Smishing (Смишинг) - это вид фишинговой атаки, при которой злоумышленники используют текстовые сообщения SMS (а также сообщения в мессенджерах, например iMessage или RCS) для того, чтобы обманом заставить получателя раскрыть конфиденциальные данные, перейти по вредоносной ссылке или установить опасное приложение. Термин образован слиянием двух английских слов - SMS и phishing. Ключевое отличие от классического фишинга по электронной почте заключается в канале доставки: сообщение приходит на мобильный телефон, который человек всегда носит с собой, проверяет чаще, чем почту, и воспринимает как более личный и срочный канал связи.
Механизм работы и ключевые особенности
Смишинг строится на социальной инженерии и эксплуатации доверия к мобильному каналу. Злоумышленники используют подмену номера (Spoofing), чтобы сообщение выглядело так, будто оно пришло от банка, службы доставки, государственного органа или оператора связи. Если атакующий подделывает короткий номер банка, фишинговое сообщение может появиться в том же потоке переписки, что и предыдущие легитимные уведомления, что резко снижает бдительность получателя. Тексты обычно содержат призыв к срочному действию: утверждение о блокировке счёта, уведомление о неоплаченном штрафе, сообщение о проблеме с доставкой посылки или предложение неожиданного выигрыша. Ссылка из сообщения ведёт на поддельную страницу авторизации или на сайт, распространяющий вредоносное программное обеспечение (Malware). Отдельную разновидность представляет QR-смишинг (Quishing), при котором ссылка закодирована в QR-коде: жертву просят отсканировать код с мобильного устройства, которое часто находится вне зоны действия корпоративных средств защиты.
Примеры из реальной практики
Показательный случай произошёл в мае 2025 года на Мальте. Пострадавший получил SMS, которое появилось в том же потоке, что и настоящие уведомления его банка, с предупреждением о «подозрительной активности». Спустя несколько минут раздался звонок с официального номера службы поддержки банка. Звонивший говорил на мальтийском языке, знал банковские процедуры и даже ссылался на конкретные типы счетов, чтобы завоевать доверие. Он убедил жертву перейти по ссылке из второго SMS и ввести учётные данные для «новой процедуры аутентификации», после чего мошенники получили полный доступ к счёту и вывели почти 4000 евро серией платежей, каждый из которых был чуть ниже 1000 евро, чтобы не сработали автоматические пороги безопасности. Этот пример демонстрирует, что смишинг часто работает в связке с вишингом (голосовым фишингом) и подменой номера, создавая многоступенчатую атаку.
Другой пример - массовая кампания группировки Smishing Triad, которая с апреля 2024 года использовала более 194 000 мошеннических доменов для имитации организаций по всему миру. Среди них были системы оплаты проезда, службы доставки, банки, криптовалютные платформы и государственные органы. Более 82% доменов были моложе двух недель, а почти 30% исчезали в течение двух дней, что делало обнаружение крайне сложным. Кампания действовала по модели «фишинг как услуга» (Phishing-as-a-Service, PhaaS) и охватывала жертв в США, Канаде, Австралии, Германии, Франции и других странах. Ещё один заметный случай связан с северокорейской группой Kimsuky, которая распространяла Android-вредонос DocSwap через поддельные сайты логистической компании CJ Logistics. Пользователю предлагалось отсканировать QR-код, чтобы «отследить посылку», после чего загружалось приложение, запрашивавшее широкие разрешения и в фоновом режиме собиравшее нажатия клавиш, аудио, местоположение и список SMS.
Масштаб и защита
Смишинг остаётся одной из самых массовых форм фишинга, поскольку мобильные телефоны обеспечивают постоянный контакт с жертвой, а короткие сообщения располагают к быстрой реакции. Защита от смишинга строится на нескольких принципах. Не следует переходить по ссылкам из неожиданных SMS - даже если сообщение выглядит как продолжение легитимной переписки, безопаснее открыть официальное приложение организации или ввести адрес вручную. Любой запрос на срочные действия нужно проверять по независимому каналу: позвонить по номеру, указанному на обратной стороне банковской карты или на официальном сайте, а не по номеру из сообщения. Многофакторная аутентификация, особенно устойчивая к фишингу (passkeys или аппаратные ключи), снижает ценность украденных учётных данных, а отказ от SMS как второго фактора там, где это возможно, устраняет целый класс атак. Подозрительные сообщения стоит пересылать в службу борьбы со спамом (например, на номер 7726) и сообщать оператору связи. На уровне устройства полезно отключить установку приложений из неизвестных источников и, если возможно, деактивировать 2G, чтобы снизить риск подключения к поддельным базовым станциям. Поскольку смишинг постоянно эволюционирует, сочетая подмену номера, QR-коды и вредоносные приложения, устойчивость к нему требует не только технических мер, но и привычки проверять каждое неожиданное сообщение, прежде чем нажимать на ссылку.
