惡意簡訊是將受害者引導至惡意網站的手法之一。網路犯罪者會偽裝成知名企業等身分，傳送看似合理的訊息，因此未經深思熟慮的手機用戶很可能就會不經意開啟簡訊內的連結。本文將介紹假簡訊的手法及防範對策。
假簡訊已成為手機使用者的威脅
電子郵件不再是進入惡意網站的唯一入口，簡訊服務（SMS）也是其中一種途徑。心懷不軌的人只要將隨機的數字組合成電話號碼的形式，就可將惡意訊息隨機散布給許多使用者。
網路犯罪者會假冒知名企業等身分，傳送看似合理的訊息，並企圖使收件人開啟惡意網址連結，主要目的是引導使用者進入惡意網站，以騙取資訊或金錢。接著讓我們來了解假簡訊的手法。
使用高超技巧讓使用者開啟簡訊內網址連結
其中一種例子是會假冒物流業者，傳送不在府通知，聲稱「因您不再在府上，我們已將包裹收回，請確認您的包裹」等。也可能假冒大型購物網站，傳送「請確認商品寄送狀況」等通知。此外，還有假冒手機電信業者，告知「您的電信支付可能遭盜用」等手法。然而，這些都只是詐騙，只是用來吸引手機使用者注意的手法。
◼延伸閱讀
黑貓宅急騙,跟真正的黑貓官網相似度99%,收到送貨進度簡訊,別點連結
包裹出現這特徵,超商店員警告是詐騙!詐騙集團為何會寄包裹給你?
《資安漫畫》偽裝成宅配的不在府通知簡訊五種網拍宅配包裹騙術
若使用者信以為真，開啟這些簡訊裡的網址連結，就會被引導至釣魚網站等惡意網站。例如，Android裝置有時會彈出連結至惡意網站的提示，顯示「為了提升安全性，請升級至最新版本的Chrome」。若點選「OK」選項，就會被要求下載並安裝假冒Chrome更新檔案的惡意應用程式。若按照指示操作，可能會造成自己的裝置散布假簡訊，或使裝置內的資訊遭到竊取。
此外，也可能被引導至偽裝成Google Play的冒牌網站，進而安裝假冒的官方應用程式。
iPhone 用戶，則可能被引導至類似Apple或金融機構登入頁面的釣魚網站，如果使用者誤以為是官方登入頁面，並輸入Apple ID及密碼、顧客編號、登入密碼、出生年月日等資料，這些資料就會落入網路犯罪者手中。
還有已知的案例是會引導使用者至特定網頁，並以「升級網路安全防護」為理由，要求使用者安裝惡意的iOS設定描述檔。iOS設定描述檔中記載著iOS的系統與安全防護相關之各種設定，只要安裝到iOS裝置內就能夠一併套用。請留意，若安裝惡意的iOS設定描述檔，終端裝置及SIM卡內的識別碼、OS版本及產品資訊很可能會遭到竊取。
▪延伸閱讀:
以冠狀病毒更新為名的App夾帶間諜軟體,感染Android 和 iOS裝置
防範假簡訊危害的5 項對策
1.了解假簡訊等網路詐騙的手法及案例
只要了解網路詐騙的手法及案例，就能降低遭到詐騙的風險。建議您平時就要瀏覽安全防護相關團體等所發表的警告資訊。此外，也建議追蹤安全防護業者等的社群網站帳號，以隨時接收警告資訊。
2.使用安全防護應用程式
建議在智慧型手機上安裝可信任的安全防護應用程式，並隨時使用最新版本，如此便可降低訪問惡意網站及安裝到惡意應用程式的風險。趨勢科技有免費提供可判別網址安全性的服務。
3.將作業系統或應用程式保持為最新版本
智慧型手機的作業系統或應用程式時常會出現安全漏洞（安全上的弱點），若放任安全漏洞不管，會導致許多風險與日俱增，包含官方應用程式遭置換成惡意應用程式、終端裝置遭到惡意操作等。當作業系統或應用程式開發商提供更新程式時，請儘速更新。
4.不隨意開啟簡訊內的網址連結,假官方訊息可能出現在官方訊息對話串
即使寄件人是知名企業，如果簡訊內有任何內容企圖引導您開啟網址連結，都應懷疑該簡訊是否為詐騙。請務必上網搜尋該訊息的文字內容，確認是否為官方訊息。
簡訊有一項功能遭到惡意使用，就是可在寄件人名稱欄位中指定任意英數字作為寄件人ID。由於相同寄件人名稱傳送的訊息會顯示在同一則簡訊對話串內，因此若假訊息使用的寄件人ID與實際企業相同，該簡訊就會和官方訊息出現在同一則對話串內。請小心勿將假訊息誤認為官方訊息。
5.請使用官方應用程式商店或開發商的官方網站取得應用程式
請勿從簡訊所引導的網站安裝應用程式。防範惡意應用程式的基本方法，就是只透過Google Play、App Store、電信業者等所營運的官方應用程式商店、開發商的官方網站取得應用程式。不過，官方應用程式商店也可能有惡意應用程式混入，因此安裝應用程式前，請務必先在知名搜尋網站搜尋應用程式名稱及開發商，並謹慎查詢該程式評價。此外，若iPhone突然彈出設定描述檔的安裝畫面，也不能輕易同意安裝，請先確認其是否正當。
※本篇報導係依撰文當時的資訊製作而成。
文件來源: https://www.is702.jp/special/3902/partner/12_t/
訂閱資安趨勢電子報,每日掌握資安趨勢
