Angol nyelvterületen “smishing” néven emlegetik azt a kiberbűnözési módszert, amely SMS-ekkel próbálja megtéveszteni az embereket. Egyre elterjedtebb átverésről van szó, köszönhetően annak, hogy a spam szűrők egyre jobb eredményeket érnek el a csaló e-mailekkel és hívásokkal szemben, viszont az SMS-ekkel nehezebben veszik fel a harcot.
Miről is van szó pontosan, és mire kell figyelni, hogy elkerüljük? – soroljuk a legfontosabb információkat.
Mi az az SMS adathalászat?
Lényegében a korábban már részletezett adathalászat egyik formája: a csalók SMS-ekkel próbálják megtészveszteni a telefonok tulajdonosait, például az általuk jól ismert cégeknek – vagy akár embereknek – kiadva magukat. Szöveges üzenetekkel igyekeznek érzékeny adatokat megszerezni, átverésre készült honlapokra vezetni, pénzt kicsalni, vagy rosszindulatú szoftverek, alkalmazások letöltését elérni.
Miért pont SMS-t írnak a csalók?
A kiberbűnözők körében egyre népszerűbb módszerről van szó, ugyanis a kutatások is alátámasztják: az emberek szívesebben kattintanak SMS-ben érkező linkekre.
Az SMS-ek átkattintási aránya a nemzetközi kutatások szerint 10-15 százalék körül van, míg az e-mailek esetében 100-ból csak 2 ember kattint adathalász honlapra vezető linkre. Ez annak is köszönhető, hogy ha számítógépen a kurzort a linkre helyezzük, akkor megjelenik az URL, míg az SMS esetében nincs ilyen lehetőség. Ráadásul az emberek hozzászoktak ahhoz is, hogy a cégektől kapott SMS-ekben rövidített link szerepel, így a csaló üzeneteket a linkrövidítés sem buktatja le.
Mivel a csalók már képesek telefonszámot is hamisítani, kezd még hatékonyabbá válni az SMS-es átverés.
Az SMS adathalászat fajtái:
A többi adathalász módszerhez hasonlóan a csaló SMS-es is manipulatívak. Íme a legelterjedtebb fajtái:
1, Pénzintézetnek adja ki magát
A csalók az áldozat bankjának adják ki magukat, a címzett számlájával kapcsolatos, kitalált problémát jeleznek. Azt ígérik, hogy a linkre kattintva megoldható a probléma, de a link egy adathalász weboldalra vagy alkalmazáshoz vezet, ahol pénzügyi információkat (pl.: jelszó, PIN-kód, bejelentkezési adat, stb.), illetve bankszámla-, bankkártya- és hitelkártya adatokat lopnak el.
2, Egyéb intézménynek adja ki magát
Az adathalász SMS-ekkel a bankokon kívül rendőrségnek, adóhatóságnak, kormányzati tisztviselőnek és egyéb intézményeknek is kiadják magukat a csalók. Ezek az üzenetek általában valamilyen bírság vagy adósság befizetését kérik, vagy állami juttatás igénylését ígérik érzékeny információkért cserébe.
Általában az ilyen SMS-ek is hamis weboldalakra próbálják vezetni a címzetteket.
3, Ügyfélszolgálatnak adja ki magát
A támadók megbízható márkák, például kiskereskedők és mobilszolgáltatók ügyfélszolgálati munkatársának adják ki magukat. Általában azt hazudják, hogy probléma van az áldozat fiókjával, fel nem használt jutalmával vagy visszatérítésével.
A hamis ügyfélszolgálat egyre elterjedtebb kiberbűnözési módszer, itt részletesebben is írtunk róla.
4, Csomagszállító cégnek adja ki magát
“Probléma merült fel a csomag kézbesítésével” – az ehhez hasonló kezdetű SMS-ek a legelterjedtebbek, bizonyára sokan találkoztak már a módszerrel. Egy linkre kattintva a fiókunkba való belépést kérik – természetesen egy hamis oldalon, így nyerve ki a jelszavunkat –, vagy kézbesítési díj fizetésére köteleznek.
Az ünnepek környékén – amikor az átlagosnál jóval több az online rendelés – különösen érdemes figyelni az olyan SMS-ekre, amelyek népszerű csomagszállító cégeknek adják ki magukat.
5, Munkatársnak adja ki magát
Az SMS adathalászat során – köszönhetően a mesterséges intelligenciának is – egyre könnyebben tudják automatizáltan személyessé tenni az üzeneteket.
Ezzel a módszerrel a csalók könnyű szerrel adhatják ki magukat főnökünknek, kollégánknak, szakmai partnerünknek vagy mondjuk az ügyvédünknek, akinek a nevében – új telefonszámra hivatkozva – próbálnak eljárni, gyors segítséget kérni. Azonnali elvégzendő feladatról, általában pénzátutalásról van szó.
6, Téves üzenetnek adja ki magát
A csalók néha olyan SMS-eket küldenek, amelyek látszólag nem az áldozatnak szólnak. Az ilyen hibát az emberek általában nem hagyják szó nélkül, válaszolnak, majd a csalók egy újabb üzenettel beszélgetést kezdeményeznek.
Bizalmat építenek ki – akár baráti vagy romantikusnak tűnő viszonyt is – szimpla szöveges üzenetekkel, hónapokon, akár éveken keresztül, majd a bizalom elnyerésekor hamis befektetési lehetőségre beszélnek rá, vagy kölcsönt kérnek, hogy összejöjjön a találkozás.
7, Kétfaktoros azonosításnak adja ki magát
Ezt a módszert akkor alkalmazzák a csalók, ha korábban már megszerezték a belépési adatainkat (felhasználónév és jelszó), de kétfaktoros azonosítást állítottunk be az adott fiókhoz. Az SMS célja tehát az, hogy a belépési kísérlet után a csaló hozzáférjen az ellenőrző kódhoz vagy az egyszer használatos jelszóhoz.
Ez még önmagában nem működne, hiszen az áldozat tudja, hogy nem akart belépni a fiókba, épp ezért az áldozat barátjának vagy családtagjának adják ki magukat, akit kizártak a Facebook-, Instagram- vagy más közösségi médiás fiókjából, és azt mondják, hogy erre a telefonszámra kérték a kódot. Ez persze elég gyanús, de vannak, akik bedőlnek, és megadják a kódot, pedig az a kód nem az ismerősük, hanem a saját fiókjukhoz tartozik, amit a csalók így már fel is törtek.
8, Ingyenes alkalmazásnak vagy játéknak adják ki magukat
Egy hasznosnak tűnő alkalmazásnak vagy egy szórakoztatónak tűnő játéknak sokan örülnek, főleg ha ingyen van. Egyre több adathalász SMS ígéri ezt az áldozatoknak, pedig a link csak rosszindulatú programok vagy zsarolóvírusok letöltésére szolgál.
Így előzhetjük meg az SMS adathalászatot?
- Legyünk éberek és szkeptikusak minden olyan SMS-sel, amely személyes adatot kér, linket tartalmaz és azonnali cselekvésre szólít fel! A váratlan nyereményt és kedvezményeket kínáló SMS-eket is kezeljük fenntartással, hiszen itt is érzékeny információkat vagy programok letöltését kérik – a legitim szervezetek ilyesmit nem tesznek.
- Minden eszközön, és minden személyes és üzleti fiókon is állítsuk be a kétfaktoros azonosítást! Ez a lépés rendkívüli mértékben csökkenti fiókjaink feltörésének kockázatát.
- Tartsuk naprakészen a szoftvereket és az alkalmazásokat! Ha frissítés érhető el a számítógépen és az okostelefonon, töltsük le azokat, vagy állítsunk be automatikus letöltést a frissítésekhez.