O campanie globală de „smishing” (înșelătorii prin SMS) care se dă drept taxe de drum, amenzi sau parcări a generat peste 79.000 de mesaje frauduloase și zeci de mii de linkuri malițioase, crescând riscul de pierderi financiare și compromitere a conturilor bancare, potrivit unei analize Bitdefender care urmărește fenomenul din decembrie 2025 și arată că atacurile erau încă active în aprilie 2026.

Cercetătorii Bitdefender Labs spun că escrocii trimit „zeci de mii” de SMS-uri în 12 țări, impersonând autorități de transport, operatori de taxare și servicii de parcare. Ținta este aceeași: să convingă destinatarii să plătească o „datorie” inexistentă, să ofere date sensibile (inclusiv date de card și, în unele cazuri, credențiale bancare) sau să instaleze aplicații spion.

De ce contează pentru utilizatori și companii

Dincolo de plata unei „amenzi” false, analiza indică un risc operațional mai mare: unele variante duc la furt de credențiale și, în anumite regiuni, la instalare de malware (software malițios) pe telefon. Bitdefender descrie o infrastructură care se adaptează rapid, cu generare accelerată de domenii (site-uri noi), falsificarea identității expeditorului (sender-ID spoofing) și tehnici de evitare orientate către sistemele de operare mobile.

În total, Bitdefender afirmă că a detectat:

• peste 79.000 de mesaje frauduloase, în peste 40 de campanii distincte de înșelătorii prin SMS;
• peste 29.200 de variante unice de mesaje;
• peste 31.900 de URL-uri diferite distribuite prin aceste SMS-uri.

Cercetătorii precizează că, deși activitatea este „răspândită și coordonată”, nu atribuie campaniile unui actor sau grup anume și nu există, în acest stadiu, o legătură confirmată care să le unească dincolo de tema comună (taxe/amenzi/parcări) și de similaritățile de tactică și livrare.

Cum funcționează schema: presiune, link și pagini de plată false

Mesajele sunt construite pentru a crea urgență: destinatarii sunt anunțați că au o taxă neplătită, o amendă sau o „contravenție” și li se impune un termen scurt de plată, de regulă între 24 și 72 de ore. În multe cazuri apar amenințări cu costuri suplimentare, suspendarea permisului, acțiuni legale sau alte consecințe, iar utilizatorul este împins să apese un link pentru „rezolvare”.

Linkul duce la un site fraudulos care imită portaluri oficiale. Acolo, victimele pot fi convinse să introducă date personale și financiare. În unele regiuni, în loc de o pagină de plată, utilizatorii ajung la descărcări de malware.

Exemple de evoluție pe piețe: de la „amenzi” la furt bancar și malware

Bitdefender detaliază mai multe variante, cu particularități locale:

• SUA: cea mai mare campanie urmărită, cu 17 campanii distincte; mesajele se dau drept DMVs (autorități de înmatriculare) și sisteme de taxare precum E‑ZPass, SunPass sau FastTrak. Analiza menționează și folosirea de nume de expeditor falsificate și livrare prin „short codes” (coduri scurte) pentru a părea mai credibile.
• Canada: în special în British Columbia, schema pornește de la o „amendă de parcare”, dar include o a doua etapă care vizează credențiale Interac e‑Transfer, ceea ce poate duce la compromiterea mai amplă a conturilor bancare.
• Australia: impersonarea operatorului Linkt, cu peste 2.200 de URL-uri scurtate folosite pentru a ascunde destinația reală; numele expeditorului poate face ca mesajul să apară în același fir de conversație cu notificări legitime, pe unele dispozitive.
• India: o componentă distinctă, în care mesajele pot livra malware (APK Android) mascat ca notificare de amendă; scopul depășește colectarea datelor de plată și urmărește instalarea de aplicații malițioase.

Tehnici observate pe mobil: „Reply Y”, caractere similare și domenii care se schimbă rapid

Printre metodele folosite pentru a crește rata de accesare a linkurilor, Bitdefender menționează:

• solicitarea de a răspunde cu „Y” înainte de accesarea linkului (o tehnică ce poate ocoli anumite blocaje, inclusiv pe iOS);
• folosirea de caractere chirilice care arată similar cu litere latine pentru a evita filtrele anti-spam bazate pe cuvinte-cheie;
• domenii care includ termeni precum „gov” sau „official”, deși nu sunt site-uri legitime;
• linkuri scurtate și înlocuirea frecventă a domeniilor pentru a rămâne active chiar după blocarea unor adrese.

Componenta de malware: control de la distanță și exfiltrare de date

În cazurile în care utilizatorii instalează aplicații malițioase, Bitdefender descrie un lanț de atac care poate include:

• colectare de informații despre dispozitiv (ID, versiune Android, IP, operator, baterie);
• acces și monitorizare SMS, inclusiv filtrare după cuvinte-cheie financiare;
• persistență (rulare continuă) prin servicii active, astfel încât să funcționeze și după repornirea telefonului.

Pentru comunicare și control, analiza indică o infrastructură duală:

• Telegram, folosit pentru trimiterea datelor furate către atacatori prin Telegram Bot API;
• Firebase Realtime Database, folosit ca panou de comandă și control, inclusiv pentru redirecționarea SMS-urilor, trimiterea de mesaje din numărul victimei și activarea/dezactivarea redirecționării apelurilor.

Ce pot face utilizatorii: verificarea linkurilor și raportarea tentativelor

Bitdefender recomandă prudență la SMS-urile care cer plăți rapide și accesarea linkurilor din mesaje nesolicitate. Pentru verificarea adreselor, compania indică instrumente proprii precum Bitdefender Link Checker și asistentul anti-înșelătorii Bitdefender Scamio. Pentru protecție pe Android, este menționată soluția Bitdefender Mobile Security. Context suplimentar despre tendințe este disponibil și în Scam Radar.

Bitdefender nu indică o dată de încheiere a campaniilor și notează că acestea erau încă active în aprilie 2026, pe fondul capacității atacatorilor de a schimba rapid domeniile și metodele de livrare.