Смишинг — вид мошенничества через SMS¶
Смишинг (англ. smishing, от SMS + phishing) — вид интернет-мошенничества, при котором злоумышленники рассылают пользователям мобильных телефонов поддельные SMS-сообщения с целью выманить персональные данные, реквизиты банковских карт или заразить устройство вредоносным программным обеспечением. Термин является разновидностью фишинга, адаптированной для каналов доставки сообщений, таких как SMS и мессенджеры.
¶Принцип действия
Классический сценарий смишинга выглядит следующим образом:
- Мошенники формируют базу номеров мобильных телефонов — её можно приобрести в даркнете, собрать из утечек данных или сгенерировать перебором.
- Пользователь получает SMS от имени известного бренда, банка, государственной службы или службы доставки. В сообщении содержится призыв срочно перейти по указанной ссылке.
- Ссылка ведёт на поддельный сайт, визуально неотличимый от оригинала, либо на страницу с предложением установить приложение.
- Пользователь вводит на поддельном сайте логин, пароль, номер карты, код из SMS или другую конфиденциальную информацию.
- Мошенники получают доступ к банковскому счёту, аккаунту или данным для продажи на чёрном рынке.
¶Основные признаки смишинга
- Подозрительная срочность: «ваш аккаунт заблокируют», «карта заблокирована», «необходимо немедленно подтвердить данные».
- Наличие ссылки в сообщении, ведущей на домен, отличный от официального.
- Ошибки в тексте, нестандартное написание названий организаций.
- Просьба сообщить код из входящего SMS — легитимные организации никогда не запрашивают такие коды.
- Нестандартный отправитель: короткий номер, абонентский номер или имя вместо официального сервисного номера.
¶Виды смишинга
| Вид | Описание |
|---|---|
| Банковский | SMS от имени банка с просьбой «разблокировать» карту или «подтвердить транзакцию» |
| Госуслуги | Сообщения о штрафах, налогах, якобы требующих оплаты по ссылке |
| Доставка | Уведомления о посылке, требующей «доплатить» или «указать адрес» |
| Техподдержка | Предложение установить программу «для безопасности» — на самом деле вредоносную |
| Инвестиционные | Ссылки на фиктивные платформы с обещанием быстрой прибыли |
¶Масштаб проблемы
По данным российских банковских ассоциаций, смишинг стал одним из наиболее массовых видов мошенничества в России в начале 2020-х годов. Распространению способствовали:
- Широкое использование SMS для двухфакторной аутентификации, что сделало канал привычным для пользователей.
- Утечки персональных данных, позволяющие персонализировать сообщения (имя получателя, банк, оператор связи).
- Низкий порог входа для мошенников: стоимость рассылки тысяч SMS может составлять единицы рублей за сообщение.
¶Меры защиты
Эксперты по информационной безопасности рекомендуют:
- Не переходить по ссылкам из SMS, а вводить адрес сайта вручную.
- Не сообщать никому коды из SMS, включая сотрудников «банка».
- Проверять номер отправителя и домен в ссылке.
- Использовать официальные мобильные приложения вместо веб-версий.
- Включить в банке функции оповещения о каждой операции и лимиты на переводы.
- При получении подозрительного сообщения — обращаться в службу поддержки по официальному номеру.
¶Правовое регулирование в России
Мошенничество с использованием SMS-рассылок квалифицируется по статье 159 Уголовного кодекса РФ (мошенничество), а при использовании информационно-телекоммуникационных сетей — по части 3 статьи 159.2 и смежным составам. За такое деяние предусмотрено наказание вплоть до лишения свободы на срок до 10 лет при крупном ущербе.
Операторы связи обязаны подключать абонентов к сервисам фильтрации подозрительных SMS. В 2023 году в России были приняты поправки, обязывающие банки применять дополнительные меры защиты при переводах на новые реквизиты и ограничивающие переводы на карты, выпущенные в ряде иностранных юрисдикций.
¶История термина
Термин «smishing» был введён в обиход в 2006 году компанией Intelligate (разработчик антивирусного ПО) как комбинация SMS и phishing. Первоначально он описывал атаки через SMS в США, где операторы связи внедряли платные короткие номера для коммерческих рассылок, что создавало дополнительные векторы атак. С распространением смартфонов и мобильного интернета практика получила глобальное распространение.
¶См. также
- Фишинг
- Вишинг (мошенничество по телефону)
- Кейлоггинг
- Социальная инженерия
¶Источники
- Материалы Банка России по противодействию мошенничеству
- Публикации лабораторий информационной безопасности (Kaspersky, Group-IB)
- Уголовный кодекс Российской Федерации, статья 159
- Данные ассоциации «ФинТех»