Smishing is een phishing-cyberaanval die via mobiele sms-berichten wordt uitgevoerd, ook wel SMS-phishing genoemd. Vandaar: Sm-ishing.

Als variant van phishing worden slachtoffers misleid om gevoelige informatie te geven aan een vermomde aanvaller. SMS-phishing kan worden ondersteund door malware of frauduleuze websites. Het komt voor op veel platformen voor mobiele berichten, ook op niet-sms-kanalen zoals datagebaseerde berichtenapps. Onze gewone mobiele provider is vatbaar voor deze aanvallen, want het is moeilijk om dit soort berichten tegen te houden. Waakzaamheid is cruciaal.

Wat is smishing?

Zoals de definitie van smishing al doet vermoeden, combineert de term SMS (short message service, beter bekend als sms'en) en phishing. Smishing lijkt op een vorm van social engineering. Het probeert het vertrouwen van mensen te misbruiken. Het is echter niet erg technisch.

Smishing wordt geclassificeerd als een social-engineering-aanval die steunt op het misbruiken van menselijk vertrouwen in plaats van op technische exploits. De boosdoeners proberen je in de val te lokken om persoonlijke gegevens te stelen, zodat ze jouw gegevens en bankdetails kunnen gebruiken om fraude te plegen. Meestal gaat het gewoon om het stelen van geld of het geld van je bedrijf.

Cybercriminelen gebruiken vaak een van deze twee methoden om gegevens te stelen:

Malware: de smishing-URL verleidt je tot het downloaden van malware (schadelijke software) die zich op je telefoon installeert. Ze doet zich voor als een legitieme app en verleidt je tot het invullen van vertrouwelijke informatie, die vervolgens naar de cybercriminelen wordt gestuurd.
Schadelijke website: de link in het smishing-bericht leidt naar een nepsite die je vraagt gevoelige persoonlijke informatie in te typen. Cybercriminelen gebruiken op maat gemaakte schadelijke sites die betrouwbare sites nabootsen, waardoor het makkelijker wordt om je informatie te stelen.

Smishing-berichten doen vaak alsof ze van je bank, ITSME of de overheid komen en vragen je om persoonlijke of financiële informatie, zoals je accountnaam. Helaas staat het verstrekken van die informatie gelijk aan het overhandigen van de sleutels van je banktegoed aan dieven.

Omdat steeds meer mensen hun persoonlijke smartphone voor het werk gebruiken (een trend die BYOD, of “bring your own device”, wordt genoemd), wordt smishing zowel een bedreiging voor bedrijven als voor consumenten. Het mag dan ook niet verbazen dat smishing is uitgegroeid tot de belangrijkste vorm van schadelijke tekstberichten.

Soorten smishing-aanvallen:

COVID-19-aanvallen
Financiële diensten (je krijgt geld terug, ITSME, snelheidsboetes)
Cadeau
Factuur-/betalingsaanvallen

Hoe smishing voorkomen

Je kunt jezelf behoorlijk goed beschermen door… helemaal niets te doen. In essentie kunnen de aanvallen alleen schade aanrichten als je toehapt.

Houd er rekening mee dat sms een legitiem middel is waarmee veel winkeliers en instellingen je kunnen bereiken. Niet alle berichten moeten genegeerd worden, maar handel hoe dan ook veilig.

Er zijn een paar zaken om in gedachten te houden die je helpen jezelf tegen deze aanvallen te beschermen.

Reageer niet. Zelfs aansporingen om te antwoorden, zoals “STOP” sturen om je uit te schrijven, kunnen een truc zijn om actieve telefoonnummers te identificeren. Aanvallers rekenen op je nieuwsgierigheid of bezorgdheid over de situatie, maar je kunt weigeren erop in te gaan.
Neem de tijd als een bericht dringend is. Benader kritieke accountupdates en tijdelijke aanbiedingen het best als waarschuwingssignalen voor mogelijke smishing. Blijf sceptisch en ga voorzichtig te werk.
Bel rechtstreeks je bank of handelaar bij twijfel. Legitieme instellingen vragen geen accountupdates of inloggegevens via sms. Dringende meldingen kun je bovendien rechtstreeks controleren via je online accounts of via een officiële telefonische hulplijn.
Vermijd het gebruik van links of contactgegevens in berichten waar je je ongemakkelijk bij voelt. Ga in plaats daarvan rechtstreeks naar officiële contactkanalen wanneer dat kan.
Controleer het telefoonnummer. Vreemd ogende telefoonnummers, zoals nummers van 4 cijfers, kunnen wijzen op e-mail-naar-sms-diensten. Dit is een van de vele tactieken die een oplichter kan gebruiken om zijn echte telefoonnummer te verbergen.
Kies ervoor om nooit creditcardnummers op je telefoon te bewaren. De beste manier om te voorkomen dat financiële informatie uit een digitale portemonnee wordt gestolen, is door ze er nooit in te zetten.
Gebruik multifactorauthenticatie (MFA). Een uitgelekt wachtwoord kan voor een smishing-aanvaller nog steeds nutteloos zijn als het gehackte account een tweede “sleutel” ter verificatie vereist. De meest voorkomende variant van MFA is tweefactorauthenticatie (2FA), die vaak een verificatiecode per sms gebruikt. Er bestaan robuustere varianten, zoals het gebruik van een aparte app voor verificatie (zoals Google Authenticator).
Geef nooit een wachtwoord of accountherstelcode via sms. Zowel wachtwoorden als 2FA-herstelcodes per sms kunnen in verkeerde handen je account compromitteren. Geef deze informatie aan niemand en gebruik ze alleen op officiële sites.
Meld alle SMS-phishingpogingen aan je securityteam.