Что такое смишинг? Как распознать и защититься от SMS-фишинга

Телефон вибрирует. Сообщение сообщает, что ваша посылка не может быть доставлена, банковский счёт заблокирован или есть налоговый возврат. В сообщении — ссылка для решения проблемы. Это смишинг, и нажатие на ссылку — именно то, чего добивается мошенник.

Смишинг стал одной из самых быстрорастущих форм киберпреступности в России. В отличие от электронной почты, SMS воспринимаются как более личные и срочные, что делает их особенно опасными.

Что такое смишинг

Смишинг (Smishing) — это комбинация слов SMS и Phishing (фишинг). Это атака с использованием социальной инженерии, осуществляемая через текстовые сообщения. Злоумышленник выдаёт себя за надёжную организацию — банк, курьерскую службу, госорган — и побуждает перейти по вредоносной ссылке или предоставить личные данные.

Цель всегда одна: украсть ваши учётные данные, финансовую информацию или установить вредоносное ПО на устройство.

Самые распространённые схемы смишинга

Ложные уведомления о доставке

«Ваша посылка не может быть доставлена. Подтвердите адрес: [ссылка]»

С ростом онлайн-покупок поддельные уведомления о доставке стали самой массовой тактикой. Мошенники подделывают сообщения от Почты России, СДЭК, Wildberries, Ozon.

Ложные банковские уведомления

«Сбербанк: обнаружена подозрительная операция по вашему счёту. Подтвердите: [ссылка]»

Эти сообщения эксплуатируют страх. Мошенники подделывают сообщения от Сбербанка, Тинькофф, ВТБ, Альфа-Банка или платёжных сервисов.

Ложные сообщения от госорганов

«ФНС: вам начислен налоговый вычет. Оформите получение: [ссылка]»

Государственные органы не рассылают SMS со ссылками для ввода персональных данных. ФНС, ПФР и другие ведомства используют официальные порталы (Госуслуги) и почтовые уведомления.

Мошеннические розыгрыши

«Поздравляем! Вы выиграли 50 000 рублей. Получите в течение 24 часов: [ссылка]»

Если вы не участвовали в розыгрыше — вы ничего не выиграли.

Ложная верификация аккаунтов

«Ваш аккаунт Telegram требует немедленной верификации. Нажмите здесь: [ссылка]»

Telegram — основной мессенджер в России, и мошенники активно подделывают уведомления от него. Telegram никогда не просит верифицировать аккаунт через ссылку в SMS.

Как распознать смишинг-сообщение

Проверьте номер отправителя

Смишинг-сообщения часто приходят с обычных мобильных номеров или иностранных номеров. Если сообщение от «банка» приходит с обычного мобильного номера — это не банк.

Обратите внимание на язык срочности

«Немедленно», «в течение 24 часов», «срочно», «ваш счёт будет заблокирован» — это приёмы манипуляции, рассчитанные на то, чтобы вы действовали не думая.

Проверьте ссылку

Признак опасности	Пример
Поддельный домен	sberbank-proverka.com (настоящий: sberbank.ru)
Подозрительная зона	tinkoff-bank.xyz
IP-адрес вместо домена	http://203.xxx.xxx.xx/verify
Лишние поддомены	vtb.ru.proverka-now.net

Обратите внимание на обращение

«Уважаемый клиент» вместо вашего имени. Организации, у которых есть ваш номер телефона, обычно знают и ваше имя.

Что делать при получении подозрительного SMS

1. Не переходите по ссылке. Даже чтобы «просто посмотреть».
2. Не отвечайте. Ответ подтверждает, что ваш номер активен.
3. Пожалуйтесь на спам. Переслать сообщение оператору связи или обратиться в Роскомнадзор.
4. Заблокируйте отправителя. Используйте функцию блокировки на смартфоне.
5. Свяжитесь с организацией напрямую. Через официальное приложение или горячую линию.

Если вы уже перешли по ссылке

1. Немедленно смените пароли — особенно от связанных аккаунтов.
2. Включите двухфакторную аутентификацию.
3. Свяжитесь с банком, если вводили финансовые данные.
4. Проверьте устройство на наличие подозрительных приложений, запустите антивирусную проверку.
5. Проверьте историю операций в банковских приложениях.
6. Обратитесь в полицию, если персональные данные могли быть скомпрометированы.

Чек-лист по защите от смишинга

• Не переходить по ссылкам в неожиданных SMS
• Проверять сообщения через официальные приложения или сайты организаций
• Установить антивирус на смартфон
• Включить фильтрацию спам-сообщений у оператора связи
• Устанавливать приложения только из Google Play или App Store
• Не разрешать установку из неизвестных источников
• Включить двухфакторную аутентификацию для всех важных аккаунтов

Делитесь ссылками безопасно

Когда нужно отправить конфиденциальную информацию через Telegram — пароль, закрытую ссылку, секретную заметку — используйте сервис, созданный для безопасного обмена. LOCK.PUB позволяет создавать ссылки, защищённые паролем, где получатель всегда обращается к контенту через проверенный домен lock.pub.

В отличие от смишинг-ссылок, LOCK.PUB не запрашивает персональные данные. Получатель вводит общий пароль и видит только тот контент, который вы решили отправить.

Создать защищённую ссылку -->