什麼是 Smishing（SMS 網路釣魚）？範例與手法

Smishing 屬於 SMS 網路釣魚這個更大的範疇，因為詐騙者可以利用簡訊服務欺騙受害者，以取得個人資訊、密碼、金錢，甚至銀行帳戶存取權。他們會將訊息偽裝成來自可信賴機構，例如銀行、政府部門或其他知名企業。根據美國聯邦貿易委員會（FTC），冒充銀行是最常見的簡訊詐騙，約占 所有 smishing 訊息的 10%。

發送簡訊網路釣魚訊息的核心目的，是誘騙收件者點擊惡意連結、透過回覆洩露私人資訊，或下載惡意軟體或其他惡意內容。儘管訊息看似合法，但其實是基於牟取金錢利益的不良動機而建立，代價則由毫無戒心的受害者承擔。網路犯罪分子之所以越來越常利用簡訊網路釣魚發動攻擊，真正原因在於手機幾乎已成為日常生活中不可或缺的工具，而且使用者通常比起電子郵件更容易相信簡訊。

在本文中，我們將詳細探討簡訊網路釣魚：其運作方式、如何辨識警訊，以及簡訊網路釣魚與傳統網路釣魚之間的差異。我們也將進一步探討簡訊網路釣魚對企業造成的影響，因為這類攻擊甚至可能導致員工憑證遭到入侵或大規模資料外洩。此外，我們也將說明網路犯罪分子如何發動簡訊網路釣魚攻擊，主要是透過冒充與營造急迫感等手法來欺騙受害者。

什麼是 Smishing（SMS 網路釣魚）？

Smishing 是一種針對 網路釣魚，專門鎖定手機與 SMS/文字訊息。在這類攻擊中，惡意訊息會被發送到手機上，內容類似於銀行、商店或政府機構等合法網站所發送的訊息。攻擊者的目標是誘使受害者點擊惡意連結，或透過簡訊填寫包含敏感資訊的表單。

這類詐騙可能導致身分盜用、未經授權存取個人或企業帳戶，以及金融詐欺。隨著行動通訊需求日益增加，smishing 也已成為網路犯罪分子鎖定無辜使用者時最常利用的管道之一。

Smishing 的常見跡象

Smishing 訊息看起來像是來自真實來源；它們通常來自您非常信任的組織。然而，仍有一些跡象可能顯示這是 smishing。以下是一些常見跡象：

• 要求您立即採取行動的訊息，例如鎖定銀行帳戶或聲稱您未支付某筆款項。
• 您收到可疑連結，要求您登入帳戶或更新某些個人資料。
• 要求提供您的密碼、信用卡號碼或社會安全號碼
• 拼字與標點符號品質不佳。這可能表示寄件者是詐騙者。
• 看起來不合法或不專業的電話號碼。

Smishing、Phishing 與 Vishing 之間的差異

Smishing、phishing 與 vishing 的主要差異在於發動這些攻擊所使用的通訊管道。

• Phishing 會透過電子郵件、網站和線上表單，誘騙使用者交出其敏感資訊。 
• Smishing 與傳送到手機和 SMS 服務的詐騙簡訊有關。這就是 smishing 的基本定義。
• Vishing 是透過電話進行的詐騙通訊，涉及錄音訊息、語音通話和 VoIP 技術。

Smishing 攻擊的類型

談到各種類型的 SMS 網路釣魚攻擊時，有許多事情需要留意。銀行詐騙和金融警示尤其惡名昭彰。 詐騙者 可以假冒金融機構官員，警告您有可疑活動或帳戶已被鎖定。他們可能誘騙您造訪假的登入入口網站，並藉此竊取您的憑證。

• 包裹配送詐騙 是另一種 smishing 手法，受害者會收到簡訊，聲稱其包裹已延遲送達。可能是缺少配送費用，或需要更新地址。 Threat actors 可以冒充 FedEx、Amazon 和 UPS 等服務。您也可能遇到假冒政府機關的人員。他們可能威脅要收取罰款、採取法律行動或啟動程序，如果您不配合其要求。大多數冒充者可能會假裝來自 IRS 或 Social Security Administration。
• 帳戶驗證與安全詐騙 是另一種常見的 smishing 手法。這些通常是假警示，聲稱在社群媒體和串流服務上偵測到未經授權的登入。他們可能催促您點擊惡意連結來保護帳戶安全。
• 技術支援與惡意軟體詐騙 也相當惡名昭彰且廣為人知。一名 hacker 可能會警告您裝置上有病毒，並要求您下載防毒應用程式來清除它。他們可能承諾移除感染，或要求您撥打支援電話。當您真的致電或與其互動時，他們可能安裝間諜軟體，並取得您桌面或裝置的遠端存取權。 
• 商務電子郵件入侵詐騙 也很常見，攻擊者可能冒充您的同事、CEO、CFO，並要求緊急電匯或購買禮品卡。
• 「殺豬盤詐騙」 和打錯號碼也是另一種較不為人知但相當明顯的 smishing 活動。這是一種對話式手法，詐騙者會以錯誤問候來致電或聯絡您。他們會試圖建立長期信任，最終誘使您參與其虛假的投資計畫。

Smishing 如何運作？

Smishing 攻擊通常以精心策劃並執行的手法進行，誘騙目標對象洩露敏感資訊或存取網路釣魚網站。這些詐騙建立在信任與急迫感之上。

他們會製造虛假的急迫感，促使目標受害者在未充分思考風險的情況下做出反應。以下是其通常發生的方式：

1. 誘餌：攻擊一開始會以簡訊形式出現，聲稱來自受信任的組織，例如銀行、政府機關、物流公司或大型零售商。這些訊息通常會盡可能製作得像官方通知，使用熟悉的標誌、語言或格式，讓收件者相信訊息確實來自所聲稱的組織。在這個階段，誘餌的目的只是吸引受害者注意，並讓其相信這則訊息。
2. 誘鉤：接著，訊息會訴諸收件者迅速採取行動，藉由營造緊迫感或恐懼感。它可能會指出，銀行帳戶、逾期付款或配送問題需要緊急處理。該訊息可能要求受害者點擊連結、撥打某個電話號碼，或回覆登入憑證或帳號等敏感資訊。這正是簡訊網路釣魚中的關鍵策略，因為它會迫使受害者在未花時間確認訊息是否真實的情況下，依照緊迫感做出反應。
3. 欺騙：一旦受害者依照指示操作，他或她將被導向至一個幾乎看起來像真實網站的偽造網站。該網站可能會要求提供個人詳細資料，例如使用者名稱、密碼或信用卡資訊。有時，該訊息可能會導致惡意軟體下載到受害者的裝置中，而不是直接取得其資訊。它會靜默等待命令，並擷取或竊取其他敏感資訊憑證，甚至使攻擊者能夠遠端存取該裝置。
4. 竊取：在此階段或資料遭竊後隨即，這類網路攻擊者會從受害者處擷取個人資訊、金融帳戶資訊或敏感的商業資訊。通常，遭竊資料之後會在暗網上出售，並可在日後用於進一步利用受害者，例如身分盜用、未經授權的銀行轉帳，或對企業系統發動進一步攻擊。

需要協助偵測對手針對員工以外對象使用的簡訊網路釣魚手法嗎？立即使用 Singularity™ Mobile 支援 iOS 和 Android！

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

網路犯罪分子常用的簡訊網路釣魚手法

網路犯罪攻擊者會使用各種方式，讓簡訊網路釣魚訊息看起來有效可信，並迫使收件者迅速採取行動。信任感、急迫感與好奇心，都是攻擊者用來誘騙受害者透過惡意連結洩露個人資訊或參與其他惡意行為的方法。

以下是攻擊者經常使用的一些簡訊網路釣魚技術：

• 冒充：最常見的方式是利用銀行、網路商店或政府機關等知名品牌名稱建立假象。訊息會寫得像是來自可信來源，搭配熟悉的標誌、用語與看似合法的聯絡資訊，誤導收件者相信該訊息值得信任並依指示行事，而對方是在認為自己正與可信任組織互動的情況下這麼做。
• 急迫感與恐懼：網路詐騙者經常在受害者心中製造急迫感或恐懼感。例如，訊息可能聲稱有安全警示、帳戶遭停用，或出現某些需要立即處理的可疑活動。引發恐慌會促使受害者略過謹慎判斷，在未驗證真偽的情況下點擊連結或交出敏感資訊。
• 誘人的優惠：這是另一種常見伎倆，利用獎品、禮品卡、獨家促銷或免費獎勵等誘人優惠，換取金錢或資訊。訊息聲稱附有獎品，或優惠即將截止，但前提是提供個人資訊或點擊連結。這類誘餌會強化人們對獎品或折扣的渴望，使其更容易受騙。
• 配送通知：這是詐騙者使用的另一種常見方法，尤其是在假日期間。例如，訊息可能聲稱有包裹即將送達，或配送延遲，並要求收件者點擊連結追蹤配送詳情。由於許多人在特定時期確實正等待包裹送達，這類訊息會顯得非常可信，因此提高互動的可能性。

如何識別簡訊網路釣魚攻擊

辨識簡訊網路釣魚攻擊相當困難，但仍有一些跡象可協助您區分官方簡訊與非官方簡訊。

如果您保持警覺並了解應注意哪些徵兆，就很有機會保護自己，避免成為這些詐騙的受害者。以下是一些辨識潛在簡訊網路釣魚攻擊的有效方法：

1. 檢查寄件者號碼：收到訊息時，最重要的事情之一，就是先嘗試辨識訊息來源號碼。垃圾訊息發送者與詐騙者通常會從未知或不受歡迎的電話號碼發送訊息，這些號碼看起來可疑，甚至像垃圾訊息來源。如果該號碼無法讓您聯想到任何人，也不在您的通訊錄中，且還是簡短的通用代碼，那就務必非常小心。合法組織通常會使用經過驗證與註冊的電話號碼進行聯繫。
2. 留意非預期的要求：請提防要求您提供密碼、SS 號碼或信用卡號等個人詳細資訊的簡訊。合法組織不會透過簡訊要求這類資訊。如果訊息要求您的個人資訊，並聲稱您的帳戶需要在未事先通知的情況下進行驗證，那麼這很可能就是某種簡訊網路釣魚。
3. 仔細檢查連結：如果訊息中有連結，請在不點擊的情況下將游標移至其上，以了解它導向的 URL。這將幫助您判斷該連結是否會帶您前往可疑甚至未知的網站。請檢查拼字。拼字應與合法組織的官方網站完全一致。不要點擊來自未經請求訊息的連結，因為這些連結會將您導向假網站，而其主要目的就是竊取您的資訊。
4. 相信您的直覺：在評估簡訊時，請相信你的直覺。有時候，你就是會知道某些地方不對勁，或是訊息內容對於其聲稱代表的公司而言根本說不通；這可能是詐騙。請留意訊息的語氣以及所使用的語言。Smishing 攻擊通常包含拙劣的文法或拼字錯誤，而這往往是詐騙訊息的明顯跡象。如果你覺得哪裡不太對勁，請直接致電該組織。請透過官方核准的管道與他們聯繫。他們會告訴你那是否真的是他們發出的訊息。

如何阻止簡訊網路釣魚：簡訊網路釣魚最佳實務

有多項簡訊網路釣魚最佳實務，可有效保護個人與企業免受簡訊網路釣魚攻擊。如果您希望主動採取措施並獲得相關資訊，就有很高機率能將誤信這些詐騙所帶來的風險降到最低。

以下是一些可用來阻止簡訊網路釣魚的有效策略：

1. 不要點擊未經請求或非預期簡訊中的連結：避免簡訊網路釣魚的最佳方式，就是絕不要點擊未經請求或非預期簡訊中的任何連結。如果您收到要求點擊連結的訊息，請先稍等片刻，並在點擊前確認它來自可信任的人員或組織。點擊這類連結可能會將您導向惡意網站，竊取您的資訊或在您的裝置上安裝惡意軟體。
2. 驗證寄件者：如果您收到一則可疑簡訊，聲稱來自某個組織或公司，請透過官方管道聯絡該組織以確認寄件者身分。不要回覆該簡訊，也不要使用訊息中提供的任何聯絡方式，因為那些資訊也可能是詐騙。較審慎的做法是透過公司的官方網站查詢聯絡資訊，以便驗證該訊息是否確實真實。
3. 不要回應可疑訊息：絕不要回覆要求個人或財務資訊的訊息。合法組織很少透過簡訊要求敏感資料。要求這類資訊的訊息很可能就是簡訊網路釣魚。通常最好的做法就是直接刪除該訊息。
4. 啟用垃圾訊息篩選：如果您的行動裝置支援某種垃圾訊息篩選功能，請啟用它。 垃圾訊息 篩選可限制不必要的訊息大量湧入您的收件匣，並讓您更有效地篩選有效資訊。設定垃圾訊息篩選器也有助於降低簡訊網路釣魚攻擊的成效。
5. 回報簡訊網路釣魚：如果您收到簡訊網路釣魚嘗試，請向您的電信業者或當地主管機關回報。大多數電信業者都有回報詐騙簡訊的機制，可協助他們對詐騙者採取行動。回報也能提高警覺，並協助保護其他人免受類似攻擊。
6. 教育員工：對企業而言，教育員工了解簡訊網路釣魚的風險以及如何識別它是必要之舉。應定期訓練員工，使其對簡訊網路釣魚技術、警示訊號以及機密資料的適當安全措施保持更高警覺。受過教育的員工或許是組織安全文化中最寶貴的資產。

簡訊網路釣魚攻擊範例

以下是一些您需要留意的常見簡訊網路釣魚範例：

• 銀行詐騙 很常見，受害者會透過 SMS 被引導至假的登入入口網站。我們也有政府與稅務 smidging 詐騙，攻擊者會要求您的社會安全號碼以處理退款。他們會說類似有一筆退稅正等著您領取。
• 企業內部與 CEO 詐騙 涉及來自 IT 支援的 SMS 訊息，內容關於強制性軟體更新，或任何來自 CEO 的緊急要求。
• 我們也有 打錯號碼與關係詐騙，攻擊者會試圖建立信任並引誘你。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

希望我們的指南對您有所幫助；如果您需要進一步協助，歡迎聯絡 SentinelOne 團隊。

現在您已確切了解簡訊網路釣魚攻擊包含哪些內容以及其運作方式。我們已說明資安領域中的 smishing 是什麼，您也已了解最新的 smishing 最佳實務。您現在要做的就是保持警覺、教育您的使用者，並據此保護帳戶安全。

不要將您的手機隨意放在外面，因為有人可能會實體竊取您的資料，之後再向您發送簡訊網路釣魚訊息。也要提防線上通訊管道，並採取必要步驟來防止 smishing。