Smishing: jak rozpoznać oszustwo SMS-owe

Smishing (SMS + phishing) to oszustwo przesyłane wiadomościami tekstowymi: SMS-em, a także przez WhatsApp, Viber czy iMessage. Zasada jest taka sama jak w phishingu e-mailowym, ale wiadomość na telefonie budzi jeszcze większe zaufanie i często czyta się ją w pośpiechu. Na małym ekranie trudniej zobaczyć prawdziwy adres linku, więc ludzie klikają częściej niż w e-mailu.

Najczęstsze scenariusze smishingu

• Dostawa paczki: „Twoja paczka czeka, dopłać 1,99 zł opłaty celnej” z linkiem do fałszywej strony kuriera.
• Bank: „Wykryto podejrzaną płatność, potwierdź tożsamość” z linkiem do podrobionej strony logowania.
• Podatki lub urząd: „Należy Ci się zwrot podatku, wypełnij formularz”.
• Pracodawca lub przełożony: „Możesz szybko odpisać? Potrzebuję pomocy” – początek oszustwa „na prezesa”.
• Nagrody i promocje: „Wygrałeś telefon, odbierz go, klikając w link”.

Sygnały, które zdradzają smishing

Żaden pojedynczy sygnał nie jest dowodem, ale kilka naraz to wyraźny znak, by się zatrzymać.

• Nieoczekiwana wiadomość o paczce, której nie zamawiano, albo z banku, którego nie jest się klientem.
• Link z dziwną lub skróconą domeną (bit.ly, przypadkowe znaki, końcówki .top / .xyz).
• Ponaglający, groźny ton: „w ciągu 24 h”, „ostatnie ostrzeżenie”, „konto zostanie zamknięte”.
• Prośba o wpisanie numeru karty, hasła lub numeru PESEL przez link.
• Nieznany lub zagraniczny numer telefonu, choć wiadomość udaje lokalną instytucję.
• Niewielkie, nietypowe opłaty (np. symboliczna „opłata celna”), które służą do wyłudzenia danych karty.

Dlaczego smishing działa lepiej, niż można by sądzić

Telefon to urządzenie osobiste, a SMS-y od lat służą do prawdziwych powiadomień: kodów z banku, statusów paczek. Dlatego wiadomości tekstowej ufa się bardziej. Do tego na telefonie adresy linków są często ukryte, a wiadomości czyta się w biegu lub między zadaniami, gdy uwaga jest rozproszona. To połączenie sprawia, że smishing jest skuteczny.

Co zrobić z podejrzaną wiadomością

• Nie klikaj w link i nie dzwoń pod numer z wiadomości.
• Nie przesyłaj wiadomości współpracownikom „do sprawdzenia”, tylko zgłoś ją do IT.
• Jeśli dotyczy banku lub kuriera, otwórz jego oficjalną aplikację lub stronę samodzielnie, a nie przez link.
• Zablokuj numer i usuń wiadomość, gdy potwierdzisz, że to oszustwo.
• Jeśli już wpisano dane karty lub logowania, od razu zadzwoń do banku i zmień hasła.

Pamiętaj: ani bank, ani kurier, ani urząd nigdy nie poproszą o wpisanie hasła lub PIN-u karty przez link w SMS-ie.

Jak chronić zespół przed smishingiem

Smishing trafia też na prywatne telefony pracowników, na których często jest służbowa poczta, więc ochrona nie może ograniczać się do komputerów. Najskuteczniej działa regularne pokazywanie zespołowi prawdziwych przykładów i ćwiczenie reakcji. Symulacje Opsinel są wysyłane e-mailem, a lekcje obejmują też oszustwa SMS, więc pracownicy uczą się rozpoznawać również je.