Smishing 是「SMS 短信」与「phishing 钓鱼」的组合词，指通过设备收到的短信实施的钓鱼攻击。在快节奏的现代生活中，我们依赖移动设备完成一切：缴费、收发邮件、网银、网购、订餐等。手机让生活便利，也让我们面临网络攻击风险。网络犯罪分子不断翻新手段，smishing 便是其中常见且危险的一种。下文将详细解析 smishing 的定义、原理、手法与防护方法。

什么是 Smishing

Smishing 即「SMS 短信钓鱼」，是通过短信实施的钓鱼攻击。短信钓鱼者发送包含诱饵内容的消息，诱导你点击其中的链接。一旦点击，便会被带到看似真实的网站，要求输入用户 ID、密码或银行信息等敏感数据。若照做，你便成为网络犯罪的受害者，对方会利用你的数据实施身份欺诈、盗取资金或进行其他恶意活动。Smishing 是 phishing 的一种形式；而 phishing 指通过邮件、短信或电话发送恶意链接或消息来攻击个人或企业的行为。

Smishing 的常见类型

短信钓鱼诈骗手法多样，常见包括：冒充金融机构、银行或保险公司称账户有问题需紧急处理；谎称中奖、彩票或折扣优惠；冒充电商要求验证支付方式；以慈善名义募捐；借疫情等由头索取信息。

短信钓鱼如何得手

Smishing 攻击并不复杂，易于实施。攻击者用少量工具向目标群发短信，有时还会事先通过社会工程学（social engineering）获取受害者信息。完整流程如下：

首先，你收到犯罪分子的短信，对方使用伪造号码（spoofed）伪装成合法身份，内容也与假号码相关以显得可信；其次，短信内容因案而异，但共同目标是制造紧迫感促使你快速行动；第三步决定你的命运——若忽略则诈骗终止，若点击链接则进入仿冒网站，被要求提供机密信息或下载软件；接着你被说服提供用户 ID、工作登录、银行或信用卡信息；最后网站可能要求下载程序，从而让攻击者完全控制你的设备，监控行踪并窃取账户与资金。

Smishing 诈骗的共性

尽管内容各异，诈骗仍有相似之处：手法逼真——不再发明显的「中奖」短信，而是用「您的 ATM 卡已过期，请点击链接重新激活」等贴近真实的措辞；携带网站链接——诱导点击进入仿冒站；制造紧迫感——利用恐惧或贪婪情绪让你慌乱回应；使用伪造号码——让攻击显得合法且匿名。

为何 Smishing 如此危险

短信诈骗易实施、成本低，是黑客常用手段：仅需一次失误便可中招；移动设备通常缺乏垃圾短信检测程序，点击后信息可能全盘泄露；攻击者可通过冒充老板向员工施压获取企业机密，甚至勒索；单次 smishing 攻击便可能摧毁企业在客户心中的信誉。

如何防范 Smishing 诈骗

个人防护：收到含链接的陌生号码短信直接忽略；即使看似重要也勿点击其中的链接；若已慌乱点击，切勿在网站填写隐私信息（用户 ID、密码、银行资料），请记住银行或合法机构不会通过短信索要机密数据；若已泄露信息，立即联系相关机构报案止损；将疑似垃圾号码拉黑以防再收。

企业防护：多数攻击因人为失误得手，应持续向员工普及已知网络攻击手法；按最小权限原则实施访问限制，员工仅可使用完成工作所需的资源，降低单点受害后的数据暴露风险；若获悉有人试图攻击公司，应通报全员进入红色警戒，并确保企业自身不通过短信向客户索取敏感数据。

结语

Smishing 已困扰人们多年且短期内不会消失。它是极其危险的网络攻击类型，应培训员工认识其对企业的危害。严格遵循上述指南，个人与企业都能有效抵御 smishing 攻击。