Смишинг — вид мошенничества через звонки¶

Смишинг (англ. smishing, от SMS + phishing) — вид интернет-мошенничества, при котором злоумышленники используют SMS-сообщения и мессенджеры для получения персональных данных, банковских реквизитов или доступа к устройствам жертв. Термин является разновидностью фишинга и был введён в обиход в середине 2000-х годов одновременно с «вишингом» (мошенничество по телефону) и «квишингом» (мошенничество через QR-коды).

¶Происхождение термина

Термин «smishing» впервые появился около 2005–2006 годов в отчётах компаний по информационной безопасности. Он образован по аналогии с phishing от словосочетания SMS phishing. В 2006 году Ассоциация финансовых сервисов Великобритании (UK Payments Administration) выпустила предупреждение о новом типе атак через SMS, что закрепило термин в профессиональном лексиконе. В русскоязычной среде слово «смишинг» вошло в употребление в 2010-х годах вместе с массовым распространением смартфонов и мобильного банкинга.

¶Механизм атаки

Типичная смишинг-атака строится по следующему сценарию:

1. Мошенник рассылает SMS или сообщение в мессенджер (Telegram, WhatsApp, Viber) от имени известной организации — банка, налоговой службы, службы доставки, оператора связи или государственного ведомства.
2. В сообщении содержится ссылка на поддельный сайт, номер телефона для «срочного звонка» или просьба сообщить код из SMS.
3. Жертва переходит по ссылке или звонит по указанному номеру и передаёт мошенникам конфиденциальные данные: номер банковской карты, PIN-код, код подтверждения из SMS, паспортные данные или логин и пароль от интернет-банка.
4. Полученные данные используются для списания средств с банковского счёта, оформления кредитов или продажи на даркнете.

Часто злоумышленники используют технологию подмены номера (caller ID spoofing), поэтому на экране телефона отображается реальный номер банка или государственной службы. Сообщения рассылаются массово, без адресности, в расчёте на то, что часть получателей окажется клиентами указанной организации.

¶Основные сценарии

¶От имени банков

Наиболее распространённый формат. Мошенники сообщают о «подозрительной операции», «блокировке карты» или «необходимости срочного подтверждения данных». Жертву просят перейти по ссылке на копию сайта банка или продиктовать код из SMS-подтверждения.

¶От имени государственных служб

Сообщения якобы от налоговой службы, Пенсионного фонда, ГИБДД или МВД содержат уведомления о штрафах, задолженностях или необходимости получить выплату. По ссылке предлагается ввести паспортные данные и банковские реквизиты.

¶От имени служб доставки и торговых площадок

SMS о задержке посылки, необходимости доплатить небольшую сумму за доставку или подтвердить получение заказа. Ссылка ведёт на фиктивный сайт, имитирующий интерфейс популярного маркетплейса или курьерской службы.

¶Фишинг через мессенджеры

С развитием мессенджеров смишинг перестал быть исключительно SMS-явлением. Сообщения в Telegram или WhatsApp (продукт Meta, признанной экстремистской и запрещённой в РФ) часто содержат вредоносные ссылки, замаскированные под официальные каналы организаций, либо приглашения в группы с обещанием заработка.

¶Масштаб проблемы в России

По данным Центрального банка Российской Федерации, смишинг и смежные виды мошенничества через мобильные устройства стабильно входят в число наиболее массовых финансовых преступлений. Банки и операторы связи регулярно блокируют поддельные номера и сайты, однако мошенники оперативно создают новые. ЦБ РФ неоднократно предупреждал граждан о том, что ни один банк не запрашивает по телефону коды из SMS, PIN-коды и полные данные карты.

В 2023–2024 годах监管部门 усилили меры противодействия: операторы связи внедрили автоматическую фильтрацию SMS с подозрительными ссылками, а законодательство ужесточило ответственность за использование чужих телефонных номеров для рассылки мошеннических сообщений.

¶Методы защиты

• Не переходить по ссылкам из незапрошенных SMS, даже если отправитель отображается как официальный номер.
• Не сообщать коды из SMS и пароли от интернет-банка никому, включая сотрудников банка.
• Проверять информацию, позвонив в организацию по официальному номеру, указанному на её сайте или на обороте банковской карты.
• Использовать антивирусное ПО с функцией проверки ссылок.
• Подключать уведомления о всех операциях по карте, чтобы оперативно обнаруживать несанкционированные списания.

¶Отличие от смежных видов мошенничества

Все перечисленные виды объединяет одна цель — получение доступа к финансовым средствам жертвы, однако различаются каналами доставки и техническими средствами реализации.

Источники:

• Публикации Центрального банка Российской Федерации о противодействии мошенничеству
• Отчёты компании «Лаборатория Касперского» о киберугрозах
• UK Payments Administration (Финансовый авторитет Великобритании), предупреждения о smishing
• Публикации Ассоциации банков России (АБР)