Hackers proberen niet alleen via e-mail uw gegevens te stelen: sms-phishing, of smishing, is een steeds vaker voorkomende techniek.

U weet waarschijnlijk al wat phishing is, een techniek van hackers om de internetgebruiker per e-mail te misleiden door zich voor te doen als een betrouwbare persoon. Het doel van phishing is om het slachtoffer zo ver te krijgen dat hij of zij persoonlijke gegevens of bankgegevens deelt die dan frauduleus gebruikt worden.

Hackers die phishing plegen, zijn tegenwoordig niet alleen via e-mail actief. Ze proberen hun slachtoffers ook te misleiden via andere kanalen zoals sms. Wat is sms-phishing of smishing? Hoe werkt het? Hoe beschermt u zich tegen sms-phishing? We geven u enkele tips.

Wat is sms-phishing?

Definitie en doelen van sms-phishing

Soms wordt de term “smishing” gebruikt, een samentrekking van “sms” en “phishing” om te verwijzen naar sms-phishing. Het gaat gewoon om een variant van phishing per e-mail.

Via welk kanaal het ook loopt, per e-mail of via sms, het doel blijft hetzelfde: het slachtoffer aansporen om op een link te klikken en vertrouwelijke informatie te geven (bijvoorbeeld uw inloggegevens, bankgegevens, …). De hacker wil deze informatie op een kwaadaardige manier gebruiken (misbruik van identiteit, diefstal van geld, enz.).

Het uiteindelijke doel van sms-phishing is dus de diefstal van vertrouwelijke gegevens.

Sommige berichten sporen het slachtoffer aan om op een link te klikken of om een besmette bijlage te openen. De hackers hopen dat het slachtoffer een kwaadaardige software downloadt die de controle over het toestel overneemt. De hackers krijgen zo toegang tot de accounts en de gegevens van het slachtoffer.

Gouden tijdperk voor sms-phishing

Internetgebruikers besteden steeds meer tijd op hun smartphone. Merken gebruiken steeds vaker sms’en als kanaal voor marketingdoeleinden en heel wat overheidsinstellingen communiceren via sms met burgers. Hackers hebben hun focus dus verlegd naar smishing.

Omdat er steeds meer sms-phishinggevallen zijn, voorzien sommige bedrijven technische oplossingen die de verbindingen met kwaadaardige websites via een smartphone blokkeren. Particulieren beschikken meestal niet over dergelijke oplossingen en zijn in het algemeen minder waakzaam via sms.

Wanneer we een sms met daarin een link ontvangen, is het niet mogelijk om over de link te omzeilen om te controleren of de website een goedaardige bestemming is. Bovendien verstoppen hackers vaak frauduleuze links achter verkorte URL’s.

Voorbeelden van sms-phishing

Dit zijn drie vaak voorkomende voorbeelden van smishing:

1. “Er werd een verdachte inlogpoging gedaan via uw account. Klik op deze link om de activiteit van uw account te controleren…”
2. “Wij hebben geprobeerd om uw pakket 00065492849 te leveren, maar de frankeerkosten zijn nog niet betaald. Volg hier de instructies…”
3. “Na een analyse van uw ziekteverzekeringsdossier, heeft u recht op een terugbetaling van 235 € 30. Vul het terugbetalingsformulier in door op deze link te klikken…”

Hoe werkt sms-phishing?

Het verloop van een poging tot smishing

De modus operandi van pogingen tot sms-phishing is meestal dezelfde. Het slachtoffer ontvangt een verdachte sms die afkomstig lijkt van een betrouwbare persoon of van een bekende instelling (zorginstelling, belastingdienst, bank, koeriersbedrijf, enz.).

Het bericht moet de nieuwsgierigheid van het slachtoffer prikkelen en hem/haar aansporen op een link te klikken. De link leidt echter naar een frauduleuze website die vaak lijkt op een officiële website. Wanneer het slachtoffer op de website belandt, wordt hij/zij uitgenodigd om persoonlijke gegevens en/of bankgegevens achter te laten (inloggegevens, bankkaartgegevens, enz.).

Door op de link te klikken of door een frauduleuze bijlage te downloaden, kan het slachtoffer ook malware of kwaadaardige software downloaden. Eens de malware op de telefoon gedownload is, kan deze kwaadaardige software persoonlijke gegevens stelen. Denk maar aan wachtwoorden of contactenlijsten.

Net zoals phishing is oplichting via sms een aanvalsmethode die hackers gebruiken om steeds verder te gaan. Na de diefstal van de informatie, kunnen ze meer gerichte aanvallen inzetten:

• De controle over een account overnemen om binnen te dringen in een IT-systeem
• Bankfraude
• Misbruik van identiteit

De technieken die hackers gebruiken

Vertrouwen: De verschillende manieren waarop hackers fraude plegen via sms en pogingen tot smishing ondernemen, zijn bekend. Ze baseren zich op de reflex van de mens om anderen te vertrouwen. Hackers bootsen de identiteit van instellingen of bekende bedrijven (Microsoft, Netflix, DHL, Google, enz.) na om dat vertrouwen verder te winnen en het slachtoffer te laten meewerken.

Urgentie, angst, nieuwsgierigheid: Hackers spelen ook in op de urgentie (bijvoorbeeld: “U heeft 48 uren om deze overschrijving te bevestigen”), de angst (“zonder actie langs uw kant, zal uw account verwijderd worden”) of de nieuwsgierigheid. Dit zijn psychologische manipulatietechnieken waarnaar ook wel wordt verwezen met de uitdrukking “social engineering”.

De lokroep van het geld: phishing-sms’en vermelden vaak een terugbetaling, een som, een mogelijke overschrijving of een mogelijke winst, enz. De mens is nieuwsgierig van aard en met dit soort argumenten is het soms zeer moeilijk om niet te klikken.

Vanuit een meer technisch standpunt, is phishing (per e-mail of via sms) gebaseerd op het gebruik van besmette bijlagen of frauduleuze links die naar kwaadaardige websites leiden. Deze websites zijn zo ontworpen dat ze sterk lijken op de officiële websites. Toch zijn er een aantal factoren die het slachtoffer kunnen wijzen op het feit dat het om een frauduleuze website gaat: een letter die verandert in de URL van de website, of de extensie van de website die niet correct is (bijvoorbeeld “.com” in plaats van “.org”).

Hoe reageert u best op sms-phishing?

De belangrijkste tips om zich te beschermen tegen sms-phishing

Wees waakzaam wanneer u vermoedt dat het om smishing gaat.

1. Wanneer u een twijfelachtige sms ontvangt, panikeer dan niet, zelfs wanneer het bericht een dreigende toon heeft. Vraag u af of de informatie correct en samenhangend is. Ontvangt u een sms die de levering van een pakket aankondigt, maar heeft u niets besteld? Ontvangt u een bericht over een bankoverschrijving, maar verwacht u geen enkele betaling? Ontvangt u een sms van zogezegd een kennis die om financiële hulp vraagt? Dan moet er een belletje gaan rinkelen.
   Contacteer de bewuste instelling via een ander communicatiekanaal (bijvoorbeeld via telefoon) om de echtheid van de informatie te controleren.
2. Bij twijfel, klikt u het best op geen enkele link en opent u geen bijlagen.
3. Indien u toch op een link heeft geklikt en u wordt doorverwezen naar een website die er verdacht uitziet, vul dan geen enkel veld in. Zo vermijdt u dat u persoonlijke en vertrouwelijke gegevens of bankgegevens deelt.
4. Maak melding van de frauduleuze sms door een screenshot te sturen naar het e-mailadres suspect@safeonweb.be. Uw melding wordt automatisch verwerkt.

Wat doet u wanneer u het slachtoffer bent van sms-phishing?

Bent u het slachtoffer van sms-phishing en heeft u gevoelige informatie gedeeld? Volg dan deze tips.

– Indien u bankgegevens heeft gedeeld, verwittig dan zo snel mogelijk uw bank en laat uw toegangscodes blokkeren. Indien u een frauduleuze betaling heeft uitgevoerd, dien dan klacht in.

– Indien u inloggegevens heeft gedeeld (bijvoorbeeld van uw berichtendienst), verander dan het wachtwoord van het betrokken account. In sommige gevallen zult u uw account moeten herstellen (via een hulppagina). Indien u hetzelfde wachtwoord ook gebruikt voor andere accounts, verander het wachtwoord dan ook waar nodig en kies voortaan een verschillend wachtwoord voor ieder account.

Indien u een kwaadaardige software heeft gedownload op uw smartphone, dan moet u die verwijderen. Online vindt u heel wat instructies die u kunnen helpen.

Onze ondersteuning kan u helpen in het geval van sms-phishing: aarzel niet om onze productpagina Safe & Connected te bezoeken!

Artikel geschreven in samenwerking met We are the Words.

Ontdek ook onze andere artikels over IT-bijstand door hier te klikken.