smishing

Smishing to phishing prowadzony wiadomościami SMS, zwykle z linkiem do fałszywej bramki płatności, strony kurierskiej lub bankowej. Polskie prawo definiuje go jako wysłanie SMS-a, w którym nadawca podszywa się pod inny podmiot, aby nakłonić odbiorcę do określonego zachowania, w szczególności przekazania danych osobowych, niekorzystnego rozporządzenia mieniem, otwarcia strony internetowej, zainicjowania połączenia głosowego albo instalacji oprogramowania ^[1]. CISA opisuje smishing jako formę socjotechniki wykorzystującą wiadomości tekstowe ^[5]. Ustawowa definicja nie wymaga linku, więc smishingiem jest też SMS z samą prośbą o telefon lub przelew ^[3].

Jak działa

Wiadomość jest krótka i wywołuje pośpiech. CERT Polska wskazuje, że zawiera zwykle pilne wezwanie do działania, na przykład w sprawie nieautoryzowanej transakcji, wygranej albo problemu z paczką ^[4]. Link prowadzi do strony, która udaje przewoźnika, bank lub operatora płatności i prosi o dane karty, login do bankowości albo o niewielką „dopłatę”. W innych wariantach SMS nakłania do instalacji aplikacji, co może skończyć się trojanem bankowym albo nakładką na aplikację bankową.

RYS. 1Smishing z dopłatą do paczki

Na końcu łańcucha zwykle stoi fałszywa bramka płatności albo fałszywa strona logowania. Nadawcą bywa numer zwykły albo nadpis alfanumeryczny imitujący nazwę firmy, czyli podszywanie się (spoofing); ustawa zobowiązała operatorów do blokowania SMS-ów z nadpisami podanymi przez integratorów spoza listy UKE oraz z nadpisami zastrzeżonymi dla podmiotów publicznych ^[2].

Regulacja w Polsce

Ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej zakazuje smishingu jako jednego z nadużyć ^[1]. CERT Polska informował, że ustawę ogłoszono 25 sierpnia 2023 roku ^[2]. Weszła w życie po 30 dniach od ogłoszenia, z wyjątkami dla części przepisów ^[1]. CSIRT NASK miał 3 miesiące na uruchomienie systemu udostępniającego wykazy, a operatorzy kolejne 3 miesiące na przyłączenie się do niego ^[2]. Najważniejsze mechanizmy:

Zgłoszenia trafiają na numer opisany w haśle zgłoszenie podejrzanego SMS-a na numer 8080 / zgłoszenie incydentu (incydent.cert.pl). CERT Polska publikuje wzorce jako wyrażenia regularne; operator pobiera wzorzec automatycznie w ciągu 5 minut od publikacji i ma obowiązek blokować pasujące wiadomości ^[3]. Prowadzony jest też wykaz nadpisów SMS zastrzeżonych dla podmiotów publicznych: wiadomości z takim nadpisem od innego nadawcy są blokowane ^[3]. Całość opisuje hasło ustawa o zwalczaniu nadużyć w komunikacji elektronicznej.

W WordPressie

Smishing nie atakuje strony WordPress bezpośrednio, ale dotyka jej na dwa sposoby. Pierwszy to hosting celu. Link z SMS-a musi prowadzić do jakiejś strony, a CERT Polska analizuje linki zgłaszane na 8080 i szkodliwe domeny wpisuje na Listę Ostrzeżeń ^[3]. Jeżeli fałszywą bramkę umieszczono na przejętej witrynie, jej domena może zostać zablokowana u operatorów; właściciel domeny może wtedy wnieść sprzeciw do Prezesa UKE ^[1]. Sprzeciw ma sens dopiero po usunięciu złośliwych plików, zob. czyszczenie przejętej strony.

Drugi sposób dotyczy logowania, gdy drugim składnikiem przy wejściu do panelu jest kod SMS. NIST oznacza użycie sieci telefonicznej do weryfikacji poza kanałem jako ograniczone i zaleca przed jej użyciem uwzględniać sygnały ryzyka, takie jak wymiana karty SIM czy przeniesienie numeru ^[6]. Kod z SMS-a wpisywany ręcznie nie jest też odporny na phishing ^[6], więc smishing może wyłudzić go razem z hasłem. Dla kont administratorów lepsze są passkey i klucze FIDO2 / WebAuthn; zob. wyłudzenie duplikatu karty SIM.

Skala zjawiska

Przed ustawą CERT Polska przyjmował SMS-y na zwykły numer telefonu, uruchomiony 24 kwietnia 2021 roku w związku z rozsyłanym przez SMS złośliwym oprogramowaniem Flubot ^[7]. Do końca 2021 roku trafiły na niego 23 308 zgłoszeń z adresem URL, a dzięki nim zablokowano 3588 złośliwych domen, czyli 10,6% wszystkich blokad z tego roku ^[7]. We wrześniu 2023 roku zespół podawał, że od początku roku przyjął prawie 50 tys. zgłoszeń wiadomości prowadzących do oszustwa ^[2]. Ta sama publikacja podawała, że Lista Ostrzeżeń od uruchomienia w marcu 2020 roku zablokowała 47 mln prób wejścia na ponad 54 tys. złośliwych domen ^[2].

W 2024 roku zgłoszeń SMS było 354 566, o 60% więcej niż rok wcześniej, a za złośliwe uznano 140 659 wiadomości ^[3]. CERT Polska wytworzył w tym roku 746 wzorców, co przełożyło się na 1 475 366 niedostarczonych SMS-ów ^[3]. Blokada wzorców działa od kwietnia 2024 roku; w porównaniu okresów od drugiego kwartału do listopada udział smishingu w zgłoszeniach spadł z 51% w 2023 roku do 36% w 2024 roku ^[3]. W drugiej połowie 2024 roku jedna zgłoszona wiadomość przekładała się średnio na 31 zablokowanych ^[3]. Raport zastrzega, że mniejsza liczba fałszywych SMS-ów najpewniej przesuwa oszustwa na inne platformy komunikacji ^[3].

Jak się bronić

• Nie otwierać linków z nieoczekiwanych SMS-ów o dopłatach, blokadach i wygranych; sprawdzić sprawę w aplikacji lub na znanej stronie nadawcy.
• Nigdy nie podawać haseł, PIN-ów ani danych kart przez SMS, e-mail lub telefon ^[4].
• Podejrzaną wiadomość przekazać na numer 8080 albo zgłosić przez incydent.cert.pl ^[4].
• Nie instalować aplikacji z linków w SMS-ach, zob. sideloading.
• Włączyć uwierzytelnianie wieloskładnikowe odporne na phishing tam, gdzie to możliwe ^[6].