Smishing er phishing sendt via SMS eller beskedapps. Afsenderen udgiver sig for at være et pakkefirma, en bank, en myndighed eller en kollega og lokker modtageren til at klikke på et link, indtaste oplysninger eller foretage en betaling. Ordet er en sammentrækning af SMS og phishing.
Sådan fungerer det
Angrebet følger samme opskrift som en svindelmail, men flyttes over på mobilen, hvor forsvaret er sværere. Beskeden skaber et lille pres – en frist, et gebyr, en leverance der går retur – og præsenterer én nem løsning: et link.
De tre varianter, danske virksomheder oftest ser, er:
- Pakkelevering. “Din pakke kunne ikke leveres, betal 19 kr. i toldgebyr her.” Beløbet er småt med vilje, så man ikke tænker sig om – men betalingssiden opsamler kortoplysningerne.
- Falsk login. En besked der efterligner en bank eller en offentlig løsning og beder om at bekræfte identitet på en side, der ligner den rigtige. Vigtigt: hverken banker eller myndigheder beder om login via et SMS-link.
- Chefsvindel. “Hej, det er Anne. Jeg sidder i møde – kan du nå at købe nogle gavekort inden fredag?” Ofte fra et ukendt nummer med en troværdig forklaring på hvorfor. Det er social engineering i reneste form.
Mobilen gør det nemmere for angriberen: skærmen viser sjældent hele adressen, der er ingen mus at holde over linket med, og beskeder læses ofte i farten.
Hvornår er det relevant for en SMV?
Smishing rammer typisk uden om jeres tekniske forsvar. Mailfilteret i Microsoft 365 ser aldrig beskeden, og det gør firewallen heller ikke – den kommer direkte ind på en telefon.
Det gør det relevant, så snart medarbejderne bruger mobilen til arbejde: læser firmamail, godkender MFA-anmodninger eller har adgang til Teams. Er telefonen først kompromitteret, eller er et kodeord udleveret, er vejen kort til selve mailkontoen og dermed til resten af huset.
Modtrækket er først og fremmest en aftalt spilleregel: ingen betaling, ingen køb og ingen udlevering af oplysninger på baggrund af en SMS – uanset hvem der står som afsender. Det skal bekræftes ved et opkald til et nummer, man selv finder frem. Den slags regler får man ind under huden med løbende phishingtræning.
Typiske faldgruber
“Det er jo bare en SMS.” Mange opfatter mobilen som privat og ufarlig. Men er firmamailen på telefonen, er telefonen en arbejdsplads.
At stole på afsendernavnet. Afsenderfeltet i en SMS kan forfalskes, så beskeden lander i den samme tråd som rigtige beskeder fra banken eller pakkefirmaet. At tråden ser bekendt ud, beviser ingenting.
Ingen indberetning. Medarbejdere sletter typisk bare beskeden. Så opdager I aldrig, at fem kolleger fik den samme i sidste uge. Bed om, at de sendes videre – et screenshot er nok.
At glemme MFA-trætheden. Får man pludselig godkendelsesanmodninger, man ikke selv har udløst, skal man afvise og sige til med det samme. Det er tegn på, at nogen allerede har kodeordet.
Relaterede begreber
Smishing hænger sammen med flere af de andre begreber i ordbogen:
Ofte stillede spørgsmål om smishing
Phishing kommer på mail, smishing kommer på SMS eller i en beskedapp, og vishing foregår over telefonen med en stemme. Formålet er det samme – at få dig til at udlevere noget – men kanalen bestemmer, hvilke tekniske filtre der overhovedet får beskeden at se.
Luk siden uden at indtaste noget, og skift kodeordet til den tjeneste, siden efterlignede – fra en anden enhed. Har du nået at udfylde kortoplysninger, så spær kortet i banken med det samme. Sig det til IT-ansvarlig, også hvis du er i tvivl. Hurtig besked er langt mere værd end en perfekt forklaring.
Kun delvist. Teleselskaberne filtrerer noget fra, og mobilen advarer om enkelte kendte sider, men beskederne kommer uden om jeres mailfilter. Den mest pålidelige beskyttelse er en fast regel om aldrig at handle på en SMS uden at bekræfte ad en anden vej.
Skal vi kigge på det sammen?
Har I en aftalt spilleregel for, hvad medarbejderne gør ved en mærkelig SMS – og ved alle den? Vi hjælper danske SMV’er med at få den slags på plads og træne den ind. Ingen salgstale, ingen binding.
Uforpligtende · Eller ring 70 26 48 50