Czym jest smishing? Jak działa phishing SMS-owy i jak się przed nim chronić

Smishing to phishing za pomocą SMS-ów. Zamiast e-maila atakujący wysyła SMS-a lub wiadomość przez aplikację do czatowania, licząc, że klikniesz w link, podasz dane logowania albo zatwierdzisz płatność. Nazwa to połączenie słów „SMS” i „phishing”, a poza kanałem komunikacji sztuczka działa dokładnie tak samo: ktoś udaje osobę, której ufasz, i liczy na to, że zareagujesz, zanim zdążysz się zastanowić.

To właśnie kanał przekazu sprawia, że jest to niebezpieczne. Wiadomość tekstowa pojawia się na urządzeniu, które sprawdzasz dziesiątki razy dziennie, zazwyczaj gdy jesteś zajęty czymś innym. Poniżej przyjrzymy się, dlaczego telefon jest tak podatnym gruntem, jak rozpoznać próbę smishingu, co zrobić, gdy już kliknąłeś w link, oraz w jaki sposób organizacje przygotowują swoich pracowników na takie sytuacje.

Dlaczego SMS to taka skuteczna przynęta

Przez ostatnie trzydzieści lat wokół poczty elektronicznej zbudowano cały system zabezpieczeń. Filtry antyspamowe, skanery linków, banery ostrzegające, że wiadomość pochodzi spoza organizacji – zanim wiadomość phishingowa dotrze do skrzynki odbiorczej, musi przejść przez kilka punktów kontrolnych. SMS prawie żadnego z nich nie mija i ląduje w tym samym wątku co wiadomości od dentysty i kuriera.

Jest w tym też aspekt psychologiczny. Ekrany są małe, więc nadawca to tylko numer, a link jest skrócony do niepoznania. Ludzie czytają wiadomości na stojąco, w kolejce albo między spotkaniami i odpowiadają szybko, bo po to właśnie są SMS-y. Atakujący wykorzystują tę samą szybkość w odmianie ataku głosowego znanej jako „vishing” i coraz częściej łączą te dwie metody: SMS-em zapowiadają połączenie albo dzwonią i proszą, żebyś sprawdził wiadomości.

W końcu to właśnie w telefonie przechowywane są te cenne kody. Jednorazowy kod do logowania, potwierdzenie transakcji bankowej, powiadomienie o zatwierdzeniu: jeśli atakujący namówi cię, żebyś przeczytał któryś z nich na głos albo wpisał go na fałszywej stronie, to ten drugi czynnik, który miał cię chronić, staje się drogą do włamania.

Jak rozpoznać wiadomość typu „smishing”

Większość przypadków smishingu opiera się na kilku typowych schematach. Kiedy już je rozpoznasz, trudno je przeoczyć – i właśnie dlatego uczenie ludzi rozpoznawania tych schematów jest skuteczniejsze niż opowiadanie im o poszczególnych oszustwach.

• Nieoczekiwana pilna sprawa. Nie da się dostarczyć paczki, konto zostanie zamknięte, dzisiaj mija termin zapłaty mandatu. Ta wiadomość ma cię zmusić do działania, zanim zdążysz cokolwiek sprawdzić.
• Link, który nie pasuje do nadawcy. Prawdziwe organizacje korzystają z własnej domeny. Skrócone linki, domeny wyglądające podobnie, ale z dodatkowym słowem, albo adresy kończące się na nieznany kod kraju – to wszystko powody, żeby się zatrzymać.
• Prośba o coś, o co żadna firma nie pyta przez SMS-a. Dane logowania, pełny numer karty czy jednorazowy kod, który właśnie dostałeś. Bank nigdy nie poprosi cię o podanie tych danych, podobnie jak twój dział IT.
• Niewielka opłata, żeby uwolnić coś większego. Kilka euro opłat celnych za paczkę, drobna opłata za zmianę terminu dostawy. Kwota jest celowo niewielka, bo wydaje się na tyle niegroźna, że po prostu chcesz to mieć już za sobą.
• Numer zamiast nazwiska albo nazwisko, które brzmi trochę dziwnie. Wiadomości z przypadkowego numeru komórkowego, w których nadawca podaje się za firmę, albo znana nazwa marki z dziwną pisownią lub odstępami.
• Kod QR w wiadomości lub na stronie, do której prowadzi link. To zjawisko pokrywa się z quishingiem, gdzie złośliwy adres docelowy jest ukryty w kodzie, przez co żaden filtr nie jest w stanie go odczytać.
• Nowy kolega z pracy albo przełożony, który się spieszy. Klasyczny przykład to wiadomość rzekomo od dyrektora, wysłana z nowego numeru, z prośbą o karty podarunkowe, szybki przelew albo przysługę, o której nie wolno nikomu mówić.

Przydatna zasada dla zespołów: to sama prośba jest sygnałem, a nie nadawca. Każda wiadomość z prośbą o podanie danych logowania, kodów czy dokonania płatności zasługuje na sprawdzenie za pośrednictwem kanału, który sam wybrałeś, nawet jeśli nadawca wygląda na wiarygodnego. Więcej przykładów tego schematu znajdziesz w naszym zestawieniu rodzajów ataków phishingowych.

Co zrobić, jeśli już kliknąłeś

Kliknięcie w link to nie koniec świata, a traktowanie tego w ten sposób właśnie sprawia, że ludzie milczą. Liczy się to, co stanie się w ciągu najbliższych kilku minut.

1. Nie wpisuj niczego więcej. Jeśli strona prosi o login, kod lub dane karty, po prostu ją zamknij. Sam link jest o wiele mniej szkodliwy niż wypełniony przez ciebie formularz.
2. Zmień hasło, jeśli je wprowadziłeś. Zrób to z urządzenia, któremu ufasz, i zmień je wszędzie tam, gdzie używałeś go ponownie. To właśnie ponowne użycie hasła jest zazwyczaj prawdziwym problemem.
3. Sprawdź swoje uwierzytelnianie dwuskładnikowe. Jeśli zatwierdziłeś prośbę o logowanie albo podałeś kod jednorazowy, ktoś może właśnie teraz mieć dostęp do Twojego konta. Wyloguj się ze wszystkich sesji i sprawdź, czy nie ma nowych urządzeń lub reguł przekierowania.
4. Zgłoś to od razu wewnątrz firmy. Twój zespół IT lub ds. bezpieczeństwa może zablokować tę domenę, ostrzec kolegów, którzy dostali tę samą wiadomość, i sprawdzić, czy coś zniknęło. Szybkie zgłoszenie to najważniejsza rzecz, jaką może zrobić pracownik.
5. Zachowaj tę wiadomość. Zrzut ekranu z nazwą nadawcy i linkiem bardzo pomaga w ustaleniu, jak szeroki jest zasięg tej kampanii. Usuń ją dopiero po tym, jak ją przekażesz dalej.

Zwróć uwagę, czego brakuje na tej liście: obwiniania. Organizacje, w których przypadkowe kliknięcie prowadzi do niezręcznej rozmowy, to takie, w których kolejna osoba milczy, a to właśnie ta cisza sprawia, że jedno kliknięcie przeradza się w incydent.

Jak organizacje ograniczają ryzyko

Środki techniczne pomagają, ale ich zasięg jest mniejszy niż w przypadku poczty elektronicznej. Operatorzy komórkowi filtrują niektóre z najgorszych kampanii, a uwierzytelnianie wieloskładnikowe (MFA) z użyciem klucza sprzętowego lub monitu w aplikacji powiązanego z daną stroną znacznie zmniejsza wartość skradzionego kodu. Poza tym większość zabezpieczeń opiera się na ludziach.

Praktycznym podejściem jest uczynienie z rozpoznawania i zgłaszania oszustw nawyku, a nie tylko zasady. Krótkie, cykliczne ćwiczenia sprawdzają się tu lepiej niż pojedyncza coroczna sesja, bo oszustwa zmieniają się co kilka miesięcy. Przeprowadzenie symulacji phishingu pokazuje ci, na jakim faktycznie jesteś poziomie, a nie na jakim myślisz, że jesteś, i daje ludziom bezpieczną przestrzeń, w której mogą popełniać błędy. Uzgodnij jedną jasną ścieżkę zgłaszania, spraw, by wystarczyło jedno kliknięcie, i podziękuj tym, którzy z niej korzystają – w tym tym, którzy okazało się, że przesłali coś nieszkodliwego.

Jak Guardey pomaga Twojemu zespołowi rozpoznać smishing

Szkolenie Guardey z zakresu świadomości bezpieczeństwa co tydzień stawia przed twoimi współpracownikami wyzwania trwające około trzech minut, a treści są dostosowane do rzeczywistych zagrożeń krążących w sieci. Smishing, fałszywe powiadomienia o dostawach i kody proszone na czacie to właśnie takie scenariusze, które pojawiają się w tych wyzwaniach, a elementy grywalizacji, jak tabele wyników i serie sukcesów, sprawiają, że ludzie wracają do nich nawet po pierwszym tygodniu.

Ponieważ pracownicy szkolą się w aplikacji mobilnej na iOS i Androida, ćwiczą na tym samym urządzeniu, na które przychodzą te wiadomości, co sprawia, że lekcja jest bardziej namacalna. Zintegrowane symulacje phishingu pokazują, czy rozpoznanie zagrożenia przekłada się na konkretne zachowanie, a raporty gotowe do audytu zamieniają to wszystko w dowody zgodności z normami takimi jak NIS2 i ISO 27001. Konfiguracja zajmuje kilka minut, a w ten sposób działa już ponad 500 organizacji, w tym Parlament Europejski.

Najczęściej zadawane pytania dotyczące smishingu

Jaka jest różnica między phishingiem, smishingiem a vishingiem?

Cel jest ten sam, różni się tylko kanał komunikacji. Phishing dochodzi przez e-mail, smishing przez SMS-a albo wiadomość na czacie, a vishing przez telefon. Atakujący często łączą te metody w jedną kampanię, bo wiadomość potwierdzona telefonem wydaje się bardziej wiarygodna niż każda z nich z osobna.

Czy wystarczy otworzyć SMS-a, żeby ktoś cię zhakował?

Samo otwarcie wiadomości prawie nigdy nie wystarczy. Ryzyko pojawia się dopiero wtedy, gdy klikniesz w link, a potem wpiszesz coś na kolejnej stronie albo zainstalujesz aplikację, którą ci proponuje. Dlatego warto zatrzymać się na etapie linku, zamiast panikować z powodu przeczytania wiadomości.

Czy pracownicy powinni zgłaszać wiadomości typu „smishing” otrzymane na prywatny telefon?

Tak, jeśli ma to jakikolwiek związek z pracą: wiadomość, która rzekomo pochodzi od kolegi, dostawcy czy działu IT, powinna trafić do kolejki zgłoszeń, niezależnie od tego, na jakim urządzeniu się pojawiła. Wyjaśnij, że chodzi o zgłoszenie samej wiadomości, a nie o przeglądanie czyjegoś prywatnego telefonu – inaczej ludzie będą się wahać.

Czy MFA chroni przed smishingiem?

To pomaga, ale nie wszystkie metody są równie bezpieczne. Kod wysłany SMS-em można wyłudzić równie łatwo jak hasło, bo wystarczy, że atakujący o niego poprosi. Metody powiązane z legalną stroną, takie jak klucz sprzętowy czy monit w aplikacji, są znacznie trudniejsze do wykorzystania w ten sposób.

Smishing działa, bo zaskakuje ludzi w biegu, co oznacza, że najlepszą obroną nie jest jakiś sprytniejszy filtr, tylko chwila wahania w odpowiednim momencie. Zespoły, które ćwiczą tę chwilę zastanowienia i sprawiają, że zgłaszanie takich przypadków jest łatwe i nie wiąże się z poczuciem winy, zmieniają telefon z najsłabszego punktu w system, w którym dziwna wiadomość zostaje zgłoszona w ciągu kilku minut.