Smishing: phishing via sms. Herkennen, niet reageren en melden
Smishing is phishing via sms: een bericht dat lijkt te komen van een bekende partij, met een link naar een nepwebsite of een nummer om te bellen. Het doel is uw inloggegevens, een betaling of toegang tot uw telefoon. Hetzelfde gebeurt via WhatsApp en andere chatapps.
Zo verloopt smishing: van sms tot nepwebsite
Een sms wordt snel gelezen, vaak tussen andere dingen door, en op een telefoonscherm ziet u minder dan op een computer.
Een bekende afzender
Boven het bericht staat de naam van een pakketdienst, bank, overheidsinstantie of uw werkgever. Die naam is eenvoudig na te maken; soms komt het bericht zelfs tussen echte berichten van die partij te staan.
Een reden om snel te handelen
Een pakket dat niet bezorgd kan worden, een betaling die openstaat, een account dat wordt geblokkeerd, of een leidinggevende die ineens vanaf een nieuw nummer berichten stuurt.
Een link of een nummer
De link is verkort of lijkt op een bekend adres, en op een klein scherm ziet u het volledige adres slecht. Vraagt het bericht u te bellen, dan gaat de aanval verder als vishing.
De nepwebsite
Daar wordt u gevraagd in te loggen, een klein bedrag te betalen of een app te installeren. Gaat het om uw werkaccount, dan kan ook een code voor tweestapsverificatie worden gevraagd.
Zeven signalen dat een sms smishing kan zijn
Herkent u een of meer signalen, open dan niets en controleer het bericht via een andere weg.
- Een bericht dat u niet verwacht, ook als de naam van de afzender klopt
- Haast of een dreiging, zoals een blokkade, een boete of een pakket dat teruggaat
- Een verkorte link, of een adres dat net afwijkt van de echte website
- Een vraag om in te loggen, te betalen of gegevens te bevestigen
- Een vraag om een code door te sturen die u net per sms kreeg
- Een collega of leidinggevende die vanaf een onbekend nummer om hulp of een betaling vraagt
- Een verzoek om via een link een app te installeren
Wat u doet bij een verdachte sms: niet reageren, zelf controleren en melden
Bij wie u een verdachte sms meldt, staat in het phishingprotocol van uw organisatie, meestal bij de IT-helpdesk. Meld het direct bij de juiste persoon, ook als u twijfelt.
Klik niet en reageer niet
Open de link niet en stuur niets terug, ook niet om u af te melden. Een antwoord laat de afzender weten dat uw nummer in gebruik is.
Controleer het via een bekende weg
Open zelf de app of website van de partij, of bel een nummer dat u al kent. Klopt het bericht, dan ziet u het daar ook.
Meld het direct bij de IT-helpdesk
Maak een schermafbeelding en meld het bericht volgens het phishingprotocol, zeker als het over uw werk of een collega gaat. Zo kan IT anderen waarschuwen.
Na een klik of invullen: meld het meteen
Vertel de IT-helpdesk wat u heeft ingevuld of geïnstalleerd. Dan kan IT uw wachtwoord laten wijzigen of uw account blokkeren voordat iemand het misbruikt. Hoe sneller u meldt, hoe kleiner de schade.
Bankgegevens ingevuld: neem contact op met uw bank
Betaalde u via de link, bel dan meteen uw bank, via een nummer dat u zelf opzoekt.
Smishing simulatie: zo testen wij sms-phishing bij uw medewerkers
Krijgen uw medewerkers werkberichten op hun telefoon, of gebruiken zij die voor tweestapsverificatie? Dan wilt u weten hoe zij op een verdachte sms reageren. In een smishing simulatie krijgen zij een sms die lijkt op wat aanvallers sturen, met een link naar een pagina die bij het scenario hoort. De smishing simulatie bestelt u los als advanced-scenario, na een gratis intake.
Het scenario kan zo ver gaan als u wilt. Wij leggen het altijd vooraf met u vast, met uw schriftelijke akkoord: wie meedoet, wat het bericht vraagt en waar de grens ligt. Welke gegevens wij daarvoor van u krijgen, staat in de verwerkersovereenkomst.
Combineert u smishing met een phishingtest per mail, dan ziet u of uw medewerkers een aanval via beide kanalen herkennen. Wie meldt of navraag doet, houdt uw organisatie bij.
- Los te bestellen als advanced-scenario, na een intake
- Een sms-scenario op maat, vooraf vastgelegd met uw schriftelijke akkoord
- Te combineren met een phishingtest per mail
- Een eigen rapport over het smishing-scenario
Andere vormen van phishing, en hoe uw medewerkers ze leren herkennen
Vishing
Phishing via de telefoon: iemand belt als helpdesk, bank of collega en vraagt om een code, een betaling of toegang tot uw computer.
Wat is vishingQuishing
Phishing met een QR-code die u met uw telefoon scant. De code verbergt het adres van de nepwebsite.
Wat is quishingPhishing training
Een training op maat door onze eigen trainers. In de training kunnen ook sms en andere kanalen aan bod komen.
Meer over phishing trainingPhishingtest per mail
Een realistische phishingmail die past bij uw organisatie. BSM doet het werk, van scenario tot eindrapport.
Phishingtest laten uitvoerenVragen over smishing
Wat betekent smishing?
Het woord is een samentrekking van sms en phishing. Het is dezelfde vorm van oplichting als een phishingmail, via een sms-bericht.
Een collega stuurt een bericht vanaf een nieuw nummer. Wat doe ik?
Neem contact op met die collega via het nummer of kanaal dat u al kende, voordat u iets doet. Vraagt het bericht om een betaling of een code, meld het dan bij uw IT-helpdesk.
Ik heb alleen op de link geklikt. Moet ik dat melden?
Ja. Ook als u niets heeft ingevuld, kan de IT-helpdesk nagaan of er iets moet gebeuren. Uw melding helpt bovendien om collega’s te waarschuwen.
Moeten medewerkers vooraf weten dat er getest wordt?
Meestal adviseren wij een vooraankondiging, omdat die al een leermoment is. Bij een advanced-scenario bepaalt u samen met ons wie ervan weet.
Smishing testen bij uw medewerkers: neem contact op voor de mogelijkheden
In de gratis intake bespreken wij welke medewerkers meedoen en hoe ver het scenario mag gaan. U ontvangt daarna een offerte op maat. U kunt ons ook bellen: +31 (0)20 820 36 93.