Un mesaj de trei rânduri, un link și zece secunde de neatenție
Pe scurt: smishingul este phishingul care vine prin SMS. Primești un mesaj scurt despre un colet, o taxă de parcare, o datorie la ANAF sau un cont blocat, cu un link care duce pe un site fals. Acolo ți se cer datele cardului, o parolă sau un cod primit chiar de la o aplicație reală, cum e WhatsApp. Un SMS nu are nicio garanție despre cine l-a trimis. De aceea regula e simplă: nu deschizi linkul, intri tu pe site-ul oficial sau în aplicație și verifici acolo.
Cuprins
Ce este smishingul
Cuvântul vine din „SMS” și „phishing”. Este aceeași capcană ca la phishing, doar că momeala e un mesaj text pe telefon. Face parte din familia vectorilor de atac, adică a ușilor prin care intră escrocii.
- Atacatorul nu sparge telefonul. Te convinge să dai clic și să scrii ceva.
- Un SMS se citește repede, de obicei în mers. Tocmai de asta funcționează.
- Mesajul pare personal, pentru că vine pe numărul tău, pe un ecran pe care ai încredere.
Dacă te sună în loc să-ți scrie, e vishing. Și cele două se combină: mesajul te îndeamnă să suni un „număr de urgență”, iar acolo răspund tot ei.
Cum decurge un atac prin SMS
- Mesajul. Un text scurt, cu o problemă mică și un termen: „colet nelivrat”, „taxă de parcare neachitată”, „contul tău a fost blocat”.
- Linkul. O adresă care seamănă cu cea reală sau una prescurtată, care nu arată unde duce.
- Pagina falsă. Copiază designul unui curier, al unei bănci sau al unei instituții.
- Cererea. Datele cardului pentru o „taxă” mică, parola, sau un cod primit prin SMS sau în aplicație.
- Folosirea datelor. Cu datele cardului se fac plăți. Cu un cod se preia un cont, iar de acolo se păcălesc și cunoscuții tăi.
Scenariile cele mai întâlnite în România
- Coletul cu „locker”. În martie 2026, Bitdefender a descris o campanie care a ajuns la peste un milion de oameni din România. SMS-ul părea să vină de la FAN Courier și spunea că un colet e legat de numărul tău și că trebuie să alegi un locker. Pagina falsă îți cerea apoi „codul de confirmare”, care era de fapt codul real de verificare WhatsApp. Cu el, atacatorii îți preluau contul și le scriau contactelor tale, cerând bani cu promisiunea că îi dau înapoi a doua zi.
- Taxa de parcare neplătită. În iulie 2026, DNSC a avertizat asupra SMS-urilor care vorbesc despre o taxă de parcare neachitată, cu „ultima șansă de plată fără penalități”. Linkul duce la o pagină care cere date personale și bancare. O variantă a folosit numele TPARK.
- „ANAF” și conturile blocate. ANAF a avertizat în martie 2025 asupra SMS-urilor în numele instituției, care spun că ți s-au blocat conturile și conțin un link. ANAF precizează că nu cere date personale sau financiare prin SMS.
- Curierii și poșta. ANCOM a avertizat pe 4 august 2026 asupra SMS-urilor și e-mailurilor care imită curieri sau furnizori poștali: un colet te așteaptă, trebuie să actualizezi adresa sau să plătești o taxă.
- Banca. „Cardul tău a fost blocat” sau „o plată de 1.299 lei de la un comerciant necunoscut”, cu un număr de „urgență” sau un link.
- Joburi și „număr greșit”. Un mesaj de la un număr necunoscut care pare trimis din greșeală, sau o ofertă de job „de acasă” plătită pe sarcini. Sunt scenariile cel mai des raportate și în Statele Unite.
Ce e nou în 2026
- Smishingul crește mai repede decât orice altceva. Raportul APWG pentru trimestrul al doilea din 2026 arată că smishingul a crescut cu 40% față de trimestrul anterior, iar vishingul cu 20%. Cifrele vin de la Crane Authentication, membru APWG.
- În România, SMS-urile false sunt pe locul trei. Potrivit DNSC, în prima jumătate a lui 2026, 13% dintre incidentele raportate au fost SMS-uri frauduloase, după apelurile frauduloase (42%) și phishingul prin e-mail (14%).
- Atacurile sunt industrializate. Google a dat în judecată în noiembrie 2025 platforma Lighthouse, despre care spune că a afectat peste un milion de victime din 120 de țări. Platforma se închiria ca serviciu, cu șabloane gata făcute pentru bănci, curieri și taxe de drum. Acuzațiile aparțin Google, iar procesul nu s-a încheiat.
- Pierderile sunt mari, deși mesajele sunt scurte. În Statele Unite, FTC a numărat pierderi de 470 de milioane de dolari raportate la escrocherii prin SMS în 2024, de peste cinci ori mai mult decât în 2020. Cele mai frecvente: probleme false cu livrarea unui colet, oferte de job, alerte false de fraudă, taxe de drum neplătite și „număr greșit”.
- Codul de verificare e noua țintă. Atacul din martie nu a instalat nimic pe telefon. Atacatorii au cerut chiar victimei să le dea codul.
Concluzia practică: un SMS care se grăbește să te ducă pe o pagină nu e o notificare, ci o cerere. O faci tu, pe canalul oficial, nu pe cel din mesaj.
De ce funcționează
- Graba. „Ultima șansă”, „în 24 de ore”, „altfel se returnează coletul”.
- Sumele mici. O taxă de 3 sau 5 lei nu pare o problemă. De fapt, scopul e să-ți ia datele cardului.
- Contextul. Aștepți un colet, ai o mașină parcată, ai un cont la o bancă. Mesajul nimerește frecvent un moment real.
- Încrederea în telefon. Un SMS pare mai personal decât un e-mail și e citit în câteva secunde.
- Expeditorul falsificat. Numele afișat poate fi ales de atacator, iar uneori mesajul apare în aceeași conversație cu cele reale.
- Linkurile scurte. Nu se vede la ce site te duc.
Cum recunoști un SMS fraudulos
- Vine de la un număr necunoscut sau de la un nume care seamănă cu al unei firme, dar nu e al ei.
- Îți cere să dai clic pe un link ca să „confirmi”, „reprogramezi” sau „deblochezi” ceva.
- Cere o sumă mică, un termen scurt sau amenință cu penalități.
- Conține o adresă care nu e site-ul oficial: litere schimbate, cuvinte în plus, terminație ciudată.
- Îți cere un cod care ți-a venit prin SMS sau într-o aplicație.
- Îți cere să răspunzi cu o literă sau cu „Y”, ca linkul să devină activ.
- Un colet pe care nu-l aștepți sau o taxă pe care nu o ai.
- Greșeli, formulări ciudate sau un ton prea grăbit.
Nicio firmă serioasă nu îți cere datele cardului sau un cod de verificare printr-un link primit pe SMS.
Cum te protejezi
- Nu deschide linkul. Intră singur pe site-ul sau în aplicația oficială a curierului, băncii sau instituției, scris de tine în browser.
- Codurile nu se dau nimănui. Nici unui „curier”, nici unei „bănci”. Un cod WhatsApp, de bancă sau de e-mail e cheia contului tău.
- Pornește verificarea în doi pași la WhatsApp. Setări, Cont, Verificare în doi pași. Cu ea, un atacator care are doar codul SMS nu mai poate prelua contul.
- Verifică orice cerere de bani primită pe WhatsApp. Sună persoana pe numărul ei obișnuit, chiar dacă mesajul pare scris de ea.
- Folosește aplicația oficială a curierului ca să urmărești coletele, nu linkurile din SMS.
- Raportează mesajul în aplicația de mesaje (Google Messages sau iMessage) și blochează numărul.
- Vorbește cu cei apropiați. Spune-le concret: „un SMS cu coletul sau cu amenda nu se deschide. Mă suni și vedem împreună.”
- Pune limite și alerte pe card. O alertă la fiecare tranzacție te anunță în secunde.
Ce faci dacă ai dat clic sau ai dat date
- Dacă ai dat clic, dar nu ai scris nimic: închide pagina. De obicei nu s-a întâmplat nimic, dar nu o mai deschide.
- Dacă ai scris datele cardului: sună banca imediat, la numărul oficial, și cere blocarea cardului.
- Dacă ai dat un cod WhatsApp: reinstalează aplicația și înregistrează din nou numărul. Anunță-ți contactele pe altă cale să ignore orice cerere de bani venită de la tine. Pornește apoi verificarea în doi pași.
- Dacă ai scris o parolă: schimb-o imediat pe site-ul real și oriunde ai mai folosit-o, de pe alt dispozitiv.
- Păstrează dovezile: mesajul, numărul, ora și capturile de ecran.
- Raportează la DNSC, la numărul 1911 sau pe pnrisc.dnsc.ro, și depune plângere la Poliție dacă ai pierdut bani.
Nu te rușina. Mesajele sunt trimise în milioane de exemplare, iar oricine poate nimeri într-un moment grăbit.
Întrebări frecvente
Ce înseamnă smishing?
Smishing vine din „SMS” și „phishing” și înseamnă fraudă prin mesaj text. Un SMS te îndeamnă să dai clic pe un link fals sau să dai un cod, ca să ți se fure datele sau banii.
Pot fi păcălit doar dacă dau clic pe link?
Un clic, singur, e rareori suficient. Riscul apare când scrii pe pagina falsă datele cardului, o parolă sau un cod. Totuși, nu mai deschide linkul și nu scrie nimic acolo, iar dacă ai făcut-o, schimbă parolele.
De ce primesc SMS-uri despre colete pe care nu le aștept?
Mesajele sunt trimise în masă, la numere generate sau scurse. Statistic, destui destinatari așteaptă într-adevăr un colet, iar asta le face să funcționeze. Dacă nu aștepți nimic, ignoră-l.
Un SMS apărut în conversația băncii mele e sigur?
Nu neapărat. Numele expeditorului poate fi falsificat, iar mesajul poate apărea în aceeași conversație cu cele reale. Nu da clic pe linkuri nici în acest caz: deschide aplicația băncii și verifică acolo.
Mi-am pierdut contul de WhatsApp. Ce fac?
Reinstalează aplicația și reînregistrează numărul, apoi pornește verificarea în doi pași. Anunță-ți contactele pe altă cale să nu trimită bani. Dacă atacatorii au pus propriul cod PIN, poate fi nevoie de procedura de resetare a securității WhatsApp.
Surse și resurse
- Bitdefender, avertizare din 12 martie 2026: campania cu SMS-uri false FAN Courier și preluarea conturilor WhatsApp
- DNSC, avertizare din 27 iulie 2026: SMS-uri cu taxe de parcare false
- ANCOM, avertizare din 4 august 2026: SMS-uri și e-mailuri care imită curieri și furnizori poștali
- ANAF, avertizare din 6 martie 2025: SMS-uri false în numele instituției
- DNSC, comunicat din 15 iulie 2026: datele despre incidentele din primul semestru
- APWG, Phishing Activity Trends Report, trimestrul al doilea din 2026
- FTC, Data Spotlight „Top text scams of 2024”, aprilie 2025
- Google, acțiunea în justiție împotriva platformei Lighthouse, noiembrie 2025
- Unde raportezi: DNSC, telefon 1911 și pnrisc.dnsc.ro; Poliția Română, 112 în caz de urgență
Citește mai departe în această serie
- Ce este un vector de atac? Ușile prin care intră escrocii în 2026
- Ce este phishingul și cum te ferești de el în 2026?
- Ce este vishingul? Apelurile frauduloase și vocile clonate în 2026
- Ce este malware-ul? Aplicațiile false, infostealerele și ransomware-ul în 2026
- Resurse gratuite: ghidul Q4 Reset și planul de urgență „Primele 10 minute”
Despre autoare
Brîndușa Maria, Senior Software Test Analyst, certificată ISTQB® Certified Tester Advanced Level Test Analyst (CTAL-TA). Scriu despre cum recunoști escrocheriile online. LinkedIn
Notă: articolul se bazează pe cercetarea și experiența mea profesională. Am folosit unelte de inteligență artificială la redactare și la stilizare.
📢 Distribuie informațiile, fii în siguranță! 🔒✨ Apasă butoanele de share de mai jos și ajută-i și pe ceilalți să navigheze în siguranță pe Internet. Cu cât știm mai multe despre escrocheriile online, cu atât suntem mai protejați! 🚀💙