Smishing, portmanteau "SMS" dan "phishing," ialah satu bentuk jenayah siber yang melibatkan percubaan penipuan untuk memperdaya individu supaya membocorkan maklumat sensitif atau melakukan tindakan tertentu melalui mesej teks (SMS) atau platform pemesejan lain. Sama seperti serangan pancingan data yang menyasarkan pengguna e-mel terutamanya, menjejaskan pergantungan yang semakin meningkat pada peranti mudah alih dan apl pemesejan, mengeksploitasi kepercayaan pengguna yang tidak curiga untuk melakukan penipuan, mencuri data peribadi atau mengedarkan perisian hasad.
Sejarah asal usul Smishing dan sebutan pertamanya
Konsep smishing boleh dikesan kembali pada awal tahun 2000-an apabila penggunaan telefon mudah alih menjadi meluas dan orang ramai mula menggunakan mesej teks sebagai cara komunikasi biasa. Istilah "smishing" itu sendiri menjadi terkenal pada pertengahan 2000-an apabila penjenayah siber mula mengeksploitasi mesej SMS sebagai jalan untuk serangan pancingan data. Sebutan penting pertama mengenai smishing bermula pada sekitar tahun 2005, ketika pakar keselamatan dan media mula melaporkan insiden mesej teks menipu yang bertujuan untuk memperdaya individu dan mendapatkan akses tanpa kebenaran kepada maklumat peribadi mereka.
Maklumat terperinci tentang Smishing: Meluaskan topik Smishing
Smishing beroperasi pada prinsip yang sama seperti serangan pancingan data tradisional, tetapi ia menggunakan kemudahan dan populariti pemesejan teks untuk menghantar jaringan yang lebih luas dan menyasarkan julat yang lebih luas daripada bakal mangsa. Penyerang menggunakan pelbagai taktik kejuruteraan sosial untuk memanipulasi penerima supaya mengambil tindakan tertentu, seperti mengklik pada pautan berniat jahat, memuat turun fail yang dijangkiti atau memberikan maklumat sensitif seperti kata laluan, butiran kad kredit atau nombor keselamatan sosial.
Dalam serangan smishing biasa, penjenayah siber menghantar sejumlah besar mesej teks yang nampaknya daripada sumber yang sah, seperti bank, agensi kerajaan atau syarikat terkenal. Mesej ini selalunya termasuk kandungan yang mendesak atau membimbangkan, memaksa penerima untuk bertindak dengan cepat dan tanpa penelitian yang sewajarnya. Untuk menjadikan mesej kelihatan lebih sahih, pengirim smisher mungkin juga memalsukan nombor telefon pengirim agar sepadan dengan nombor sebuah organisasi yang bereputasi.
Struktur dalaman Smishing: Bagaimana Smishing berfungsi
Kejayaan serangan smishing bergantung pada mengeksploitasi psikologi manusia dan kelemahan dan bukannya kelemahan teknikal dalam sistem atau peranti. Struktur dalaman serangan smishing melibatkan beberapa elemen utama:
-
Kandungan Mesej: Kandungan mesej smishing dibuat dengan teliti untuk menimbulkan kecemasan, ketakutan atau rasa ingin tahu. Mesej ini sering mendakwa bahawa akaun penerima telah terjejas, transaksi telah berlaku atau beberapa tindakan kritikal diperlukan segera untuk mengelakkan akibat yang teruk.
-
Maklumat Pengirim Palsu: Untuk memperdaya penerima, mesej smishing mungkin kelihatan datang daripada sumber yang sah, seperti bank terkenal, agensi kerajaan atau perkhidmatan dalam talian yang popular. Ini dicapai melalui teknik spoofing yang memanipulasi nombor telefon pengirim agar sepadan dengan nombor telefon organisasi yang bereputasi.
-
Pautan atau Lampiran Hasad: Mesej smishing mungkin mengandungi pautan ke tapak web palsu yang meniru laman web yang sah. Apabila penerima mengklik pada pautan ini, mereka diarahkan ke halaman web penipuan yang direka untuk mengumpul maklumat sensitif atau mengedarkan perisian hasad. Sebagai alternatif, smisher mungkin termasuk lampiran berniat jahat yang, setelah dimuat turun, menjejaskan peranti penerima.
-
Kejuruteraan sosial: Smishers menggunakan teknik kejuruteraan sosial untuk menanamkan rasa mendesak dan panik dalam diri penerima, mendorong mereka untuk mengambil tindakan segera tanpa pemikiran kritis. Taktik biasa termasuk amaran penutupan akaun, tindakan undang-undang yang akan berlaku atau peluang untuk ganjaran yang lumayan.
Analisis ciri utama Smishing
Ciri-ciri utama smishing boleh diringkaskan seperti berikut:
-
Kedekatan: Mesej smishing sering menuntut tindakan segera, menekan penerima untuk bertindak sebelum mereka mempunyai peluang untuk berfikir secara rasional.
-
Menarik Emosi: Smishers bergantung pada pencetus emosi, seperti ketakutan, rasa ingin tahu, atau keseronokan, untuk memanipulasi penerima supaya mengambil tindakan yang diingini.
-
Kepercayaan yang wujud dalam SMS: Ramai orang sememangnya mempercayai mesej SMS, dengan mengandaikan ia datang daripada sumber yang sah, yang menjadikan mereka lebih mudah terdedah kepada serangan hebat.
-
Penggunaan Pemendek URL: Smishers kerap menggunakan pemendek URL untuk menyembunyikan destinasi sebenar pautan, menjadikannya lebih sukar bagi penerima untuk membezakan sama ada pautan itu selamat.
Jenis-jenis Smishing
Serangan smishing boleh mengambil pelbagai bentuk, masing-masing mempunyai objektif dan teknik tersendiri. Berikut adalah beberapa jenis smishing biasa:
| Jenis Smishing | Penerangan |
|---|---|
| Kompromi Akaun Smishing | Menyamar sebagai penyedia perkhidmatan yang sah, mendakwa akaun penerima telah dikompromi dan menggesa mereka untuk menetapkan semula bukti kelayakan mereka melalui pautan berniat jahat. |
| Memenangi Hadiah Smishing | Memaklumkan penerima bahawa mereka telah memenangi peraduan atau hadiah dan mengarahkan mereka untuk menuntutnya dengan memberikan butiran peribadi atau membayar yuran. |
| Penipuan Kewangan Smishing | Menyamar sebagai bank atau institusi kewangan, memberi amaran kepada penerima tentang transaksi yang mencurigakan dan meminta mereka mengesahkan maklumat akaun. |
| Smishing Berkaitan COVID-19 | Memanfaatkan kebimbangan berkaitan wabak, menawarkan maklumat palsu tentang vaksinasi, ujian atau langkah bantuan untuk menarik mangsa. |
Cara menggunakan Smishing
-
Kecurian Data: Penjenayah siber menggunakan smishing untuk menipu individu supaya mendedahkan maklumat peribadi, seperti bukti kelayakan log masuk atau data kewangan, yang boleh mereka eksploitasi untuk kecurian identiti atau penipuan kewangan.
-
Pengedaran perisian hasad: Smishing mungkin melibatkan pautan atau lampiran yang, apabila diklik atau dimuat turun, menjangkiti peranti penerima dengan perisian hasad, membolehkan penyerang mendapat akses atau kawalan yang tidak dibenarkan.
-
Penipuan Kewangan: Smishers menggunakan taktik untuk memaksa mangsa memindahkan wang atau berkongsi butiran pembayaran dengan alasan palsu, yang membawa kepada kerugian kewangan.
Masalah dan Penyelesaian
-
Kurang Kesedaran: Ramai orang tidak mengetahui teknik smishing dan mungkin menjadi mangsa serangan ini. Meningkatkan kesedaran melalui pendidikan dan kempen awam boleh membantu individu mengenali dan mengelak percubaan yang teruk.
-
Kemajuan Teknologi: Smishers terus mengembangkan taktik mereka untuk memintas langkah keselamatan. Kemas kini yang kerap kepada perisian keselamatan, termasuk alat antivirus dan anti-pancingan data, boleh membantu mengurangkan risiko.
-
Penggunaan Pengesahan Berbilang Faktor (MFA): Melaksanakan MFA menambah lapisan perlindungan tambahan, menjadikannya lebih sukar bagi penyerang untuk mendapatkan akses tanpa kebenaran walaupun mereka memperoleh bukti kelayakan log masuk melalui smishing.
Ciri-ciri utama dan perbandingan lain dengan istilah yang serupa
| Penggal | Definisi |
|---|---|
| Pancingan data | Istilah yang lebih luas yang merangkumi serangan berasaskan e-mel dan teknik kejuruteraan sosial untuk memperdaya individu supaya mendedahkan maklumat sensitif. Smishing ialah subset pancingan data yang secara khusus menyasarkan pengguna mudah alih melalui mesej SMS. |
| Vishing | Sama seperti smishing, tetapi bukannya menggunakan mesej teks, vishing memanfaatkan panggilan suara untuk menipu mangsa supaya memberikan maklumat peribadi atau membuat transaksi penipuan. |
| Pharming | Melibatkan pengalihan mangsa daripada tapak web yang sah kepada laman web yang menipu, selalunya melalui keracunan cache DNS, untuk mengumpulkan maklumat sensitif. Smishing bergantung terutamanya pada mesej teks dan kejuruteraan sosial dan bukannya pengalihan laman web. |
Apabila teknologi semakin maju, kedua-dua penjenayah siber dan pakar keselamatan akan terus membangunkan teknik baharu untuk terus mendahului satu sama lain. Masa depan smishing mungkin akan dilihat:
-
Serangan Dikuasakan AI: Smishers boleh menggunakan algoritma AI untuk mencipta mesej yang lebih meyakinkan yang disesuaikan dengan penerima individu, menjadikan penipuan mereka lebih sukar untuk dikesan.
-
Pendidikan Pengguna yang Dipertingkatkan: Meningkatkan kesedaran dan pendidikan pengguna tentang smishing akan menjadi penting untuk memperkasakan individu untuk mengenali dan bertindak balas dengan sewajarnya kepada serangan sedemikian.
-
Pengesahan Biometrik: Penyepaduan pengesahan biometrik dalam peranti mudah alih boleh menambah lapisan keselamatan tambahan terhadap percubaan yang mencekam, kerana ia bergantung pada ciri fizikal pengguna yang unik.
Cara pelayan proksi boleh digunakan atau dikaitkan dengan Smishing
Pelayan proksi boleh memainkan kedua-dua peranan defensif dan ofensif dalam memerangi serangan smishing. Begini cara mereka boleh dikaitkan dengan smishing:
-
Penggunaan Defensif: Organisasi boleh menggunakan pelayan proksi untuk menapis dan memantau trafik SMS yang masuk untuk kemungkinan percubaan menceroboh, menyekat mesej daripada sumber yang mencurigakan atau dengan pautan berniat jahat.
-
Tanpa Nama Smishing: Di sisi yang menyinggung perasaan, penyerang mungkin memanfaatkan pelayan proksi untuk mengelirukan alamat IP sebenar mereka dan mengelak pengesanan semasa menjalankan kempen yang memalukan.
-
Menyembunyikan Pelayan Perintah dan Kawalan (C&C).: Pelayan proksi boleh digunakan untuk menyembunyikan lokasi pelayan C&C yang digunakan untuk mengawal perisian hasad yang diedarkan melalui serangan smishing, menjadikannya lebih sukar bagi pasukan keselamatan untuk mengesan dan menutup pelayan ini.
Pautan berkaitan
Untuk mendapatkan maklumat lanjut tentang Smishing dan cara untuk melindungi diri anda daripada serangan sedemikian, pertimbangkan untuk meneroka sumber berikut:
