Смишинг (Smishing)

это разновидность фишинга, при котором злоумышленники используют SMS-сообщения для выманивания личной информации, обмана пользователей и заражения их устройств вредоносным ПО.

Главная цель атакующих — заставить жертву перейти по ссылке или выполнить действие, которое приведёт к:

• краже паролей, номеров карт, паспортных данных;

• заражению смартфона вредоносным ПО;

• переводу денежных средств мошенникам;

• установке поддельных приложений.

В отличие от вишинга (телефонных звонков) и классического фишинга (электронных писем), смишинг ориентирован на мобильные устройства. Рост его популярности связан с тем, что смартфон стал основным инструментом общения, работы и финансовых операций.

По данным Group-IB, в 2024 году в России зафиксировано более 450 тысяч атак с использованием смишинга, и число случаев продолжает расти.

1. Что такое смишинг

Смишинг — это способ социальной инженерии, при котором злоумышленники отправляют SMS с ссылками на поддельные сайты, вредоносные файлы или инструкции, якобы исходящие от банков, маркетплейсов, служб доставки, госуслуг или операторов связи.

Сообщение обычно содержит текст, создающий срочность или панику, например:

«Ваш аккаунт заблокирован. Перейдите по ссылке, чтобы восстановить доступ».

2. Как работает смишинг

Механизм атаки строится на трёх ключевых шагах:

2.1. Подготовка

• Создаётся поддельный сайт или вредоносное приложение.

• Злоумышленники используют подмену номера или сервисы массовой SMS-рассылки.

• Подбираются тексты сообщений с «крючками» для привлечения внимания.

2.2. Отправка сообщения

• SMS приходит якобы от банка, магазина, госуслуг или курьерской службы.

• Используются методы подмены отправителя, чтобы сообщение выглядело легитимным.

2.3. Взаимодействие с жертвой

• Пользователь кликает по ссылке, попадает на поддельный сайт и вводит свои данные.

• Либо скачивает вредоносное приложение, которое крадёт информацию и передает её злоумышленникам.

3. Виды смишинга

3.1. Банковский смишинг

Самый распространённый сценарий. Пользователю приходит SMS якобы от банка:

«Подозрительная операция. Подтвердите карту по ссылке»

После перехода человек вводит данные, которые попадают в руки мошенников.

3.2. Смишинг от имени служб доставки

Сообщение:

«Ваш заказ прибыл, подтвердите получение по ссылке».
Жертва переходит на сайт и вводит номер карты для «оплаты доставки».

3.3. Смишинг под видом госуслуг

Используется при атаке на клиентов портала «Госуслуги»:

«Ваш аккаунт ограничен. Подтвердите личность».

3.4. Вредоносный смишинг

SMS ведёт на загрузку вирусного APK-файла или поддельного приложения, которое:

• крадёт пароли и токены;

• перехватывает SMS с одноразовыми кодами;

• получает удалённый доступ к устройству.

3.5. Корпоративный смишинг

Атаки на сотрудников компаний. Злоумышленники маскируются под IT-отдел или службу безопасности, заставляя сотрудников вводить пароли или скачивать «обновления».

4. Отличие смишинга от других атак

5. Технологии и инструменты мошенников

5.1. Подмена номера (SMS Spoofing)

Сообщение выглядит так, будто пришло от банка или известного сервиса.

5.2. Использование автоматических платформ

Мошенники покупают сервисы массовой рассылки, позволяющие отправить тысячи SMS за несколько минут.

5.3. Сокращатели ссылок

В сообщениях часто используют сокращенные ссылки (bit.ly, t.co), чтобы скрыть поддельный домен.

5.4. Интеграция с утечками данных

Если телефон и имя жертвы известны заранее, сообщение выглядит персонализированным и более убедительным.

6. Примеры крупных атак с использованием смишинга

7. Законодательное регулирование

В России борьба со смишингом регулируется рядом законов:

• Статья 159 УК РФ — мошенничество (лишение свободы до 10 лет).

• Статья 272 УК РФ — незаконный доступ к компьютерной информации.

• Статья 273 УК РФ — создание и распространение вредоносных программ.

• ФЗ № 152-ФЗ «О персональных данных» — защита личной информации.

• ФЗ № 126-ФЗ «О связи» — вводит обязательную идентификацию отправителей SMS.

С 2023 года операторы связи обязаны фильтровать подозрительные сообщения и блокировать массовые рассылки мошенников.

8. Как защититься от смишинга

8.1. Для пользователей

• Не переходить по ссылкам в SMS, даже если сообщение пришло от банка.

• Проверять официальный номер отправителя.

• Никогда не вводить личные данные на подозрительных сайтах.

• Устанавливать антивирус с функцией антифишинга.

• Использовать официальные мобильные приложения банков и госуслуг.

8.2. Для бизнеса

• Настроить защиту корпоративных телефонов и планшетов.

• Обучать сотрудников киберграмотности.

• Внедрить системы контроля и фильтрации сообщений.

• Разработать протокол реагирования на инциденты.

9. Что делать, если вы получили подозрительное SMS

1. Не переходить по ссылке.

2. Не отвечать на сообщение.

3. Проверить информацию на официальном сайте банка или компании.

4. Сообщить о сообщении в службу поддержки.

5. Заблокировать номер и включить фильтр спама.

10. Что делать, если вы стали жертвой

• Срочно сменить пароли от всех сервисов.

• Заблокировать карты и счета через мобильный банк.

• Проверить устройство на наличие вредоносных программ.

• Сообщить о мошенничестве в банк, оператору связи и полицию.

• Отслеживать кредитную историю, чтобы избежать оформления займов на ваше имя.

Заключение

Смишинг — одна из самых коварных угроз мобильной безопасности. Он сочетает психологическое давление, использование технологий подмены номера и маскировку под известные бренды, что делает его особенно опасным.