Смишинг: как распознать фишинг в SMS и мессенджерах и не отдать доступ
Коротко. Смишинг — это фишинг через SMS и сообщения в мессенджерах. Схема та же, что в письмах: вас торопят, пугают и просят перейти по ссылке или назвать код. Отличие в том, что короткое сообщение выглядит личнее и ему меньше не доверяют. Правило одно: не переходить по ссылке из сообщения и не называть коды, а сервис проверять через официальное приложение или сайт, адрес которого вы набрали сами.
Почему SMS и мессенджеры стали удобной мишенью
Письмо в почте человек ещё как-то фильтрует: смотрит адрес отправителя, подозревает спам. С сообщением в телефоне иначе — оно короткое, приходит в тот же поток, где пишут банк, доставка и семья.
Microsoft в обзоре фишинга отдельно выделяет смишинг как тип атаки: сообщения маскируются под уведомления компаний и сервисов. Текст при этом часто состоит из одной фразы и ссылки — разбирать нечего, а спешка подталкивает нажать.
Второй фактор — привычка. Люди давно знают, что «выиграли миллион» — развод. Но сообщение «ваш заказ задержан, подтвердите адрес» выглядит бытово и не вызывает подозрения.
Признаки, по которым видно подделку
CISA в памятке по фишингу перечисляет характерные маркеры. В SMS и мессенджерах они выглядят так:
- срочность и угроза последствий: «аккаунт заблокируют через час», «посылка вернётся отправителю»;
- просьба сообщить данные: номер карты, срок действия, код из SMS, пароль;
- сокращённые ссылки, за которыми не видно адреса;
- адрес сайта с опечаткой или лишним словом;
- неожиданный отправитель, который представляется службой доставки, банком или поддержкой.
CISA замечает, что с развитием генеративных моделей текст больше не выдаёт себя ошибками и кривой грамматикой. Ориентироваться нужно на смысл: просят данные или торопят.
Почему имя отправителя ничего не доказывает
В SMS отправитель может отображаться как название банка или сервиса. Это не гарантия: подпись формируется на стороне отправителя и не подтверждает личность.
В мессенджерах похожая история. Сообщение может прийти с номера, который выглядит знакомым, или от аккаунта, который взломали. Друг просит «проголосовать за конкурс» — это классический сценарий, где настоящий владелец аккаунта ни о чём не знает.
Вывод: смотрите не на имя, а на то, что от вас хотят.
Что делать, если сообщение пришло
- Не нажимайте на ссылку.
- Не отвечайте — даже чтобы «отписаться».
- Не звоните по номеру из сообщения.
- Откройте официальное приложение сервиса или наберите адрес вручную.
- Проверьте статус заказа, счёта или доставки там.
- Удалите сообщение и отметьте его как спам.
CISA формулирует это в три шага: распознать, не поддаться, удалить.
Если ссылка всё-таки открылась
Паниковать не нужно, но действовать надо по порядку.
- Закройте страницу, ничего не вводя.
- Вспомните, что успели ввести: логин, пароль, номер карты, код.
- Если вводили пароль — смените его с другого устройства.
- Завершите сеансы аккаунта.
- Включите двухфакторную защиту, если её не было.
- Если вводили данные карты — позвоните в банк по номеру с обратной стороны карты.
Подробный порядок действий разобран в отдельном материале про переход по опасной ссылке.
Как проверить ссылку, не переходя
- Посмотрите на домен, а не на текст ссылки: важны символы до первого слэша.
- Проверьте, нет ли похожих букв из других алфавитов.
- Насторожитесь, если адрес состоит из набора символов или сокращателя.
- Если сервис просит войти — откройте его вручную, а не по ссылке.
Даже аккуратная проверка не даёт полной гарантии: сайт может выглядеть как настоящий. Надёжнее вообще не пользоваться ссылкой из сообщения.
Коды подтверждения и «сотрудники»
Отдельная схема — просьба назвать код. Мошенник может представляться сотрудником банка, оператора или поддержки и говорить, что «код нужен для отмены перевода».
Правило: код подтверждения не сообщают никому. Ни банк, ни сервис не просит его по телефону или в переписке. Если код уже назвали — считайте, что доступ мог быть получен, и меняйте пароль.
Что настроить заранее
- Двухфакторная защита на почте, банке и аккаунтах, где есть деньги или личные данные.
- Отдельный пароль для почты, которая используется для восстановления.
- Уведомления о входах и операциях.
- Резервные коды в офлайн-месте.
- Фильтр спама в мессенджере: незнакомые пишут в «запросы».
Эти меры не отменяют смишинг, но резко сокращают ущерб.
Что делать в первые минуты
Если сообщение только что пришло, порядок простой: не нажимать, не отвечать, не звонить. Сделайте скриншот — он пригодится, если решите пожаловаться оператору или в банк. Затем откройте официальное приложение сервиса, о котором идёт речь, и проверьте, есть ли там событие, о котором пишут. Обычно выясняется, что никакой блокировки и никакой посылки нет.
Если сообщение пришло в мессенджере от знакомого, свяжитесь с ним другим способом: позвоните или напишите в другом приложении. Не отвечайте в том же чате — вы можете разговаривать со злоумышленником, который уже получил доступ.
Короткий итог
Смишинг не требует сложных технологий: достаточно короткого текста, ссылки и чувства срочности. Защита строится на одной привычке — проверять сервис через официальный канал, а не через сообщение. Плюс два усиления: двухфакторная защита и понимание, что код подтверждения нельзя называть никому.
FAQ
Если я не нажимал ссылку, сообщение безопасно?
Да, само по себе сообщение ничего не делает. Опасность в переходе и в ответе.
Может ли сообщение заразить телефон без клика?
Обычное текстовое сообщение — нет. Риск появляется при переходе и установке приложений.
Что делать, если я ответил мошеннику?
Прекратите переписку, смените пароль аккаунта, к которому относилась просьба, и проверьте активные сеансы.
Стоит ли блокировать номер?
Да, это уменьшит поток, но мошенники пишут с новых номеров.
Как отличить сообщение от банка?
Никак по тексту. Откройте приложение банка и проверьте операцию там.
Помогает ли антивирус на телефоне?
Частично, но основная защита — не переходить по ссылкам и не сообщать коды.