Smishing și vishing: fraudele prin SMS și apel telefonic

Smishingul este o înșelătorie care folosește mesaje text (SMS) pentru a te determina să apeși pe un link periculos sau să trimiți date. Vishingul este varianta prin apel telefonic, în care o persoană sau un robot automat se prezintă drept angajat al unei bănci, al unui curier sau al unei autorități. Amândouă fac parte din familia phishingului, doar că folosesc telefonul în loc de e-mail.

Telefonul este un canal convingător, pentru că oamenii au încredere în numărul lor și citesc aproape orice mesaj primit. Mai jos vezi cum arată cele mai frecvente scenarii, ce au în comun și ce reguli simple te scot din capcană chiar în momentul în care sunt aplicate.

Cum arată un mesaj de smishing?

Un mesaj de smishing este scurt, urgent și conține un link sau un număr de apelat. Scopul este să ajungi pe o pagină falsă unde tastezi date sau să instalezi o aplicație dăunătoare.

Cele mai întâlnite teme sunt:

• Colet blocat: „Coletul tău nu poate fi livrat, confirmă adresa și plătește o taxă mică.”
• Cont blocat: „Contul tău bancar a fost suspendat, verifică acum.”
• Plată sau rambursare: „Ai de primit o sumă, completează datele cardului.”
• Amendă sau datorie: mesaje care imită instituții publice.
• Prieten sau rudă în dificultate: „Mi-am schimbat numărul, poți să-mi trimiți bani?”

Linkul din mesaj duce de obicei spre o adresă care seamănă cu a firmei reale, dar are litere schimbate sau terminații neobișnuite. Despre cum se construiesc astfel de pagini și cum le recunoști vezi articolul despre phishing. Verifică și lacătul din browser, dar ține minte că un site fals poate avea și el lacăt, după cum explică articolul despre HTTPS.

Cum funcționează un apel de vishing?

Într-un apel de vishing, interlocutorul creează o stare de alarmă și te ține pe linie până când faci ce îți cere. De multe ori știe câteva date reale despre tine, luate din scurgeri de date sau din surse publice, ceea ce îl face credibil.

Un scenariu tipic: cineva se prezintă ca „departamentul de securitate al băncii” și îți spune că cineva încearcă să îți golească contul. Ți se cere să muți banii „într-un cont sigur”, să instalezi o aplicație de asistență la distanță sau să spui codul primit prin SMS. Niciuna dintre aceste cerințe nu vine de la o bancă adevărată.

Alte trucuri frecvente:

1. Numărul falsificat: ecranul poate afișa numărul real al unei instituții, pentru că identificatorul apelantului se poate falsifica.
2. Presiunea de timp: „trebuie să acționăm în 5 minute”.
3. Cerința de secret: „nu spune nimănui, nici angajaților băncii”.
4. Transferul între „colegi”: apelul pare să fie preluat de un „superior” ca să crească încrederea.

Atenție: Nicio bancă și nicio autoritate nu îți cere codul primit prin SMS, parola sau codul PIN. Dacă ți se cere, este o încercare de fraudă, indiferent cât de bine sună persoana.

Ce au în comun toate aceste înșelătorii?

Au în comun urgența, frica sau câștigul ușor și un pas pe care trebuie să-l faci imediat. Aceste ingrediente sunt aceleași ca în orice tehnică de inginerie socială: atacatorul nu sparge un sistem, ci te grăbește până nu mai gândești.

Codurile primite prin SMS sunt ținta preferată pentru că deblochează plăți și conturi. Poți reduce riscul folosind metode mai solide de verificare, descrise în articolul despre autentificarea în doi pași și în cel despre passkey-uri, care nu pot fi cerute prin telefon.

Ce faci în momentul în care primești mesajul sau apelul?

Nu răspunzi pe loc, ci verifici pe un canal pe care îl alegi tu. Închide apelul sau ignoră mesajul, apoi deschide aplicația oficială a băncii sau a curierului sau sună la numărul de pe cardul bancar ori de pe site-ul oficial.

Pași practici:

• Nu apăsa pe linkul din mesaj, chiar dacă pare corect.
• Nu da coduri, parole sau PIN, nici „pentru verificare”.
• Nu instala aplicații la cererea unui apelant, mai ales cele de control la distanță.
• Nu muta bani „într-un cont sigur”; un asemenea cont nu există.
• Dacă ai închis, așteaptă puțin și sună tu, ca să nu rămâi pe aceeași linie cu atacatorul.
• Vorbește cu o persoană apropiată când ceva te grăbește; o a doua părere rupe vraja urgenței.

Pentru mesajele care par să vină de la un prieten, sună persoana pe vechiul număr și întreab-o direct. Un cunoscut real nu se supără că verifici.

Ce faci dacă ai răspuns deja?

Dacă ai dat date sau ai apăsat pe un link, acționează imediat, nu aștepta să vezi ce se întâmplă. Fiecare minut contează, mai ales când sunt implicați bani.

1. Contactează banca prin numărul oficial și cere blocarea cardului sau a conturilor afectate.
2. Schimbă parolele conturilor la care ai dat acces, începând cu e-mailul, folosind alt dispozitiv dacă ai instalat vreo aplicație.
3. Dezinstalează aplicația pe care ai pus-o la cererea cuiva și rulează o scanare; vezi ce poate face un antivirus în astfel de cazuri.
4. Păstrează dovezile: capturi de ecran, numere, mesaje, ore.
5. Anunță autoritățile, depunând o sesizare cu dovezile adunate.

Nu te rușina: astfel de înșelătorii păcălesc oameni de toate vârstele și profesiile, tocmai pentru că sunt făcute să funcționeze sub presiune. Pentru o privire de ansamblu a protecției, citește articolul principal despre securitate.