Що таке Смішинг

Смішинг — це фішинг через SMS. Слово поєднує SMS і phishing та описує будь-яке шахрайське повідомлення, що тисне на жертву, аби вона натиснула посилання, зателефонувала на номер, поділилася одноразовим кодом або встановила застосунок. Він працює, бо перед телефоном немає захисного поштового шлюзу, скорочувачі посилань ховають справжню адресу, а люди читають SMS за хвилини, часто відволікаючись і без клавіатури під рукою.

Масштаб уже промисловий. Федеральна торгова комісія США (FTC) повідомила про $470 мільйонів збитків від SMS-шахрайства у 2024 році проти $373 мільйонів роком раніше, а фальшиві сповіщення про доставку від імені Поштової служби США (USPS) стали найчастішим SMS-шахрайством у скаргах. Звіт ФБР Internet Crime Report за 2024 рік поставив фішинг і спуфінг на перше місце серед типів злочинів зі 193 407 скаргами, а лише смішинг про несплачений проїзд дав 59 271 скаргу за один рік.

За більшістю цього обсягу стоять організовані операції, а не поодинокі шахраї. Resecurity приписує значну частку китайському угрупованню Smishing Triad, яке здає в оренду готові набори для смішингу через Telegram і чергує приманки між USPS, платними дорогами та банками. Та сама техніка дістається й до компаній: кампанія 2022 року, відома як 0ktapus, використала SMS про скидання пароля Okta, щоб зламати понад 130 компаній, серед них Twilio і Cloudflare.

RansomLeak проводить імерсивні сценарні вправи замість записаних відео та статичних тестів. Вправа зі смішингу занурює учасника в реалістичний ланцюжок повідомлень (приманка з доставкою, фальшиве сповіщення про шахрайство, повідомлення про проїзд) і змушує ухвалити рішення на екрані у форматі телефона, де адресний рядок короткий, а тиск справжній. Кожен сценарій завершується миттєвим зворотним зв’язком, який називає пропущені ознаки та крок перевірки, що зупинив би справжню атаку.

Покриття охоплює всю поверхню мобільних пристроїв і месенджерів. Вправа з вішингу переносить той самий рефлекс на голосові дзвінки, вправа з фішингу зі зворотним дзвінком відпрацьовує зв’язку «спершу SMS, потім дзвінок», якою зловмисники обходять сканування посилань, вправа з квішингу (QR-фішингу) охоплює приманки у вигляді зображень, вправа зі шквалом push-запитів охоплює бомбардування запитами після перехопленого пароля, а вправа із соціальної інженерії у WhatsApp поширює навичку на чат-застосунки. Кожна вправа постачається як SCORM 1.2 і SCORM 2004, тож вона працює в Cornerstone, Workday Learning, Docebo чи будь-якій LMS, що відповідає стандартам, без інтеграційних робіт.

Програми формуються за ролями, а не розсилаються всьому персоналу підряд. Працівники першої лінії та польові команди отримують приманки з доставкою та проїздом, ІТ і служба підтримки — SMS про скидання MFA та відновлення облікового запису, фінанси — приводи про оплату постачальникам і зміну банківських реквізитів, а керівники — цільовий смішинг. У підсумку виникає рефлекс перевірки, який переноситься на SMS, голос, QR і чат, вимірюється часткою повідомлень і часом до повідомлення та оновлюється щомісяця слідом за технікою зловмисників, коли набори змінюють приманки.

Вправи формують рефлекс, а <a href="/uk/smishing-simulations/" class="text-sage-400 hover:underline">смішингові симуляції</a> його вимірюють. Контрольовані SMS-приманки надходять вашим працівникам із номера-відправника платформи, лише в робочі години кожного отримувача, з обробкою відписки командами STOP і REPORT, а кожному, хто натиснув, автоматично призначається урок, який відпрацьовує саме ту схему, на яку він піддався.