Smishing

Als Smishing wird eine Phishing-Variante bezeichnet, die in Form von Textnachrichten – SMS – auf Mobiltelefone erfolgt. Die Nachrichten sollen potentielle Opfer dazu verleiten, auf einen Link zu klicken und dadurch sensible Informationen an die Angreifer zu senden, schadhafte Software herunterzuladen oder auf einen klassischen Trickbetrug hereinzufallen.

Was bedeutet Smishing im Detail?

Die SMS ist immer noch eine oft genutzte Art der Konversation auf dem Smartphone und wird als weitestgehend sicher empfunden. Gerade diese Annahme machen Kriminelle sich zunutze, um an sensible Informationen zu gelangen oder Schadsoftware zu installieren und sich auf Kosten der Opfer zu bereichern. Dabei sind folgende Varianten häufig zu beobachten:

Verbreitung von Malware: Diese Variante ähnelt der klassischen Phishing-E-Mail. Die Opfer erhalten eine Textnachricht mit einem Link und werden animiert, diesen anzuklicken. Eine beliebte Masche der Täter ist es, sich in der SMS als bekannter Dienstleister – beispielsweise DPD, Amazon etc. – auszugeben und über den Verbleib einer Sendung zu informieren. Der Link in der SMS führt auf eine Website, auf der eine App zum Download bereitsteht. Diese sieht denen der Dienstleister zum Verwechseln ähnlich, ist allerdings eine Fälschung und enthält einen Banking Trojaner. Er wird beim Download der vermeintlichen App aktiviert und kann nach der Installation auf sämtliche persönliche Daten, wie Telefonnummern, E-Mail-Adressen sowie Bankdaten zugreifen bzw. diese verwenden. Darüber hinaus können durch den Zugriff in Folge weitere, schädliche SMS an die Kontakte auf dem Mobiltelefon versendet werden – eine Kettenreaktion mit fatalen Folgen.
Insbesondere Android Endgeräte sind von diesem Angriffsszenario betroffen, da das Betriebssystem es erlaubt, Apps aus unbekannten Quellen zu installieren.

Bank Smishing: Besonders interessant für Cyberkriminelle sind Zugangsdaten für das Online-Banking, um Geldbeträge zu stehlen. Beispielsweise versenden die Angreifer eine SMS von der vermeintlichen Bank des Opfers. Diese Nachricht enthält die Information, dass das Bankkonto gehackt wurde und geben eine Telefonnummer oder einen Link an, damit weitere, angebliche Schäden verhindert werden. Die Telefonnummer führt oftmals direkt zu den Kriminellen, der Link in der Nachricht auf eine gefälschte Website. In beiden Fällen sollen die Opfer dazu verleitet werden, ihre Zugangsdaten preiszugeben – um anschließend ein geplündertes Bankkonto vorzufinden. Oft lässt die Nummer des Absenders sich verbergen, sodass viele Opfer nicht erkennen können, aus welcher Quelle die Textnachricht stammt.

Wo begegnet mir Smishing im Arbeitsalltag?

Smishing kann Ihnen begegnen, wenn Sie ein Mobiltelefon für dienstliche Zwecke nutzen – sei es das private oder das Betriebstelefon.

Was kann ich tun, um meine Sicherheit zu verbessern?

Achten Sie auf kryptische Links, Rechtschreibung oder Sonderzeichen in Textnachrichten. Sollten sich diese innerhalb einer Nachricht verdächtig oft häufen, klicken Sie auf keinen der enthaltenen Links und blockieren Sie die Telefonnummer des Absenders. Falls Sie eine SMS im Namen eines Paketzustellers oder Ihrer Bank erhalten, loggen Sie sich auf der offiziellen Website des Anbieters ein, um Mitteilungen an Sie zu überprüfen.
Verwenden Sie ausschließlich Apps aus seriösen Quellen, sprich den offiziellen App Stores oder von der Website des Anbieters, zum Herunterladen von Apps. Bei Android besteht in den Einstellungen die Möglichkeit, den Menüpunkt „Apps aus unbekannten Quellen installieren” auszuschalten.
Informieren Sie die Mitglieder Ihrer Organisation, damit diese entsprechend gewarnt sind und auf verdächtige Textnachrichten achten.
Melden Sie den Smishing-Vorfall bei der Verbraucherzentrale. Damit schützen Sie nicht nur sich, sondern ebenfalls andere.
Schärfen Sie Ihr Bewusstsein für diese Art von Angriffen: Stellen Sie sich selbst die Frage, ob Ihre Bank oder Ihr Paketdienst Ihnen solche Nachrichten schicken würden. Hätten sie überhaupt Ihre Mobilfunknummer, um dies zu tun? Keine Bank ruft Ihre Kunden an und fragt telefonisch persönliche Daten ab. Sollten Sie einen Anruf dieser Art erhalten, brechen Sie das Gespräch sofort ab.

Smishing is a type of phishing that occurs via text messages (SMS) sent to mobile phones. The messages aim to trick potential victims into clicking a link, thereby sending sensitive information to attackers, downloading malicious software, or falling for a classic scam.

What exactly does Smishing mean?

SMS is still a frequently used form of communication on smartphones and is generally perceived as safe. Criminals exploit this assumption to gain access to sensitive data, install malware, or profit at the victim’s expense. The following types of smishing attacks are commonly observed:

Malware distribution: This variant resembles traditional phishing emails. Victims receive a text message containing a link and are encouraged to click it. A common trick used by attackers is to impersonate a well-known service provider—such as DPD, Amazon, etc.—informing the recipient about a delivery. The link in the SMS leads to a website offering an app download. The app closely resembles the real provider’s app but is actually fake and contains a banking trojan. When downloaded and installed, this trojan can access or use all personal data stored on the device—such as phone numbers, email addresses, and banking details. Furthermore, once access is gained, additional malicious SMS messages may be sent to contacts in the phone, creating a chain reaction with devastating consequences.

Android devices are particularly vulnerable to this scenario, as the operating system allows apps to be installed from unknown sources.

Bank smishing: Cybercriminals are especially interested in online banking credentials, which they use to steal money. For example, attackers may send an SMS pretending to be from the victim’s bank, claiming the account has been hacked and providing a phone number or link to prevent further damage. The phone number often leads directly to the criminals, and the link leads to a fake website. In both cases, the victim is lured into revealing login credentials—only to discover their bank account has been emptied. Often, the sender’s phone number is spoofed, so victims cannot verify the source of the message.

Where might I encounter smishing in my workday?

Smishing can affect you if you use a mobile phone for work purposes—whether a personal or company device.

What can I do to improve my security?

Watch for suspicious links, unusual spelling, or excessive special characters in text messages. If any of these signs appear, do not click the link and block the sender’s phone number. If you receive a message from a supposed delivery service or bank, visit the official provider’s website and log in there to check for messages.
Only use trusted sources—such as official app stores or provider websites—to download apps. On Android devices, consider disabling the “Install apps from unknown sources” setting.
Inform your colleagues or organization members to raise awareness and encourage vigilance around suspicious text messages.
Report smishing incidents to your country’s consumer protection authority. Doing so helps protect not only yourself but also others.
Stay alert to this type of attack by asking yourself critical questions: Would your bank or delivery service even send you such a message? Would they have your mobile number to do so? No legitimate bank will call and ask for personal information over the phone. If you receive such a call, hang up immediately.