Смишинг: что это такое и как распознать SMS-мошенничество в 2026 году

SMS от банка, службы доставки или государственного сервиса само по себе редко вызывает подозрение. Этим и пользуются мошенники: копируют стиль знакомой компании, добавляют ссылку и пытаются заставить получателя как можно быстрее выполнить нужное им действие.

Такой вид мошенничества называется смишингом—фишингом через SMS и другие текстовые сообщения. Его цель—получить пароль, данные карты, одноразовый код или перенаправить клиента на поддельный сайт.

В 2026 году определять мошенничество только по ошибкам в тексте уже не получится. Киберполиция Украины предупреждает, что поддельные страницы копируют цвета, логотипы, фотографии и материалы настоящих государственных ресурсов.

Как выглядит смишинг

Типичный сценарий начинается с сообщения, которое требует быстрой реакции:

• «Посылку не удалось доставить»
• «Карта временно заблокирована»
• «Подтвердите получение выплаты»
• «Оплатите задолженность сегодня»

Далее получателю предлагают перейти по ссылке, позвонить по указанному номеру или ответить на SMS.

Признак №1: вас торопят

«Срочно», «в течение часа», «последнее предупреждение», «только сегодня»—такие формулировки нужны, чтобы получатель начал действовать раньше, чем успеет проверить информацию.

Киберполиция отдельно рекомендует настороженно относиться к сообщениям с призывами действовать срочно. Британский NCSC также называет давление, страх, авторитет и дефицит типичными приемами мошенников.

Если SMS касается банка, доставки или государственной услуги, не используйте контакт из самого сообщения. Откройте официальный сайт или приложение отдельно и проверьте информацию там.

Признак №2: странная ссылка

Фишинговый сайт часто старается выглядеть почти так же, как настоящий. В названии домена используют бренд, похожие буквы или дополнительные слова, чтобы адрес не вызвал подозрений с первого взгляда.

Лучше вообще не открывать неожиданную ссылку из SMS. Зайдите в нужный сервис через официальное приложение или самостоятельно откройте его сайт.

Киберполиция рекомендует проверять адрес страницы до ввода персональных данных и не передавать пароли и банковскую информацию на сторонних ресурсах.

Признак №3: просят код или данные карты

Особенно опасная просьба—ввести номер карты, PIN-код, пароль от интернет-банкинга или одноразовый код из SMS.

В январе 2026 года CSIRT-NBU зафиксировал фишинговую схему с поддельной «Зимней єПідтримкой». Фальшивые страницы имитировали банковские сервисы и просили номер карты, PIN-код и одноразовый код. Эти данные использовались для получения доступа к банковским аккаунтам.

Если код пришел для операции, которую клиент не начинал, передавать его посторонним не нужно.

Достаточно ли проверить отправителя

Знакомое имя в списке SMS—полезный сигнал, но не единственная проверка.

Компании используют Альфа-имя, чтобы вместо случайного номера клиент видел узнаваемое имя отправителя. В SMS Club такое имя проходит регистрацию для массовых рассылок.

Однако оценивать нужно все сообщение: ожидал ли клиент его, соответствует ли текст реальному действию и куда ведет ссылка. Неожиданную просьбу передать конфиденциальные данные стоит проверить через официальный канал компании.

Что изменилось в 2026 году

Грамматические ошибки больше не работают как надежный индикатор. NCSC отмечает, что современные мошеннические сообщения стали убедительнее и сложнее для распознавания.

Киберполиция в течение 2026 года сообщала о фальшивых ресурсах с айдентикой государственных сервисов и о мошенниках, которые представляются сотрудниками государственных учреждений и создают ощущение срочности.

Поэтому проверять нужно не качество текста, а сам сценарий: ожидали ли вы это сообщение, действительно ли выполняли указанное действие и совпадает ли адрес сайта с официальным.

Что делать с подозрительным SMS

Не отвечайте на него и не открывайте ссылку. Если сообщение якобы пришло от банка, магазина или службы доставки, самостоятельно найдите официальный контакт.

В Google Messages работает автоматическая защита от спама и фишинга. Подозрительный диалог также можно вручную отметить как спам и заблокировать отправителя.

Если пароль уже был введен на подозрительной странице, его нужно изменить. Если были переданы данные карты или банковский OTP, немедленно свяжитесь с банком через официальный номер или приложение.

Что стоит делать компаниям

Бренды тоже влияют на то, насколько легко клиенту отличить настоящее сообщение от поддельного.

Стоит использовать постоянное узнаваемое имя отправителя, понятно объяснять причину SMS и не приучать клиентов к сообщениям в стиле «Срочно перейдите по ссылке».

Полезно также заранее объяснять, какие данные компания никогда не запрашивает через SMS. Чем понятнее правила официальной коммуникации, тем проще клиенту заметить подозрительное сообщение.

Частые вопросы

Что такое смишинг простыми словами?

Смишинг—это фишинг через SMS или другие текстовые сообщения. Мошенник выдает себя за знакомую компанию или учреждение, чтобы получить пароль, банковские данные, одноразовый код или перенаправить получателя на поддельный сайт.

Как проверить SMS от банка или службы доставки?

Не используйте ссылку и номер из подозрительного SMS. Откройте официальное приложение, самостоятельно введите адрес сайта или найдите контакт на официальном ресурсе и проверьте информацию через него.

Означают ли ошибки в тексте, что SMS мошенническое?

Ошибки остаются поводом насторожиться, но их отсутствие ничего не гарантирует. Современные фишинговые сообщения выглядят аккуратно, поэтому важнее проверять домен, причину обращения и данные, которые у вас запрашивают.

Что делать, если я уже открыл ссылку?

Если вы ничего не вводили, закройте страницу. Если передали пароль—измените его. Если ввели данные карты или одноразовый банковский код, немедленно свяжитесь с банком через официальный канал.