Смишинг: как распознать и не попасться на SMS-мошенничество

Смишинг — слово, образованное от «SMS» и «фишинг», — это мошенничество с помощью поддельных текстовых сообщений. Сообщение обычно выглядит так, будто оно пришло от курьерской службы, банка, государственного органа или платёжного сервиса, и торопит вас перейти по ссылке или поспешно передать данные. В этой статье мы объясняем, как распознать смишинг и как защититься.

Как работает смишинг?

Цель мошенника — заставить вас действовать, не думая. Сообщение вызывает панику, любопытство или азарт от приза и направляет вас на поддельную страницу. Там у вас просят пароль, данные карты или код подтверждения. Всё, что вы введёте, попадает к мошеннику.

Сообщения рассылают массово, поэтому отправителю не нужно знать, кто вы. Если ваш номер попал в утечку или в список, сообщение может дойти и до вас. Некоторые сообщения более персональные: в них может быть ваше имя или данные, похожие на настоящий заказ. Поэтому «в сообщении есть моё имя» — ещё не признак того, что ему можно доверять.

Типичные сценарии смишинга

Темы со временем меняются, но схема остаётся той же. Обратите внимание на такие сообщения:

• Уведомление о доставке: «Ваша посылка не может быть доставлена, обновите адрес».
• Сигнал от банка: «На вашем счёте подозрительная активность, подтвердите сейчас».
• Задолженность по платежу или налогу: «У вас есть неоплаченный долг, будет начислен штраф».
• Призы и розыгрыши: «Вы выиграли подарок, нажмите, чтобы получить его».
• Предупреждение о закрытии аккаунта: «Ваш аккаунт будет заблокирован, войдите немедленно».
• «Ошибочное» сообщение от незнакомца: цель — начать переписку и завоевать доверие.

Всё это объединяет: срочность, угрозы или большая награда и побуждение перейти по ссылке внутри сообщения.

Признаки смишингового сообщения

Один признак может быть недостаточным; чем больше признаков вы видите, тем выше риск:

1. Неожиданное сообщение: будьте осторожны, если с вами связывается по поводу посылки, которую вы не заказывали, или банк, которым вы не пользуетесь.
2. Срочный или угрожающий тон: фразы давления, например «в течение 24 часов», «немедленно» или «ваш аккаунт будет закрыт».
3. Странная ссылка: сокращённые ссылки или доменные имена, похожие на официальный адрес, но с небольшими отличиями в буквах.
4. Запрос данных: настоящие организации не запрашивают пароли, номера карт или коды подтверждения по SMS.
5. Ошибки в языке и орфографии: не всегда, но корявые фразы — это подсказка.
6. Странный отправитель: случайный номер или имя отправителя, имитирующее официальную организацию. Имена отправителей тоже можно подделать, поэтому сами по себе они не гарантируют доверие.

Если вы не уверены, не отвечайте и не переходите по ссылке. Проверьте ситуацию через официальное приложение организации или адрес, который вы введёте сами.

Что делать, если вы перешли по ссылке или передали данные?

Ошибиться может каждый; главное — действовать быстро:

1. Не вводите больше никаких данных и закройте страницу.
2. Если вы передали пароль, немедленно смените его через безопасный канал. Если тот же пароль был в других местах, смените его и там.
3. Если вы передали данные карты, позвоните в банк и попросите заблокировать карту.
4. Если вы передали код подтверждения, завершите сеансы в аккаунте и проверьте настройки двухэтапной проверки.
5. Если вы установили приложение на телефон, удалите его и проверьте устройство надёжным инструментом.
6. Сообщите о сообщении в банк, оператору связи или соответствующей организации, а затем удалите его.

Повседневные привычки против смишинга

• Открывайте приложение вместо перехода по ссылкам из SMS. Проверяйте уведомления курьерской службы или банка в официальном приложении.
• Используйте менеджер паролей. Он не подставит сохранённый пароль на поддельной странице, а это уже предупреждающий знак.
• Используйте passkey или приложение-аутентификатор для важных аккаунтов. Даже если пароль украден, аккаунт не откроется. Сравнение способов смотрите в нашей статье о двухэтапной проверке.
• Фильтруйте неизвестные номера и спам. Включите на телефоне функции «фильтровать неизвестных отправителей» и отправку жалоб на спам.
• Расскажите близким. Пожилые родственники часто становятся целью; разбор примеров сообщений вместе очень помогает.
• Проверяйте сообщение. Свяжитесь с организацией по официальному номеру, который вы уже знаете; не звоните по номеру из сообщения.

Не давайте свой номер везде

Одна из причин, по которой смишинговые сообщения до вас доходят, — ваш номер находится во многих списках и базах. Если вводить свой настоящий номер в каждую регистрационную форму, спам и фишинговые сообщения будут приходить чаще. Подробнее мы писали в статье почему не стоит указывать свой номер телефона везде.

Для быстрых пробных регистраций, второго аккаунта или тестов можно использовать одноразовый виртуальный номер вместо настоящего, чтобы основной номер не попал в маркетинговый список. Актуальные сервисы и страны можно посмотреть на странице цен. Помните, что виртуальный номер не постоянен, и некоторые платформы могут его ограничивать, поэтому соблюдайте условия используемого сервиса. Это не полное решение проблемы смишинга: настоящая защита — внимательное поведение и надёжные способы подтверждения.

Защита семьи и близких

Смишинг чаще всего срабатывает в невнимательные моменты: в загруженный день, когда телефон проверяют второпях, или у человека, который только осваивает технологии. Поэтому защита — забота не только о себе, но и о ваших близких.

• Установите в семье простое правило, например: «покажи мне, прежде чем нажимать ссылку из сообщения».
• Покажите пожилым родственникам примеры поддельных сообщений и объясните, что банк не запрашивает коды, пароли или данные карты по SMS.
• Включите фильтрацию неизвестных отправителей и ограничения на установку приложений на телефонах детей.
• Получив подозрительное сообщение, отправьте скриншот близким, чтобы тот же обман не застал кого-то ещё.

Если вы сомневаетесь в сообщении, пять минут ожидания ничего не стоят: настоящее уведомление обычно появляется и в официальном приложении.

Часто задаваемые вопросы

В чём разница между смишингом и фишингом?

Фишинг — общий термин, который может происходить по электронной почте, телефону, в соцсетях и не только. Смишинг — это вариант, который происходит через SMS (текстовые сообщения).

Я только перешёл по ссылке и ничего не вводил. Мне угрожает опасность?

В большинстве случаев сам переход почти ничего не делает, но существуют редкие риски, связанные с уязвимостями устройства или браузера. Немедленно закройте страницу, удалите всё, что вы скачали, и держите устройство обновлённым.

Сообщение пришло с номера, похожего на номер настоящей организации. Может ли оно быть поддельным?

Да. Имена отправителей можно имитировать, а иногда поддельное сообщение даже попадает в настоящую цепочку переписки. Смотрите на содержание и на то, что от вас требуют, и доверяйте официальному приложению, а не ссылке.

Куда можно пожаловаться на смишинг?

Сообщить о нём можно оператору связи — через номер или приложение для жалоб на спам, в соответствующую организацию и в свой банк. Функция «пометить как спам» на телефоне тоже помогает. Подробнее — на нашей странице часто задаваемых вопросов.