Smishing

Czym jest smishing? 

Termin "smishing" może brzmieć głupio, ale jego znaczenie jest mniej zabawne niż się wydaje. Atak smishingowy to rodzajataku phishingowego , który wykorzystuje wiadomości tekstowe jako wektor ataku. Może opierać się na inżynierii społecznej, złośliwych załącznikach i fałszywych stronach internetowych w celu wyłudzenia informacji.

Oszustwo typu smishing może być łatwe do przeprowadzenia, trudne do wyśledzenia i niebezpieczne w skutkach. Udany atak smishingowy może potencjalnie ujawnić hasła, zdjęcia, filmy i inne poufne dane oszustowi, a także działać jako wektor infekcji dla złośliwego oprogramowania zrzucanego na smartfon.

Każdy z miliardów użytkowników smartfonów na całym świecie jest potencjalnym celem smishingu. W samych Stanach Zjednoczonych Federalna Komisja Handlu odnotowała w 2021 r. prawie 400 000 skarg dotyczących oszustw związanych z niechcianymi wiadomościami tekstowymi, w tym atakami smishingowymi. W tym samym roku konsumenci zgłosili organom regulacyjnym straty w wysokości ponad 80 milionów dolarów.

Ten przewodnik pomoże ci uniknąć ataków smishingowych i dowiedzieć się, jak im zapobiegać. Czytaj dalej, aby uzyskać bardziej szczegółowe informacje na temat następujących kwestii:

• Definicja smishingu: czym jest atak smishingowy w cyberbezpieczeństwie?
• Przykłady smishingu
• Smishing a phishing
• Co można zrobić w przypadku ataku typu smishing?
• Jak chronić się przed smishingiem

Definicja i wyjaśnienie smishingu

Oto krótka definicja smishingu: smishing to rodzaj ataku cyberbezpieczeństwa, który ma miejsce za pośrednictwem usług krótkich wiadomości tekstowych (SMS), znanych również jako wysyłanie wiadomości tekstowych. Niektórzy eksperci mogą również zdefiniować smishing jako atak za pomocą dowolnego rodzaju wiadomości tekstowej, a nie tylko natywnych mobilnych systemów przesyłania wiadomości tekstowych, takich jak wiadomości na platformach mediów społecznościowych.

Prostszym sposobem zdefiniowania smishingu jest nazwanie go phishingową wiadomością tekstową. Prowadzi to do pytania: czym jest phishing? Cóż, phishing to sytuacja, w której podmiot stanowiący zagrożenie udaje zaufany podmiot, aby nakłonić cel do popełnienia błędu w zakresie cyberbezpieczeństwa, takiego jak udostępnienie poufnych informacji, zazwyczaj za pośrednictwem poczty elektronicznej. Wiadomość tekstowa typu phishing, znana również jako smishing, to phishing za pośrednictwem tekstu.

Czym jest atak typu smishing?

Atak smishingowy ma miejsce, gdy podmiot stanowiący zagrożenie wykorzystuje złośliwe wiadomości tekstowe do naruszenia cyberbezpieczeństwa celu. Celem ataku smishingowego jest zazwyczaj uzyskanie następujących poufnych informacji w celu kradzieży tożsamości lub przestępstw finansowych:

• Nazwy
• Adresy
• Nazwy użytkowników
• Hasła
• Numery kart kredytowych
• Kody kart kredytowych
• Dane bankowe

Atak tekstowy typu phishing może być również wysoce ukierunkowany. Gdy sprawca zagrożenia zna numer telefonu ofiary, może zaprojektować atrakcyjny atak. Na przykład, jeśli oszust celuje w numer telefonu dyrektora finansowego, może przeprowadzić atak smishingowy, który wydaje się pochodzić od potencjalnego kontaktu biznesowego.

Możesz przeczytać na phishing vs spear phishing vs whaling, aby dowiedzieć się o różnych rodzajach ataków socjotechnicznych, które wykorzystują wiadomości tekstowe jako wektor zagrożenia.

Jak działa smishing? 

Podobnie jak phishing, smishing oszukuje nas, abyśmy uwierzyli, że fałszywe wiadomości są legalne, więc wchodzimy w interakcję z nimi bez obaw. Ataki smishingowe wykorzystują niektóre lub wszystkie poniższe funkcje:

• Kontekst: SMS-y typu smishing wykorzystują kontekst, aby wyglądać na autentyczne. Wiadomość smishingowa może wydawać się pochodzić od banku, ulubionego sprzedawcy detalicznego lub rządu. Na przykład, Oszustwa smishingowe o tematyce IRS, które kradną dane osobowe i finansowe, rosną, ponieważ skutecznie wykorzystują kontekst, aby zdobyć zaufanie ofiary.
• Wybór celu: Ofiary smishingu mogą być wybierane na podstawie danych demograficznych i lokalnych powiązań. Na przykład, gang wyłudzaczy może wysyłać fałszywe wiadomości tekstowe z instytucji finansowej, która jest popularna w określonym numerze kierunkowym na numery lokalne. Alternatywnie, mogą wysyłać wiadomości phishingowe z uniwersytetu do studentów po uzyskaniu dostępu do numerów telefonów.
• Inżynieria społeczna: Atak socjotechniczny manipuluje emocjami celu, takimi jak strach, miłość, pożądanie, chciwość, gniew lub współczucie, aby zaciemnić jego osąd. Na przykład fałszywa wiadomość, która wydaje się pochodzić od ukochanej osoby, może udawać nagły wypadek, aby nakłonić ofiarę do wysłania przelewu pieniężnego.
• Złośliwe załączniki: Wiadomość phishingowa może zawierać złośliwy załącznik, który wygląda jak zdjęcie, film lub dokument, ale jest wirusem, oprogramowaniem reklamowym, szpiegującym, trojanem lub oprogramowaniem ransomware.
• Złośliwe linki: Ataki typu smishing często wykorzystują złośliwe linki, złośliwe oprogramowanie lub fałszywe strony internetowe.

Smishing działa również w oparciu o prostotę wiadomości tekstowych. Wiadomości phishingowe można wykryć, zwracając uwagę na błędy gramatyczne, ortograficzne, formatowanie obrazu, dziwne adresy e-mail i inne nieprawidłowości. Jednak wiadomości tekstowe są zazwyczaj krótsze i nie zawierają grafik, takich jak logo firmy.

Na przykład, typowa wiadomość od banku może składać się z kilku zdań i zawierać link do strony detalicznej lub finansowej. W przeciwieństwie do oficjalnej wiadomości e-mail, taki tekst jest łatwy do podrobienia.

Hakerzy rzadziej popełniają błędy gramatyczne, pisząc jedno lub dwa zdania w ataku smishingowym. Nie muszą też martwić się o replikowanie logo, aby teksty phishingowe wyglądały na autentyczne. Mogą również korzystać z technik fałszowania identyfikatora dzwoniącego i telefonów z palnikiem, aby zatrzeć ślady.

Przykłady smishingu: Różne rodzaje ataków smishingowych 

1. Wygrałeś konkurs lub nagrodę i musisz ją odebrać.
2. Ktoś wysłał ci prezent lub kupon, który musisz aktywować.
3. Twoja instytucja finansowa musi potwierdzić Twoje dane.
4. Oczekujący przelew pieniężny na konto użytkownika wymaga jego autoryzacji.
5. Kosztowny zakup wymaga weryfikacji.
6. W telefonie wykryto wirusa.
7. Twoje konto zostało zablokowane z powodu podejrzanej aktywności lub nietypowych prób logowania.

Smishing a phishing: Jaka jest różnica między smishingiem a phishingiem? 

Smishing i phishing mogą brzmieć podobnie, ale nie są tym samym. Jaka jest więc różnica między phishingiem a smishingiem? Największą różnicą w porównaniu smishingu i phishingu jest to, że smishing wykorzystuje SMS-y jako środek ataku, podczas gdy phishing jest terminem chwytliwym dla każdej wiadomości e-mail, strony internetowej, wiadomości tekstowej lub wiadomości głosowej, która wykorzystuje oszustwo do ataku na cel. Innymi słowy, smishing jest rodzajem ataku phishingowego, który odbywa się za pośrednictwem wiadomości tekstowej. Celem obu ataków jest zebranie danych osobowych użytkownika w celu dokonania oszustwa. To jest to, co obie metody mają ze sobą wspólnego.

Co zrobić w przypadku ataku typu smishing? 

Zgłoś atak 

Pierwszą rzeczą, którą powinieneś zrobić, jest zgłoszenie ataku do odpowiedniego organu, podając jak najwięcej szczegółów. Na przykład, jeśli jesteś celem ataku smishingowego IRS, wyślij wiadomość e-mail o ataku na adres phishing@irs.gov z następującymi szczegółami:

• Numer identyfikacyjny dzwoniącego phisha.
• Zrzut ekranu z ataku.
• Kopia wiadomości, jeśli nie można wykonać zrzutu ekranu.
• Data, godzina, strefa czasowa i numer odbiorcy.

Inne organizacje również zostały zmuszone do zareagowania na te oszustwa. Na przykład banki i firmy płatnicze, takie jak PayPal, otworzyły kanały zgłaszania phishingu. Jeśli korzystasz z PayPal, dowiedz się, jak rozpoznaćwiadomości phishingowe PayPal , aby chronić swoje konto. 

Zmień wszystkie hasła 

Jeśli podejrzewasz, że jesteś celem ataku smishingowego, natychmiast zmień wszystkie swoje hasła i kody PIN. Nowe hasło powinno być złożone i unikalne. Możesz przeczytać nasz przewodnik, aby dowiedzieć się jak stworzyć silne hasło.

Zamrożenie karty 

Zagrożenie może próbować użyć karty debetowej lub kredytowej po uzyskaniu dostępu do poufnych danych. Sugerujemy, aby po zmianie haseł tymczasowo zablokować wszystkie karty, aby zapobiec oszustwom finansowym. Kartę można zablokować, logując się na konto karty kredytowej lub dzwoniąc do instytucji finansowej.

Poinformuj również wystawcę karty kredytowej o ataku smishingowym. Może on wyłączyć kartę i wydać nową z innym zestawem cyfr.

Monitorowanie dalszych działań 

Monitoruj swoje konta pod kątem następujących rodzajów podejrzanej aktywności:

• Nieznane transakcje na koncie bankowym lub karcie kredytowej.
• Nietypowe lokalizacje logowania do kont.
• Twoje poufne zdjęcia, filmy lub wiadomości tekstowe wyciekają.
• Znajomi otrzymujący od ciebie podejrzane wiadomości.
• Pożyczki zaciągnięte na Twoje nazwisko.
• Rejestracja w rządowych programach pomocy finansowej

Nawet jeśli nie zauważysz żadnych podejrzanych działań, miej oko na swoje konta w dłuższej perspektywie po ataku smishingowym. Doskonałym sposobem na monitorowanie kont finansowych pod kątem nieprawidłowości jest sprawdzanie raportów kredytowych.

Prawo federalne zezwala na coroczny dostęp dobezpłatnego raportu kredytowego z jednego z głównych biur kredytowych. Oznacza to trzy bezpłatne raporty rocznie. A do grudnia 2023 r. każdy mieszkaniec Stanów Zjednoczonych może co tydzień uzyskać dostęp do bezpłatnego raportu kredytowego ze wszystkich trzech biur.

Jak zatrzymać SMS-y wyłudzające informacje 

Po ustaleniu, że wiadomość tekstowa jest fałszywa, można ją zablokować na telefonie iOS lub Android . W telefonie iPhone przejdź do strony kontaktu i stuknij opcję Zablokuj tego rozmówcę. W telefonie Android przejdź do strony kontaktu i stuknij opcję Zablokuj kontakt.

Oba systemy operacyjne oferują również filtry, które umożliwiają blokowanie spamu i innych niechcianych wiadomości.

Jak filtrować wiadomości tekstowe na telefonie iPhone:

1. Przejdź do Ustawień.
2. Stuknij opcję Wiadomości.
3. Przesuń przycisk obok opcji Filtruj nieznanych nadawców.

Jak filtrować teksty na Android:

1. Przejdź do Wiadomości.
2. Stuknij trzy kropki, aby otworzyć Ustawienia.
3. Stuknij opcję Blokuj numery i wiadomości.
4. Aktywuj identyfikator rozmówcy i ochronę przed spamem.

Twój operator telefonii komórkowej może również oferować narzędzia antysmishingowe:

- Verizon

- AT&T

- T-Mobile

Jak chronić się przed smishingiem 

Ataki smishingowe mogą być złożone, wykorzystując alarmistyczny język, złośliwe załączniki, niebezpieczne linki i fałszywe strony internetowe w celu naruszenia naszego cyberbezpieczeństwa. Ochrona przed smishingiem wymaga przygotowania na wielu frontach.

Uważaj na pilne wiadomości 

Wiadomości phishingowe mogą wydawać się pilne, aby uniemożliwić ci jasne myślenie przed zareagowaniem. Pierwszą rzeczą, którą powinieneś zrobić po otrzymaniu pilnej wiadomości, jest wzięcie głębokiego oddechu. Oceń sytuację przed udzieleniem odpowiedzi. Jest mało prawdopodobne, że legalny podmiot poprosi o podanie poufnych informacji lub dokonanie płatności za pośrednictwem wiadomości tekstowej. Jeśli masz jakiekolwiek wątpliwości, znajdź publicznie wymieniony numer podmiotu na jego oficjalnej stronie internetowej i zadzwoń do niego bezpośrednio.

Potwierdź numery telefonów 

Sprawdź identyfikator dzwoniącego. Poszukaj numeru pod identyfikatorem i wyszukaj go w Internecie, aby sprawdzić, czy pasuje do kontekstu połączenia.

Uwierzytelnianie wieloskładnikowe 

Aktywuj uwierzytelnianie wieloskładnikowe (MFA) na swoich kontach, aby chronić je przed hakerami, którzy mogą mieć dostęp do Twoich danych logowania. MFA zmusza użytkowników do uwierzytelnienia swojej tożsamości w inny sposób, gdy podczas próby logowania wystąpi podejrzana aktywność.

Unikaj klikania linków w wiadomościach 

Ataki typu smishing mogą wymagać pilnego otwarcia odsyłacza w celu skorzystania z atrakcyjnej oferty lub zapłacenia podatku do urzędu skarbowego i uniknięcia aresztowania. Linki te mogą prowadzić do złośliwych stron internetowych, które kradną dane kart kredytowych lub inne poufne informacje. Najlepiej unikać klikania jakichkolwiek linków w wiadomościach tekstowych. Zamiast tego należy zweryfikować źródło wiadomości.

Nie odpowiadaj na nieznane numery 

Sprawdzanie połączeń może pomóc w ochronie przed atakami typu smishing. Wiadomość od nieznanego numeru może być częścią oszustwa.

Unikaj przechowywania informacji o karcie kredytowej w telefonie 

Unikaj przechowywania danych karty kredytowej w telefonie w postaci formularzy internetowych, plików tekstowych, a nawet zrzutów ekranu. Atak typu smishing, który instaluje trojana lub oprogramowanie szpiegujące na urządzeniu, może z łatwością wykraść te informacje. Rozpoznajzłośliwe oprogramowanie oznaki takiego ataku. Ponadto korzystaj zbezpłatnego programuantywirusowego do regularnego skanowania systemu w poszukiwaniu wirusów, oprogramowania ransomware, spyware, adware i trojanów.

Kontakt z bankami przed podjęciem jakichkolwiek działań bankowych 

Nie jest niczym niezwykłym, że banki wysyłają SMS-y o ostatnich zakupach i limitach kredytowych. Ale jest mało prawdopodobne, aby bank poprosił o poufne informacje do przelewu za pośrednictwem wiadomości tekstowej. Zawsze dzwoń do swojego banku, aby zweryfikować każdą prośbę przesłaną SMS-em lub e-mailem.

Unikanie udostępniania informacji o hasłach 

Nigdy nie udostępniaj nazw użytkowników i haseł w wiadomościach tekstowych, nawet jeśli ufasz ich źródłu. Hakerzy mogą znaleźć te informacje w folderze wysłanych wiadomości na Twoim urządzeniu. 

Zainwestuj w rozwiązania antywirusowe 

Pobierz narzędzie cyberbezpieczeństwa na swój telefon, aby chronić się przed różnymi rodzajami ataków. Na przykład Malwarebytes dla Android chroni użytkowników Android przed złośliwym oprogramowaniem. Zapewnia również użytkownikom ochronę przed złośliwymi linkami / stronami internetowymi i phishingiem. Podobnie, Malwarebytes dla iOS chroni użytkowników iPhone'a i iPada przed złośliwym oprogramowaniem, połączeniami spamowymi, reklamami, witrynami wyłudzającymi informacje i witrynami phishingowymi.

Wzrost popularności smishingu 

Jak wspomniano wcześniej, zauważalny jestwzrost phishingu za pośrednictwem wiadomości SMS. Smishing jest łatwym wektorem ataku, który oszuści mogą wykorzystać przeciwko milionom ludzi, którzy komunikują się za pomocą wiadomości tekstowych.

Przestępstwa typu smishing mogą skutkować różnymi zagrożeniami dla bezpieczeństwa i prywatności, w tym kradzieżą tożsamości. Eksperci twierdzą, że skutki kradzieży tożsamości mogą trwać kilka lat, począwszy od utraty czasu, pieniędzy, długu podatkowego i uszkodzonego kredytu, a skończywszy na rejestrze karnym.

Proaktywne podejście do cyberbezpieczeństwa może zapobiec atakom typu smishing. Traktuj podejrzane wiadomości tekstowe z ostrożnością i uzbrój swoje urządzenie w oprogramowanie zabezpieczające, które zmniejsza ryzyko ataku phishingowego.

Powiązane: Czym są wiadomości RCS?