Sms-phishing of smishing is een vorm van cybercriminaliteit. Een cybercrimineel probeert persoonlijke informatie te verkrijgen van iemand door een sms-tekstbericht met misleidende informatie te sturen naar een slachtoffer. De cybercrimineel kan zich voordoen als een vertrouwd persoon of bedrijf, waardoor het slachtoffer geneigd is om een link in de sms te openen, en dan persoonlijke informatie (zoals details van de creditcard of wachtwoorden van het slachtoffer) door te geven en/of eventuele malware te downloaden.
Smishing is afkomstig uit het samenvoegen van de woorden "sms" (short message service) en "phishing".
De volgende elementen zijn kenmerkend voor een smishing-bericht:
In 2016 hadden enkele oplichters het gemunt op iPhone-gebruikers. De gebruikers kwamen via een sms-bericht te weten dat hun Apple-ID ging verlopen, en dat deze verder kon geactiveerd worden door enkele stappen te volgen in een link. Via deze link probeerden de criminelen creditcard-gegevens van slachtoffers te weten te komen.
Rabobank waarschuwde in 2015 zijn klanten dat criminelen uit waren op de persoonlijke gegevens van hun klanten. Ook hier werd er door de criminelen een sms-bericht gestuurd en gevraagd om een link te openen. De slachtoffers waren ook toen geneigd om deze link te openen en persoonlijke informatie mee te delen.
In december 2019 werd door het Openbaar Ministerie melding gemaakt van "een man uit Noord-Nederland" die bijna een miljoen euro zou zijn kwijtgeraakt door phishing middels een sms-bericht, de grootste zaak in zijn soort tot nu toe.
In mei 2021 ging een golf van duizenden smishing-berichten door België, zogenaamd afkomstig van bpost, met verzoek een frauduleuze app te downloaden.