Смишинг (SMS-фишинг): Объяснение текстовых мошенничеств
Смишинг, портманто от SMS и фишинга, представляет собой одну из наиболее быстрорастущих киберпреступных угроз. Федеральная торговая комиссия США зафиксировала увеличение на 146% количества жалоб на SMS-мошенничество между 2020 и 2023 годами. Эти атаки эксплуатируют немедленность и доверие, связанные с текстовыми сообщениями, при этом жертвы теряют в среднем 800 долларов на одного инцидента. В отличие от email-фишинга, который часто блокируется фильтрами, текстовые сообщения имеют уровень открытия 98% и прочитываются в течение трёх минут после получения, что делает их исключительно эффективными векторами атак. Мошенники отправляют поддельные текстовые сообщения от имени банков, служб доставки, государственных учреждений или работодателей, чтобы создать чувство срочности и паники. Эти сообщения обычно содержат вредоносные ссылки, ведущие на поддельные веб-сайты, предназначенные для кражи учётных данных для входа, номеров кредитных карт, номеров социального страхования и другой конфиденциальной информации. Центр жалоб на интернет-преступления ФБР получил более 52 000 жалоб на смишинг только в 2023 году, при общих убытках, превышающих 42 миллиона долларов. Особенная опасность смишинга заключается в его способности обходить традиционные меры безопасности. Мобильные устройства часто не имеют надёжной защиты от спама и программного обеспечения безопасности, присутствующих на компьютерах, а пользователи обычно больше доверяют текстовым сообщениям, чем электронным письмам. Злоумышленники используют технологию спуфинга, чтобы сообщения казались отправленными с легитимных номеров телефонов или корпоративных сокращённых кодов, и они эксплуатируют психологические триггеры, такие как страх закрытия счёта, отказы доставки посылок или налоговые проблемы, чтобы побудить к немедленным действиям без критического анализа.
Распространённые тактики
- •Мошенничество с доставкой посылок, при котором мошенники отправляют сообщения о задержке, недоставке или требовании немедленных действий с ссылками на поддельные сайты FedEx, UPS, USPS или Amazon, предназначенные для кражи платёжной информации или учётных данных для входа.
- •Поддельные уведомления безопасности банковских счётов, которые ложно заявляют о подозрительной деятельности, заблокированных счётах или требуемой верификации, используя подделанные номера, совпадающие с банком жертвы, чтобы выглядеть легитимно и перенаправить пользователей на сайты кражи учётных данных.
- •Сообщения от имени налоговых органов или государственных учреждений, утверждающие об неуплаченных налогах, приостановке социального страхования, праве на получение стимулирующих платежей или угрозах ордера на арест, требующие немедленного платежа через подарочные карты, банковские переводы или криптовалюту для разрешения выдуманных проблем.
- •Атаки на двухфакторную аутентификацию, при которых мошенники отправляют коды, якобы от легитимных сервисов, обманывая жертвы на пересылку кодов аутентификации, которые дают доступ к реальным учётным записям в течение минут после перехвата.
- •Уведомления о призах и розыгрышах, ложно заявляющие о выигрышах в лотерею, подарочных карточках или призах в конкурсах, требующие от жертв оплаты комиссионных сборов, предоставления банковских реквизитов или нажатия вредоносных ссылок для получения несуществующих выигрышей.
- •Мошенничество с трудоустройством и зарплатой, нацеленное на сотрудников поддельными сообщениями от отделов кадров или руководителей, запрашивающих информацию W-2, изменения прямого депозита или срочные банковские переводы, часто приурочиваемые к напряжённым периодам, когда проверка менее вероятна.
Как распознать
- Неожиданные текстовые сообщения от неизвестных номеров или сокращённых кодов, якобы представляющие знакомые компании, особенно если у вас нет ожидаемых транзакций, доставок или проблем с учётной записью в этой организации.
- Срочный язык, создающий искусственное давление по времени, например «ответьте в течение 24 часов», «требуется немедленное действие» или «счёт будет закрыт», предназначенный для обхода вашего естественного скептицизма и принуждения к поспешным решениям.
- Сокращённые URL-адреса или подозрительные ссылки, которые не совпадают с официальным доменом предполагаемого отправителя, часто использующие bit.ly, tinyurl.com или неправильно написанные вариации легитимных веб-сайтов компаний.
- Запросы конфиденциальной информации через текстовое сообщение, включая пароли, номера социального страхования, детали кредитных карт или PIN-коды учётной записи, которые легитимные организации никогда не запрашивают через SMS.
- Общие приветствия, такие как «Уважаемый клиент» или «Владелец счёта», вместо вашего имени, указывающие на массово распространённые мошеннические сообщения, а не персонализированную коммуникацию от компаний, знающих вашу личность.
- Ошибки грамматики и орфографии, необычное форматирование или странные фразы, отличающиеся от профессионального стиля общения легитимных организаций, часто указывающие на операции мошенников из иностранных источников.
Как защитить себя
- Никогда не нажимайте на ссылки в неожиданных текстовых сообщениях, даже если они выглядят легитимно; вместо этого вручную введите официальный веб-сайт компании в браузер или используйте их официальное приложение для прямой проверки статуса вашей учётной записи.
- Включите двухфакторную аутентификацию, используя приложения для аутентификации вместо SMS-кодов, когда это возможно, так как SMS-основанная двухфакторная аутентификация остаётся уязвимой для подмены SIM-карт и перехвата атак опытными преступниками.
- Проверьте подозрительные сообщения, связавшись с организацией напрямую, используя номера телефонов с её официального веб-сайта или с обратной стороны вашей кредитной карты, никогда не используя контактную информацию из самого подозрительного сообщения.
- Сообщайте попытки смишинга вашему мобильному оператору, перенаправив подозрительные тексты на номер для сообщения спама (в России это может быть встроенная функция вашего оператора), что помогает провайдерам выявлять и блокировать мошеннические сообщения, способствуя более широким базам данных предотвращения мошенничества.
- Установите программное обеспечение мобильной безопасности, включающее защиту от фишинга, и регулярно обновляйте операционную систему телефона для исправления уязвимостей, которые атаки смишинга эксплуатируют для установки вредоноса или шпионского ПО.
- Зарегистрируйте свой номер телефона в реестре отказа от вызовов и будьте особенно осторожны с любым текстом, требующим кодов верификации, так как легитимные компании никогда не просят поделиться кодами аутентификации через какие-либо средства коммуникации.
Реальные примеры
Жительница Чикаго получила текстовое сообщение, якобы от USPS, о том, что её посылка неправильно адресована и требуется обновление информации о доставке, с ссылкой на поддельный веб-сайт USPS. Поддельный сайт запросил информацию о её кредитной карте для комиссии за переадресовку в размере $3,49. После ввода деталей мошенники немедленно произвели неправомерные списания на сумму $2 400 и продали информацию её карты в даркнете, что привело к месяцам осложнений с кража личности.
Владелец малого бизнеса в Техасе получил сообщение, якобы с официального номера его банка, с предупреждением о подозрительной деятельности на счёте и инструкцией немедленно подтвердить личность по ссылке. Поддельный банковский веб-сайт захватил его имя пользователя, пароль и ответы на вопросы безопасности. В течение 45 минут мошенники инициировали банковские переводы на сумму $18 000 на зарубежные счета, прежде чем владелец бизнеса обнаружил мошенничество при проверке своего подлинного банковского приложения.
Пожилая пара во Флориде получила сообщения о том, что они задолжали $847 в виде неуплаченных налогов и столкнулись с арестом в течение 72 часов, если не заплатят немедленно подарочными карточками. Сообщение включало обратный номер поддельного агента IRS, который давил в течение трёхчасового телефонного звонка, чтобы они купили подарочные карты на $5 000 в iTunes и Google Play, диктуя номера карт по телефону, прежде чем пара осознала, что ни одно легитимное государственное учреждение не принимает платежи подарочными карточками.
Частые вопросы
Как определить, что текстовое сообщение, якобы от моего банка или службы доставки, на самом деле является мошенничеством?
Что делать, если я случайно нажал на ссылку в смс-сообщении и ввёл свои данные для входа или личную информацию?
Почему текстовые сообщения опаснее фишинга по электронной почте и как мошенники делают свои сообщения правдоподобными?
Как защитить себя от смс-фишинга, не пропуская при этом легитимные сообщения от компаний, с которыми я действительно сотрудничаю?
Если мошенник получил доступ к моему аккаунту, используя украденный код двухфакторной аутентификации, могу ли я восстановить аккаунт и предотвратить повторное использование?
Куда сообщить — Россия
Официальные каналы в вашем регионе для сообщения о мошенничестве.
МВД России — Управление «К»
КиберпреступностьУправление по борьбе с преступлениями в сфере IT. Электронное обращение в МВД.
Госуслуги — заявление в полицию
СообщениеПодача заявления о мошенничестве через портал Госуслуг.
Банк России — приёмная
Финансовый регуляторЖалобы на финансовые пирамиды, нелегальных брокеров, банковское мошенничество.
Считаете, что столкнулись с этим мошенничеством?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), смишинг (sms-фишинг): объяснение текстовых мошенничеств is described at https://scamlens.org/ru/encyclopedia/smishing-sms-phishing.