Smishing：如何识别并避开诈骗短信
目录
Smishing 由“SMS”和“网络钓鱼”（phishing）组合而成，是一种通过伪造短信实施的诈骗。这类短信通常看起来来自快递公司、银行、政府机构或支付服务，并催促您尽快点击链接或交出信息。本文将说明如何识别 smishing 短信，以及如何保护自己。
Smishing 是如何运作的？
诈骗者的目标是让您不假思索地行动。短信会制造恐慌、好奇心或中奖的兴奋感，引导您进入一个假页面。在那里，您会被要求输入密码、银行卡信息或验证码。您输入的任何内容都会落入诈骗者手中。
这类短信大多是批量发送的，因此发送者并不需要知道您是谁。如果您的号码出现在泄露数据或名单中，短信也可能送到您手上。有些短信更有针对性，可能包含您的姓名或看似真实订单的细节。因此，“短信里有我的名字”并不代表它值得信任。
常见的 smishing 场景
诈骗话题会随时间变化，但套路始终相同。请注意以下几类：
- 快递通知： “您的包裹无法投递，请更新地址。”
- 银行提醒： “您的账户出现可疑活动，请立即验证。”
- 欠费或税款： “您有未付余额，将被加收罚金。”
- 奖品和抽奖： “您已获得礼品，点击即可领取。”
- 账户关闭警告： “您的账户将被暂停，请立即登录。”
- 陌生人发来的“打错号码”短信： 目的是开启聊天并建立信任。
它们的共同点是：制造紧迫感、威胁或巨大的奖励，并引导您点击短信中的链接。
识别 smishing 短信的技巧
单一迹象未必足以判断，迹象越多，风险越高：
- 意料之外的短信： 如果您没有订购过包裹，或者您并不使用某家银行，却收到了对方的联系，请保持警惕。
- 紧急或威胁性的措辞： 如“24 小时内”“立即”或“您的账户将被关闭”等施压用语。
- 可疑链接： 缩短的链接，或与官方地址相似、但字母略有不同的域名。
- 索要信息： 正规机构不会通过短信索要密码、卡号或验证码。
- 语言和拼写错误： 不一定，但语句不通顺是一个线索。
- 陌生的发送方： 随机号码，或模仿官方机构的发件人名称。发件人名称也可能是伪造的，因此仅凭它无法证明可信。
如果您不确定，请不要回复，也不要点击链接。请通过机构的官方应用，或您自己输入的网址来核实情况。
如果您已点击链接或提供了信息怎么办？
任何人都可能犯错，关键是迅速行动：
- 不要再输入任何信息，并关闭页面。
- 如果您泄露了密码，请通过安全渠道立即更改。如果您在其他地方也使用了同一密码，请一并更改。
- 如果您泄露了银行卡信息，请致电银行并冻结该卡。
- 如果您泄露了验证码，请退出该账户的所有登录会话，并检查其两步验证设置。
- 如果您在手机上安装了应用，请将其删除，并使用可信工具扫描设备。
- 将该短信举报给您的银行、运营商或相关机构，然后删除它。
日常防范 smishing 的好习惯
- 通过应用打开，而不是点击短信链接。 请在官方应用中查看快递或银行通知。
- 使用密码管理器。 它不会在假页面上自动填充您保存的密码，而这本身就是一个警示信号。
- 在关键账户上使用通行密钥或身份验证器应用。 即使密码被盗，账户也无法被打开。关于各种方式的对比，请参阅我们关于两步验证的文章。
- 过滤陌生号码和垃圾短信。 开启手机的“过滤未知发件人”和垃圾短信举报功能。
- 告诉身边的人。 年长的家人是常见的目标；一起看看示例短信会很有帮助。
- 核实短信内容。 请通过您已知的官方电话联系该机构，不要拨打短信中的号码。
不要到处留下您的号码
smishing 短信找上您的原因之一，是您的号码存在于许多名单和数据库中。每次注册都填写真实号码，会让您更容易收到垃圾短信和钓鱼短信。我们在为什么不应该到处分享手机号码中对此做了更深入的说明。
对于快速试用、第二个账户或测试注册，您可以使用一次性虚拟号码代替真实号码，这样您的主号码就不会出现在营销名单上。您可以在价格页面浏览当前可用的服务和国家。请注意，虚拟号码并非永久有效，部分平台可能会对其加以限制，因此请遵守您所使用服务的条款。它本身并不能彻底解决 smishing 问题；真正的保护来自谨慎的行为和可靠的验证方式。
保护您的家人和身边的人
smishing 最容易在疏忽的时刻得逞：忙碌的一天里、匆忙查看手机时，或者面对刚接触科技的人。因此，保护不仅是您自己的事，也是您身边每个人的事。
- 与家人约定一条简单的规则，例如：“点击短信里的链接前，先给我看看。”
- 向年长的亲戚展示假短信的例子，并告诉他们：银行不会通过短信索要验证码、密码或银行卡信息。
- 在孩子的手机上开启未知发件人过滤，并限制应用安装。
- 收到可疑短信时，把截图分享给身边的人，以免其他人也中招。
当您对某条短信不确定时，等待五分钟并不会有任何损失；真正的通知通常也会出现在官方应用中。
常见问题
Smishing 和 phishing 有什么区别？
Phishing 是通用术语，可能通过电子邮件、电话、社交媒体等多种渠道发生。Smishing 则是通过 SMS（短信）进行的钓鱼。
我只点击了链接，什么都没有输入，会有危险吗？
大多数情况下，仅仅点击几乎不会造成伤害，但也存在设备或浏览器漏洞等罕见风险。请立即关闭页面，删除您下载的任何内容，并保持设备更新到最新版本。
短信看起来来自真实机构的号码，它还是可能是假的吗？
是的。发件人名称可能被模仿，有时甚至会把假短信插入到真实的短信对话中。请看内容和对方索要的信息，并相信官方应用，而不是链接。
可以在哪里举报 smishing 短信？
您可以向运营商的垃圾短信举报号码或应用、相关机构以及您的银行举报。手机上的“举报为垃圾短信”功能也很有帮助。更多信息请参阅我们的常见问题页面。