W skrócie
Smishing to oszustwo przez SMS, w którym atakujący podszywa się pod kuriera, bank, urząd lub przełożonego. Wiadomość zawiera link albo prośbę o szybką płatność. Najlepiej chroni połączenie prostej zasady, że linków z SMS nie otwieramy bez weryfikacji, z ćwiczeniem na realistycznych wiadomościach.
| Pojęcie | Znaczenie |
|---|---|
| Smishing | phishing prowadzony przez SMS lub komunikator |
| Fałszywa dopłata | prośba o drobną opłatę za rzekomą przesyłkę |
| Fałszywy link | adres przypominający znaną stronę, prowadzący do formularza wyłudzającego dane |
Smishing co to jest i skąd się bierze nazwa?
Nazwa łączy słowa SMS i phishing. Mechanizm jest ten sam co w e-mailu: przynęta, presja czasu i prośba o działanie. Różni się kanał, a wraz z nim warunki, w jakich człowiek podejmuje decyzję.
Telefon ma mały ekran, adres linku jest często skrócony, a wiadomość przychodzi w chwili, gdy ktoś czeka na przesyłkę albo ma otwartą aplikację bankową. To sprzyja szybkiej reakcji bez namysłu.
Jak wygląda typowy smishing?
Najczęstsze scenariusze są powtarzalne, zmieniają się tylko szczegóły:
- informacja o paczce, która wymaga drobnej dopłaty albo potwierdzenia adresu,
- alert o rzekomej nieautoryzowanej transakcji i prośba o logowanie,
- wiadomość od niby przełożonego z prośbą o pilny kontakt lub zakup kodów,
- przypomnienie o zaległej opłacie, na przykład za abonament lub przejazd,
- kod potwierdzający, który ktoś prosi przekazać "dla weryfikacji".
Dlaczego smishing jest groźny dla firm?
Telefon służbowy często łączy pocztę, komunikatory i dostęp do systemów. Jedno kliknięcie może więc otworzyć drogę do konta, a prywatne i służbowe wiadomości mieszają się na jednym ekranie.
Dodatkowo firmowe filtry poczty nie widzą SMS-ów. Wiadomość omija zabezpieczenia, które chronią skrzynkę e-mail, i trafia prosto do człowieka. Dlatego smishing wymaga osobnych ćwiczeń, a nie tylko zwykłych szkoleń o poczcie.
Jak rozpoznać fałszywy SMS?
Zatrzymaj się, gdy zobaczysz choć jeden z tych sygnałów:
- nieznany numer albo nadawca podszywający się pod instytucję,
- link ze skróconym lub dziwnie zapisanym adresem,
- prośba o dane logowania, kod lub numer karty,
- nacisk na szybkość i groźba utraty dostępu,
- błędy językowe albo nietypowe sformułowania.
Co zrobić, gdy dostaniesz podejrzany SMS?
Nie klikaj linku i nie odpowiadaj. Sprawdź sprawę innym kanałem, na przykład w aplikacji kuriera, którą masz już zainstalowaną, albo dzwoniąc na numer z oficjalnej strony. Jeśli link został otwarty i wpisano dane, zmień hasło i zgłoś zdarzenie w firmie.
Warto ustalić w zespole jedno miejsce zgłaszania, żeby każdy wiedział, komu przekazać zrzut ekranu. Szybkie zgłoszenie pozwala ostrzec innych, zanim ta sama wiadomość trafi do reszty pracowników.
Jak ćwiczyć zespół na smishingu?
Teoria o SMS-ach szybko ulatuje z głowy. Skuteczniej działa symulacja, w której pracownik dostaje bezpieczną wiadomość szkoleniową, a po kliknięciu widzi krótką lekcję o tym, co powinno go zastanowić. W Naiwne takie ćwiczenia planujesz razem z e-mailem i telefonem w jednej kampanii, a symulacje nie zbierają haseł.
Więcej o całym podejściu znajdziesz w opisie testów phishingowych, a ogólny obraz zagrożeń w artykule phishing co to.