Smishing: SMS o dopłacie do paczki i 4 metody, którymi oszuści czyszczą konto

Smishing to phishing w wersji SMS: wiadomość o dopłacie do paczki, niewielkiej zaległości w fakturze albo podejrzanej aktywności na koncie bankowym, która ma cię skłonić do kliknięcia linku, pobrania aplikacji albo telefonu pod podany numer. Tak opisuje to Ministerstwo Cyfryzacji w komunikacie „Uwaga Smishing!” z 24.04.2023. Cel oszusta jest zawsze ten sam: twoje dane i oszczędności. Najprostsza obrona to nie klikać i nie odpisywać, tylko sprawdzić kontakt na oficjalnej stronie firmy, od której rzekomo przyszedł SMS.

Przeczytałem komunikat w całości. Ministerstwo nie podaje w nim statystyk ani kwot strat, więc w tekście ich nie znajdziesz. Są za to konkretne mechanizmy ataku i konkretne zasady obrony, a to wystarczy, żeby nie dać się nabrać.

Czym jest smishing i dlaczego dopłata do paczki działa

Ministerstwo Cyfryzacji zalicza smishing do socjotechniki, czyli technik manipulacji, które mają nakłonić ofiarę do określonych działań. Inżynieria społeczna to według komunikatu jedno z najczęściej stosowanych narzędzi cyberprzestępców. Służy do wyłudzania poufnych danych, kradzieży pieniędzy albo tożsamości.

Ataki socjotechniczne nie ograniczają się do SMS-ów. Komunikat wymienia też wiadomości e-mail, połączenia głosowe i wiadomości z różnych komunikatorów. Smishing to wąski wycinek tej rodziny: fałszywe wiadomości tekstowe na telefon.

Przynęty są codzienne i niegroźnie wyglądają. Ministerstwo podaje trzy przykłady:

• dopłata do paczki,
• niewielkie zaległości w fakturach,
• podejrzana aktywność na koncie bankowym.

Każda z tych wiadomości gra na innym odruchu. Przy paczce chcesz sprawę szybko załatwić, przy drobnej zaległości nie chcesz mieć kłopotu, a przy koncie boisz się o pieniądze. Komunikat zwraca uwagę, że fałszywe SMS-y mają właśnie wzbudzać niepokój i emocje oraz ponaglać do szybkiego działania.

Cztery metody, którymi oszuści wyłudzają dane

W komunikacie opisano cztery schematy. Zebrałem je w tabeli, a niżej rozwijam każdy z nich.

Link do fałszywej strony logowania

To według ministerstwa jedna z najpopularniejszych metod. SMS zawiera adres URL prowadzący do strony łudząco podobnej do prawdziwej. Zazwyczaj wykorzystuje ona wizerunek banku, firmy kurierskiej, instytucji państwowej albo bramki płatności.

Mechanizm jest prosty. Wpisujesz login i hasło na fałszywej stronie, a w rzeczywistości przekazujesz je oszustom. Dlatego SMS o dopłacie do paczki tak często prowadzi do strony udającej firmę kurierską albo płatność online.

Aplikacja, która ma „pomóc”

Druga metoda to nakłonienie do pobrania aplikacji, która rzekomo ma rozwiązać opisany w SMS-ie problem. Link prowadzi jednak do szkodliwego oprogramowania szpiegującego.

Komunikat wymienia dwa skutki. Przestępcy mogą przejąć kontrolę nad urządzeniem albo śledzić każdą twoją aktywność. Dotyczy to również aplikacji i stron logowania, na przykład do banku. Telefon staje się wtedy narzędziem oszusta.

Telefon pod numer z wiadomości

Niektóre SMS-y każą zadzwonić pod dołączony numer. Po drugiej stronie, jak podaje ministerstwo, bardzo często odpowiada automatyczna sekretarka lub bot. Prosi, żeby podążać za instrukcją, a ta prędzej czy później kończy się prośbą o dane logowania albo numer karty płatniczej razem z kodem CVV.

Samo wybranie numeru nie jest więc końcem ataku, tylko jego następnym krokiem. Dlatego w zasadach obrony komunikat wprost odradza dzwonienie na numer z podejrzanej wiadomości.

Rozmowa na SMS-y

Czwarty wariant ministerstwo opisuje krótko: zdarza się, że oszuści prowadzą z ofiarą wymianę wiadomości SMS i w ten sposób nakłaniają ją do podania potrzebnych informacji. Odpisanie na pierwszy SMS „żeby sprawdzić, o co chodzi” może więc otworzyć ten wątek.

Po czym poznasz fałszywy SMS

Ministerstwo wskazuje trzy rzeczy, na które trzeba patrzeć w treści wiadomości:

• błędy, na przykład stylistyczne albo językowe,
• ponaglanie do działania lub wywieranie presji,
• wzbudzanie niepokoju albo innych emocji.

Jeśli którakolwiek z nich się pojawia, komunikat każe zachować szczególną ostrożność, bo prawdopodobnie to smishing. Nie trzeba spełnienia wszystkich trzech warunków naraz. Wystarczy presja czasu w SMS-ie o drobnej dopłacie.

Jest jeszcze sygnał, który dotyczy adresu strony. Jeśli zawiera literówkę albo różni się od tego, z którego zawsze korzystasz, ministerstwo zaleca zamknięcie przeglądarki.

Osobna, twarda reguła z komunikatu: żaden bank ani inna instytucja nie będzie cię prosić o podanie danych logowania, zwłaszcza haseł. Każda taka prośba oznacza oszustów.

Co zrobić z podejrzanym SMS-em

Podstawą jest zasada ograniczonego zaufania, taka sama jak przy phishingu rozsyłanym e-mailem. Zanim wejdziesz w link z wiadomości, sprawdź, czy wiadomość jest prawdziwa. Konkretne kroki wynikające z komunikatu:

• Nie klikaj w link i nie pobieraj aplikacji z SMS-a.
• Nie dzwoń na numer z wiadomości i nie odpisuj na nią.
• Znajdź kontakt do firmy na jej oficjalnej stronie i tam zweryfikuj, czy sprawa jest prawdziwa.
• Sprawdź adres strony, na której jesteś. Przy literówce lub zmianie względem zwykłego adresu zamknij przeglądarkę.
• Nie reaguj od razu, jeśli SMS wywołuje strach lub panikę i każe działać szybko.
• Włącz uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie się da, szczególnie w bankowości elektronicznej.
• Zgłoś fałszywą wiadomość do CERT Polska pod numerem 799-448-084.

Co do dwuskładnikowego uwierzytelniania, ministerstwo podaje wprost: zwiększa bezpieczeństwo danych i utrudnia przestępcom przejęcie konta. To zabezpieczenie dodatkowe. Nie zwalnia z czytania treści SMS-ów.

Jeśli już kliknąłeś albo podałeś dane

Komunikat Ministerstwa Cyfryzacji skupia się na rozpoznawaniu i prewencji, a nie na procedurze po stracie pieniędzy. Nie podaje, które kroki wykonać po kolei, gdy dane już trafiły do oszustów. Taką ścieżkę opisałem osobno: jak zgłosić oszustwo internetowe, z kolejnością bank, policja i CERT Polska.

Jeśli obawiasz się wykorzystania twoich danych osobowych, ministerstwo wymienia wśród zagrożeń kradzież tożsamości. Praktyczne zabezpieczenie opisuje tekst o tym, jak zastrzec PESEL.

Smishing to tylko jedna z odmian oszustw, które żerują na zaufaniu i pośpiechu. Podobne schematy w reklamach i kontach twórców opisuję w tekstach o tym, jak rozpoznać oszustwo internetowe z influencerem w tle, oraz o reklamach deepfake ostrzeganych przez CERT Polska, NASK, KNF i policję. Więcej materiałów znajdziesz w dziale scam.

FAQNajczęstsze pytania