Smishing (sms-svindel)

Sms har ingen afsendergodkendelse fra ende til ende, der svarer til mailens SPF, DKIM og DMARC. Trafik fra applikationer til personer kommer ind i mobilnettene via aggregatorer og sms-gateways, og afsenderfeltet kan være et telefonnummer eller et alfanumerisk afsender-id på op til 11 tegn, fx navnet på en bank eller et fragtfirma, som modtagerens telefon viser, præcis som det er angivet. Fordi telefoner grupperer beskeder efter afsender, kan et forfalsket afsender-id havne i samme samtaletråd som ægte beskeder fra organisationen, og det er en af angrebets mest overbevisende egenskaber. Nogle lande har registre til beskyttelse af afsender-id'er, hvor brands registrerer deres navne, og operatørerne blokerer uregistreret brug, men dækningen afhænger af den enkelte operatør og af trafik, der kommer ind via internationale ruter.

Leveringsinfrastrukturen varierer. Kriminelle lejer konti til masseudsendelse af sms, driver SIM-farme, der roterer mellem taletidskort, og i flere lande har politiet beslaglagt såkaldte SMS blasters: bærbare falske basestationer, der tvinger nærliggende telefoner over på 2G og sender beskeder direkte til dem, helt uden om operatørens filtrering. Over-the-top-kanaler som iMessage, RCS og WhatsApp bruges i stigende grad, fordi de er krypteret fra ende til ende og derfor usynlige for operatørernes sms-firewalls; store kinesisksprogede operationer med phishing-kits har siden mindst 2023 kørt sådanne kampagner med falske opkrævninger for vejafgift, pakker og skat.

Landingssiden er bygget til mobilen. Links bruger URL-forkortere, nyregistrerede lookalike-domæner eller gratis hosting, og kittene skjuler sig ved kun at vise phishing-siden til mobile user agents fra det land, der angribes, mens scannere og desktopbrowsere ser en harmløs side. Mobilbrowsere afkorter adresselinjen, så det fulde domæne sjældent er synligt. Nyttelasten er høst af loginoplysninger og kortdata, ofte med en operatør i realtid, der videresender engangskoder, eller malware: FluBot, der i 2021 spredtes via falske pakkebeskeder i hele Europa, narrede Android-brugere til at installere en app uden om app-butikken, som stjal bankoplysninger og sendte sig selv videre til offerets kontakter.

For organisationer er hovedproblemet, at angrebet kommer uden om mailsikkerheden. Modtrækkene er MDM med mobile threat defence og DNS- eller webfiltrering på arbejdstelefoner, phishing-resistent MFA, så høstede loginoplysninger og koder er værdiløse, klare interne regler om, at IT, HR og løn aldrig beder om login via sms, og en meldevej, der virker fra telefonen. Smishing er phishing defineret ved kanalen; målrettet smishing med modtagerens navn og rolle adskiller sig fra vishing især ved, at presset er skriftligt og asynkront frem for levende, og de to kombineres ofte, når en sms beder offeret ringe til et nummer, hvor en vishing-operatør tager over.