Смишинг: фишинг через SMS и мессенджеры, примеры формулировок

Смишинг — это фишинг через короткие сообщения: SMS, сообщения в мессенджерах, иногда уведомления в соцсетях. Название сложено из слов «SMS» и «фишинг». Идея та же: убедить вас перейти по ссылке или сообщить сведения, выдав себя за знакомую организацию.

Сообщения короткие, поэтому ловушки в них немного, но каждая хорошо продумана. Текст рассчитан на эмоцию: тревогу («ваша карта заблокирована»), любопытство («вам пришло фото»), жадность («вам положена выплата»). Ссылка сокращена или замаскирована, отправитель либо выглядит как известная служба, либо подделывает имя.

Работает он потому, что SMS воспринимаются как доверенный канал. Мы привыкли, что банки, операторы и магазины присылают уведомления, и не всегда замечаем, что сообщение пришло не от них. Кроме того, читать на экране телефона в спешке — идеальные условия для ошибок.

Заметим, что мошенники нередко используют реальные события: сезон налоговых выплат, праздники, распродажи, публичные новости. Формулировка подстраивается под тему дня, и человек чаще воспринимает сообщение как относящееся к нему. Значит, соответствие событиям не доказывает подлинность: всегда проверяйте через официальное приложение.

Многие путаются, из-за чего смишинг так успешен: сообщения читаются быстрее писем, ссылка помещается прямо в текст, а экран телефона показывает лишь часть адреса. Поэтому лучше выработать привычку не нажимать, а сначала подумать, ждали ли вы такого сообщения, знаете ли отправителя и какое действие от вас требуют.

Ниже — типичные обороты, которые встречаются в фишинговых сообщениях. Они приведены для узнавания, а не для копирования.

Заметьте, что во всех случаях есть срочность и просьба перейти по ссылке. Это и есть главный маркер: настоящие организации обычно предлагают открыть приложение или позвонить по известному номеру.

Иногда сообщение приходит в тот же чат, что и настоящие уведомления вашего банка или оператора, потому что отправитель подделал имя. Это самый коварный вариант. В таком случае опирайтесь не на расположение сообщения, а на то, какого действия оно требует: если оно просит перейти по ссылке и ввести данные, сначала проверьте иным путём.

Проверьте отправителя. Если сообщение пришло с длинного незнакомого номера или адреса, а оформлено как письмо от известной организации, сомневайтесь. Сообщения от банков и сервисов приходят в виде названия, которое вы уже видели в переписке.

Прочитайте ссылку. В ней часто есть лишние символы, цифры, слова, не совпадающие с названием организации. Сокращённые ссылки скрывают адрес, поэтому не нажимайте на них без необходимости. Обратите внимание на язык и оформление: ошибки, странные обороты, обращение без имени.

Наконец, оцените, чего от вас хотят. Просьба перейти, ввести данные карты, установить приложение или назвать код почти всегда признак обмана. Отсутствие персонализации, спешка и запугивание усиливают подозрение.

Полезная привычка — считать любую ссылку из SMS потенциально опасной и открывать нужный сервис самостоятельно. Это работает всегда и не требует умения распознавать подделки. Если действительно случилась проблема, вы увидите её в приложении, а если нет, потеряете пару минут вместо денег.

Проверьте, как ваш телефон показывает адреса ссылок: во многих приложениях можно нажать и удерживать ссылку, чтобы увидеть полный адрес перед переходом. Освойте это действие, оно пригодится и в мессенджерах, и в письмах. Если полный адрес не читается или в нём нет названия, которого вы ждёте, не переходите. При сомнении наберите адрес нужного сервиса вручную.

Не нажимайте на ссылку и не отвечайте на сообщение, даже чтобы «отписаться»: ответ показывает, что номер живой. Если сообщение касается банка, оператора или госсервиса, откройте официальное приложение или наберите адрес вручную и проверьте, есть ли там уведомление.

Если вы всё же открыли ссылку, не вводите данные и закройте страницу. Если ввели, сообщите в банк, заблокируйте карту, смените пароли и просмотрите историю операций. При установке приложения удалите его и проверьте разрешения.

Отметьте сообщение как спам в телефоне и переслайте оператору для проверки, если он принимает такие обращения. Заблокируйте отправителя: это не остановит рассылку целиком, но снизит нагрузку.

Мессенджеры добавляют свои приёмы: поддельные «приглашения в чат», «голосования», «выплаты» и «вакансии», которые приходят от незнакомых аккаунтов или взломанных контактов знакомых. Не переходите по ссылкам, даже если отправитель хорошо вам знаком: спросите у него лично, отправлял ли он сообщение.

Включите фильтрацию нежелательных сообщений в самом телефоне или у оператора связи. Отключите автозагрузку файлов и предпросмотр ссылок в мессенджерах, если такая возможность есть.

Установите обновления операционной системы и приложений: в них закрываются известные уязвимости. Пользуйтесь менеджером паролей: он не подставит логин на поддельной странице, что служит дополнительной подсказкой об обмане.

Договоритесь с близкими, что сомнительные сообщения показывают друг другу, а не отвечают на них сразу. Простая привычка «сначала спросить» останавливает большинство подобных атак.

Расскажите близким о смишинге на простом примере: покажите настоящее и поддельное сообщения и вместе найдите различия. Наглядность действует лучше запретов. Установите общее правило: подозрительное сообщение показывают друг другу до того, как что-то нажимать, и никто не смеётся над вопросом «а это настоящее?».