Smishing

Serangan smishing biasanya datang sebagai pesan singkat yang menyamar sebagai pengirim tepercaya: bank, kurir pengiriman, kantor pajak, operator telekomunikasi, atau helpdesk IT internal. Pesan itu menciptakan alasan untuk bertindak cepat, misalnya akun yang diblokir, paket yang tertahan, transaksi mencurigakan, atau hadiah yang akan kedaluwarsa, lalu menyertakan tautan atau nomor telepon. Karena layar ponsel kecil dan SMS tidak punya petunjuk verifikasi pengirim yang biasa diandalkan orang pada email, penerima sering tidak menyadari bahwa tautan singkat atau tautan mirip aslinya justru mengarah ke halaman pencuri kredensial, bukan ke layanan yang sebenarnya.

Smishing efektif karena pesan teks punya tingkat keterbacaan yang sangat tinggi dan biasanya dibaca dalam hitungan menit, serta karena orang cenderung lebih percaya pada ponselnya daripada kotak masuk emailnya. Penyerang memalsukan ID pengirim, menyalahgunakan layanan pemendek tautan, dan mendaftarkan domain yang mirip agar tampak sah. Pola yang umum menyasar kode OTP: korban dipancing ke halaman login palsu, memasukkan kredensial dan kode SMS, lalu penyerang memakai keduanya secara langsung untuk mengambil alih akun. Inilah salah satu alasan kode lewat SMS saja merupakan faktor kedua yang lebih lemah dibanding autentikasi berbasis aplikasi atau perangkat keras.

Smishing penting bagi organisasi yang teregulasi karena satu karyawan yang menekan tautan berbahaya di ponsel pribadi atau kantornya dapat membuka akses ke kredensial perusahaan, data nasabah, atau sistem pembayaran. Di pasar yang menjadikan pesan seluler sebagai saluran utama, permukaan serangannya luas dan volumenya tinggi. Bertahan dari smishing membutuhkan lebih dari sekadar penyaringan teknis: orang perlu mengenali tanda bahaya, memverifikasi permintaan lewat saluran resmi yang dikenal, dan tidak langsung menindaklanjuti tautan yang dikirim lewat teks. Hal ini membuat smishing menjadi persoalan risiko manusia, bukan sekadar persoalan teknis.