如果你想知道Smishing 是什么，最短答案是：smishing 即 SMS phishing，中文一般叫“短信钓鱼”，是通过短信实施的钓鱼攻击。 NIST 和 FTC 都把这类短信描述为借链接、电话、回复指令或伪装身份，诱导你泄露账号、验证码、银行卡信息，或者直接安装恶意软件。［1］［2］［3］

它和普通垃圾短信最大的区别，不在于“讨不讨厌”，而在于它有明确的骗取目标。有的是要你点进假页面登录，有的是催你付款，有的是让你回拨假客服。

这也是为什么很多 smishing 看起来比传统邮件钓鱼更容易上钩。短信更短、更急、更像系统通知，而且很多人对手机天然警惕性更低。

你可以把这篇网络安全指南作为基线清单，顺手检查账号、设备、浏览器和网络加固。

如果你最近同时也在被陌生来电或区号骚扰，和陌生区号电话是骗局吗？一起看会更容易把电话和短信骗局放到同一套判断框架里。

关键要点

Smishing 就是短信钓鱼，不只是普通 spam。［1］［2］［3］

常见话术包括快递异常、账户冻结、道路收费、中奖、税务退费和银行验证。

真正危险的动作通常是点链接、回拨电话、回复敏感信息或安装文件。

受骗后别只删短信，更要改密码、检查账户和支付工具。

短信之所以高效，是因为它更容易制造“马上处理”的压迫感。

Smishing 是什么，它和普通垃圾短信有什么区别？

垃圾短信可能只是营销、骚扰或群发广告； smishing 则更明确地瞄准你的信息、账户、验证码或钱。

换句话说，smishing 更像是“披着短信外衣的钓鱼攻击”。

Smishing 常见套路有哪些？

假快递或包裹异常

让你点链接补地址、补税费、重新投递。

假银行或支付验证

说你的账户有异常登录、待处理转账、被冻结，需要立刻验证。

假政府通知或收费提醒

比如道路收费、税务、罚款、社保或证件续期。

假抽奖、礼品卡或优惠返现

靠“限时领取”把你赶进假页面。

这些套路的共同点，是都想让你马上做动作，而不是给你时间核实。

怎么判断一条短信像不像 smishing？

下面这些信号越多，风险越高：

用紧急口吻逼你马上处理；
链接域名很怪，或者看起来像缩写、拼写错位；
要你提供验证码、卡号、密码或身份证件信息；
发件人看起来像机构，但语气和格式很粗糙；
让你绕开官方 App，改去网页或回拨陌生号码。［1］［2］［3］

如果你最近已经点过类似链接，可以直接接着看钓鱼链接误点处理清单。

如果它伪装成的是“账户异常”或“安全验证”，那篇常见钓鱼攻击的识别与防范也能帮助你把短信钓鱼和更广义的 phishing 放到一起看。

为什么 smishing 这几年特别高发？

因为手机是大家最频繁处理信息的地方。通知一来，很多人几乎是条件反射地点开。

再加上短信天然短、上下文少，看起来像“系统在催办事”，更容易利用紧迫感和权威感。NIST 和 FTC 在相关指引中强调的，也是这种社会工程学特征。［2］［3］

收到 smishing 短信，最稳的处理顺序是什么？

1. 不点、不回、不回拨

别帮对方确认号码有人在用，也别顺着它给的入口走。

2. 自己去官方 App 或官网核实

如果真担心账户异常，自己手动打开官方 App、官网或卡背面的客服电话。

3. 标记、拦截、举报

手机系统和运营商通常都有垃圾短信过滤或举报能力。如果你是 Android 用户，也可以配合Android 垃圾短信拦截方法一起做。

如果它已经和电话骚扰一起出现，也别忽略骚扰电话拦截这条线。

4. 如果已经点了链接，马上补救

重点检查：

有没有输入账号密码；
有没有输入银行卡信息；
有没有安装配置文件或 App；
有没有交出短信验证码。

只删短信并不够，后面这些影响才是真正需要处理的。

如果已经上当了，先做什么？

改相关账号密码

尤其是和短信里提到的服务相关的账户。

联系银行或支付平台

如果涉及支付信息、卡号或验证码，越早联系越好。

检查设备和消息转发设置

如果你装了陌生 App、配置文件，或发现验证码被异常读取，就不能只当成“点错链接”。

留证并举报

保留短信截图、号码、链接、付款记录和时间线，后续处理会更顺。

我的建议：别把短信当成“比邮件更可信”的渠道

很多人明明会警惕可疑邮件，却会相信短信里的“官方提醒”。但从攻击者角度看，短信只是换了一个更容易制造即时反应的壳。

你真正该信任的，不是消息的外形，而是你能不能脱离它提供的入口，回到官方渠道重新核实。

如果你准备把钓鱼、短信诈骗、账号保护和补救顺序一起系统补上，网络安全完全指南也可以作为总入口。

如果你想顺着诈骗场景继续看真实案例，也可以补读Coinbase 假邮件的识别与补救。

如果你更想看“假客服”和“假退款”这类老套路怎么演变，也可以继续看Geek Squad 假续费诈骗的识别方法。

总结

Smishing 是什么，一句话就是：通过短信实施的钓鱼攻击。［1］［2］［3］
它和普通垃圾短信的区别，在于目标是骗走信息、账号控制权或资金。
处理原则很简单：不点、不回、不回拨，自己去官方渠道核实。
一旦已经点开或输入信息，后续补救比“删短信”重要得多。

常见问题（FAQ）

Smishing 和 phishing 有什么区别？

Smishing 是 phishing 的一个分支，只是载体从邮件等渠道换成了短信。［1］［2］

收到银行短信就一定是真的吗？

不一定。发件人名称、文本格式和链接都可能被伪装。

手机点到 smishing 钓鱼网站怎么办？

先停在该页面，不要输入任何信息，也不要安装它提供的文件。如果只是打开过，检查是否有异常下载或跳转，并留意账户活动。若已安装 App 或配置文件，先把它删除；若输入了密码或验证码，通过官方 App 修改密码并退出其他会话；若输入了银行卡信息，立即联系银行。

回复“STOP”有用吗？

对正规营销短信可能有用，但对诈骗短信未必安全，最好先确认来源。

Smishing 只会骗钱吗？

不只是钱，也可能骗账号、验证码、设备权限或安装恶意软件。［2］［3］

最稳的核实方法是什么？

自己手动打开官方 App、官网，或者拨打你自己查到的官方电话。

免责声明

本文仅供一般网络安全教育参考，不构成诈骗追偿、账户恢复成功承诺或法律意见。不同国家、地区和机构对举报渠道与处置流程可能存在差异。

来源

NIST, My Research Can Help Protect You From Hackers: https://www.nist.gov/blogs/taking-measure/my-research-can-help-protect-you-and-your-company-hackers-trying-steal-your
NIST, Phishing guidance: https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing
FTC, How to recognize and report spam text messages: https://consumer.ftc.gov/articles/how-recognize-and-report-spam-text-messages

Sources checked 2026 年 10 月 4 日。

延伸阅读：

Smishing 是什么？它不是普通垃圾短信，而是把你一步步骗走信息和钱