Смс‑фишинг: как работают сообщения‑приманки и как их распознать

В 2024 году более 3,5 млрд человек используют смартфоны, а количество смс‑фишинговых атак (см. [1]) растёт с каждым годом. В этой статье мы разберём, какие приёмы используют злоумышленники при написании «сглпз» — т.е. сообщения‑приманки в SMS, — и как распознать такие сообщения, чтобы не стать жертвой.

Что такое смс‑фишинг (смс‑мошенничество)

Смс‑фишинг (англ. smishing) — это разновидность фишинга, в которой вместо электронной почты используется SMS‑сообщение (короткое текстовое сообщение). Мошенники маскируются под известные организации (банк, государственные службы, онлайн‑магазины) и пытаются заставить жертву раскрыть конфиденциальную информацию, перейти по вредоносной ссылке или установить вредоносное приложение.

Ключевые особенности смс‑фишинга:

• Отсутствие технических уязвимостей — используются методы социальной инженерии;
• Высокий уровень доверия к SMS‑сообщениям (люди считают их «личными»);
• Возможность скрыть настоящий номер отправителя (подмена номера, одноразовые номера).

Почему именно SMS?

Смс‑сообщения почти везде доступны: любой телефон может принимать их, а большинство людей проверяют их «на лету», часто в спешке. Это делает SMS идеальной площадкой для быстрой и «мгновенной» атаки.

Структура типичного смс‑фишинга

Чтобы написать «сглпз» (смс‑приманку), злоумышленник обычно следует такой схеме:

1. Заголовок‑привлечение внимания – короткая фраза, вызывающая тревогу или интерес.
2. Контекст‑персонализация – упоминание имени, последней операции, местоположения.
3. Эмоциональный триггер – страх, жадность, срочность.
4. Призыв к действию (CTA) – «перейдите по ссылке», «введите код», «позвоните нам».
5. Ссылка/номер – часто укороченный URL (bit.ly, t.co) или «фальшивый» номер.

3.1 Пример типового сообщения

БАНК "СОБИНКОМ"
Ваш аккаунт заблокирован! Срочно подтвердите личность, перейдя по ссылке:
https://bit.ly/3xYz9K
Введите полученный код в течение 5 минут.

В этом примере использованы все пять пунктов: узнаваемый бренд, тревожный заголовок, срочность, ссылка‑укорочитель и запрос кода.

Психологические приёмы, которые работают

• Доверие — маскировка под известную организацию (банк, госслужбу).
• Контекст — персонализированные детали (имя, последние операции).
• Эмоции — страх (угроза блокировки), жадность (выигрыш, бесплатный подарок), срочность («только 5 минут»).

Эти три фактора (доверие, контекст, эмоции) описаны в источнике [1] и являются «клеймом» любой успешной смс‑приманки.

Технические детали, которые делают сообщение «рабочим»

5.1 Подмена номера (spoofing)

Мошенники используют сервисы, позволяющие отправлять SMS с «фальшивым» номером, часто имитируя номер официального центра поддержки.

5.2 Укороченные ссылки

Сокращатели скрывают реальный домен, позволяя вести жертву на фишинговый сайт, который выглядит как оригинал.

5.3 Одноразовые номера и виртуальные SIM‑карты

Для массовой рассылки используют дешевые предоплаченные номера, которые быстро меняются, что усложняет блокировку.

5.4 Вредоносные приложения

Ссылка может вести к загрузке «приложения‑подделки», которое запрашивает доступ к SMS, контактам, камере и передаёт данные злоумышленникам.

Как написать «сглпз», чтобы оно выглядело правдоподобно

1. Исследуйте цель — узнайте, какие сервисы использует потенциальная жертва (банк, онлайн‑магазин, государственная служба).
2. Подберите «звучный» номер — используйте сервисы подмены номера, чтобы номер выглядел как +7 (495) -23‑45‑67.
3. Создайте короткое, но ёмкое сообщение — не более , чтобы не вызвать подозрений.
4. Вставьте персональные детали — например, «Уважаемый Иван Петрович» или «Последняя операция: 12 000 ₽».
5. Добавьте эмоциональный триггер — слова «срочно», «блокировка», «выигрыш», «бесплатно».
6. Сформируйте CTA — «Перейдите по ссылке», «Ответьте кодом», «Позвоните по номеру».
7. Сократите ссылку — используйте bit.ly или собственный домен‑редирект.
8. Тестируйте — отправьте себе сообщение, проверьте, как выглядит в разных мессенджерах.

Примеры «сглпз» по тематикам

7.1 Финансовый банк

БАНК "ТИНЬКОФФ"
Обнаружена подозрительная активность в вашем аккаунте. Подтвердите личность по ссылке:
https://t.co/AbcDeF
Код будет действовать 3 минуты.

7.2 Доставка/логистика

FedEx
Ваша посылка № 1234567890 не может быть доставлена. Укажите адрес для повторной отправки:
https://bit.ly/2XyZ9L

7.3 Государственная служба

Федеральная налоговая служба
Необходимо подтвердить данные для получения налогового вычета. Перейдите:
https://gov.ru/confirm

7.4 Подарки и розыгрыши

Apple
Поздравляем! Вы выиграли iPhone 12. Для получения введите данные карты:
https://apple.com/claim

Как распознать «сглпз» и не стать жертвой

• Не отвечайте на запросы личных данных — никакой легитимный банк не будет просить PIN‑код или номер карты в SMS.
• Проверяйте ссылки — наведите курсор (на ПК) или удерживайте палец (на смартфоне), чтобы увидеть реальный URL.
• Сомневайтесь в срочности — если сообщение требует действий «в течение 5 минут», скорее всего, это фишинг.
• Сравнивайте с официальными каналами — зайдите в приложение банка напрямую, а не через ссылку из сообщения.
• Не переходите по укороченным ссылкам — используйте сервисы раскрытия (например, checkshorturl.com).
• Блокируйте подозрительные номера — в большинстве смартфонов есть функция «Заблокировать номер».

Как защититься от смс‑фишинга (см. [1])

1. Не отвечайте на сообщения с запросом «стоп» — это может лишь подтвердить, что ваш номер активен.
2. Установите антивирус — например, Kaspersky Mobile Security, который проверяет ссылки в SMS.
3. Регулярно обновляйте ОС — обновления закрывают известные уязвимости.
4. Включите двухфакторную аутентификацию (2FA) — даже если пароль будет украден, злоумышленник не сможет войти без кода.
5. Отключите автоматическую загрузку MMS — мошенники могут отправлять вредоносные медиа‑файлы.
6. Обучайте сотрудников — в корпоративных средах BYOD (Bring Your Own Device) важно проводить тренинги по распознаванию смс‑фишинга.

Создание «сглпз» — то есть смс‑фишингового сообщения — это сочетание психологической манипуляции и технических приёмов. Понимание того, как работают такие сообщения, помогает как потенциальным злоумышленникам (для исследования угроз), так и обычным пользователям защищаться от них.

Помните: самый надёжный способ защититься — не кликать и не раскрывать личные данные. Если сообщение кажется подозрительным, лучше позвонить в официальную службу поддержки организации, используя номер из её сайта, а не из SMS.

Источник: Kaspersky – «Что такое смишинг и как от него защититься», 04 апреля 2024 г.