywej strony płatności lub logowania, dlatego trzeba sprawdzać adres i kontekst, zanim poda się jakiekolwiek dane.

P: Jak chronić się na co dzień?
O: Nie klikaj w linki z podejrzanych wiadomości, samodzielnie otwieraj oficjalne aplikacje, ustaw limity transakcji, używaj unikalnych haseł, czytaj autoryzacje w banku i zgłaszaj fałszywe wiadomości.

Źródła

Źródło: CERT Polska, fałszywe SMS-y i numer 8080 — https://cert.pl/baza-wiedzy/falszywe-smsy/
Źródło: CERT Polska, formularz zgłoszenia incydentu — https://incydent.cert.pl/
Źródło: CERT Polska, Bezpieczeństwo twojej kieszeni — https://cert.pl/bezpieczny-telefon/
Źródło: Gov.pl, podejrzane SMS-y można zgłaszać na 8080 — https://www.gov.pl/web/baza-wiedzy/phishing--widzisz-zglaszaj
Źródło: Gov.pl, czym jest phishing i jak nie dać się nabrać — https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-się-nabrac-na-podejrzane-wiadomosci-e-mail-oraz-sms-y
Źródło: KNF/CEBRF, fałszywe wiadomości SMS — https://cebrf.knf.gov.pl/falszywe-wiadomosci-sms
Źródło: KNF, phishingowe wiadomości SMS — https://www.knf.gov.pl/dla_konsumenta/kampanie_informacyjne/cyberoszustwa_inwestycyjne/schematy_oszustw/wiadomosci_sms
Źródło: KNF, vishing i spoofing numeru telefonu — https://www.knf.gov.pl/dla_konsumenta/kampanie_informacyjne/cyberoszustwa_inwestycyjne/schematy_oszustw/vishing
Źródło: UOKiK, nieautoryzowane transakcje — https://finanse.uokik.gov.pl/nieautoryzowane-transakcje/uwazaj-nieautoryzowane-transakcje/
Źródło: UOKiK, tag: nieautoryzowane transakcje — https://finanse.uokik.gov.pl/tag/nieautoryzowane-transakcje/
Źródło: NASK, zanim klikniesz, zastanów się — https://www.nask.pl/aktualnosci/zanim-klikniesz-zastanow-się