Smishing — SMS yoki mobil xabar kanali orqali amalga oshiriladigan phishing hujumi. Atama SMS phishing birikmasidan kelib chiqqan. Hujumchi foydalanuvchini zararli linkni ochish, ma’lumot yuborish, telefon qilish yoki zararli application o‘rnatishga undaydi.
Mobil ekranda URL va yuboruvchi haqidagi ma’lumot kamroq ko‘rinishi smishingni ishonchliroq qilishi mumkin.
Xabar mavzulari
Smishing xabarlari ko‘pincha:
- delivery muammosi;
- bank tranzaksiyasi;
- jarima;
- soliq;
- sovrin;
- mobil operator;
- hisob bloklanishi;
- tasdiqlash kodi;
- ish taklifi
mavzusidan foydalanadi.
Xabar shoshilinchlik va qo‘rquv yaratishga intiladi.
Zararli link
Link mobil qurilma uchun tayyorlangan soxta sahifaga olib boradi.
U:
- bank login;
- identity provider;
- payment form;
- delivery tracking;
- davlat portali
ko‘rinishida bo‘lishi mumkin.
Qisqartirilgan URL haqiqiy domenni yashiradi.
Sender ID spoofing
Ayrim SMS tizimlarida display sender nomi soxtalashtirilishi mumkin.
Xabar haqiqiy bank yoki operator threadida ko‘ringandek bo‘lishi ehtimoli bor.
Shu sababli faqat sender nomiga ishonish mumkin emas.
Telefon raqamiga yo‘naltirish
Xabar link o‘rniga ma’lum raqamga qo‘ng‘iroq qilishni so‘rashi mumkin.
Keyingi bosqich vishingga aylanadi.
Operator o‘zini bank yoki texnik yordam xodimi deb tanishtirib OTP va karta ma’lumotini so‘raydi.
Application o‘rnatish
Smishing xabari Android package yoki boshqa mobil application o‘rnatishga undashi mumkin.
Soxta application:
- SMS o‘qish;
- accessibility;
- notification;
- contact;
- screen overlay
permissionlarini so‘rashi mumkin.
Bu banking trojan yoki spyware bo‘lishi ehtimoli bor.
OTP o‘g‘irlash
Hujumchi userdan SMS orqali kelgan bir martalik kodni kiritishni so‘raydi.
Real-time proxy bu kodni haqiqiy xizmatga darhol uzatadi.
OTP qisqa muddatli bo‘lsa ham real vaqtda o‘g‘irlanishi mumkin.
SIM bilan bog‘liq hujumlar
Smishing userni mobil operator sahifasiga o‘xshash joyga olib borib account ma’lumotini yig‘ishi mumkin.
Keyin attacker SIM almashtirish yoki telefon raqamini nazorat qilishga urinadi.
Operator accounti uchun kuchli PIN va qo‘shimcha himoya muhim.
QR va multimedia xabar
Xabar QR code, rasm yoki multimedia attachment orqali linkni yashirishi mumkin.
Mobil user URLni oldindan ko‘rmasdan ochishi ehtimoli yuqori.
Image ichidagi matn oddiy filterlardan o‘tishi mumkin.
Belgilar
Smishing indikatorlari:
- noma’lum yoki xalqaro raqam;
- qisqa link;
- shoshilinch to‘lov;
- maxfiy kod so‘rash;
- imlo xatosi;
- kutilmagan delivery;
- application yuklash talabi;
- juda katta sovrin;
- rasmiy xizmatdan noodatiy kanal.
Haqiqiy raqamdan kelgan xabar ham compromised account yoki spoofing natijasi bo‘lishi mumkin.
Himoya
Foydalanuvchi xabardagi linkni ochish o‘rniga rasmiy application yoki oldindan ma’lum saytni o‘zi ochadi.
Bank, operator va davlat xizmatlari OTP, PIN yoki parolni xabar orqali so‘ramasligi kerak.
Noma’lum application o‘rnatilmaydi.
Mobil browser
Address baridagi to‘liq domen tekshiriladi.
HTTPS belgisi sayt qonuniy ekanini kafolatlamaydi.
Attacker ham certificate olishi mumkin.
Asosiy signal — to‘g‘ri host nomi va xizmatga odatiy kirish usuli.
Tashkilot himoyasi
Korporativ muhitda:
- mobile device management;
- managed application;
- link filtering;
- work profile;
- application allowlist;
- SMS awareness;
- incident reporting
ishlatilishi mumkin.
Personal telefon bilan ish accountiga kirishda ham phishingga chidamli MFA foydali.
Smishingga uchraganda
Credential yoki karta ma’lumoti berilgan bo‘lsa:
- rasmiy xizmat orqali account himoyalanadi;
- bank yoki operatorga xabar beriladi;
- active sessionlar bekor qilinadi;
- o‘rnatilgan noma’lum application olib tashlanadi;
- accessibility va device admin permissionlari tekshiriladi;
- telefon security scan yoki reset qilinadi;
- xabar report qilinadi.
Mobile link preview
Mobil operatsion tizim linkni bosib turilganda target domen preview’ini ko‘rsatishi mumkin. Foydalanuvchi qisqa yoki chalkash domenni ko‘rsa xabarni yopadi. Biroq preview ham redirect zanjirining faqat bir qismini ko‘rsatishi mumkin. Eng xavfsiz yo‘l rasmiy applicationni mustaqil ochishdir.
Xabarni report qilish
Mobil operator va messaging platformalar spam xabarni report qilish imkonini beradi. Tashkilot xodimlari screenshot yoki forward orqali security jamoasiga xabar yuborishi mumkin. Report ichida zararli linkni qayta ochish talab qilinmaydi. Security jamoasi kampaniyaning boshqa recipientlarini aniqlaydi.
Mobile payment
Smishing telefon billing, mobil wallet yoki bank applicationini nishonga olishi mumkin. Userdan kichik “delivery fee” so‘ralib karta ma’lumoti yig‘iladi. Kichik summa xavfsiz degani emas: asosiy maqsad karta va identity ma’lumotini olish bo‘lishi mumkin.
Number recycling
Telefon raqamlari vaqt o‘tishi bilan boshqa abonentga berilishi mumkin. Oldingi egaga tegishli accountlar yangi raqam egasiga SMS yuborishda davom etishi ehtimoli bor. Sensitive service raqam o‘zgarganda qayta verification qiladi va eski sessionlarni bekor qiladi. Telefon raqami doimiy identity sifatida qaralmaydi.
Linkless smishing
Ayrim xabarda link bo‘lmaydi. Userdan aynan SMSga karta raqami, passport ma’lumoti yoki kod bilan javob berish so‘raladi. Yoki “YES” deb yozish orqali keyingi suhbat boshlanadi. Link yo‘qligi xabar xavfsizligini anglatmaydi.
Filtering cheklovi
Operator spam filtri ma’lum pattern va yuboruvchini bloklaydi, ammo yangi raqam, qisqa kampaniya va haqiqiy compromised account orqali yuborilgan xabar o‘tishi mumkin. User reportlari filtering signalini boyitadi.
Bog‘liq tushunchalar
Phishing, Vishing, SMS spoofing, OTP theft, Mobile malware, Social engineering, SIM swap, QR phishing, Mobile security