W skrócie
Vishing to phishing przez telefon. Atakujący podaje się za bank, dostawcę, pracownika działu IT albo przełożonego i prosi o dane, kod lub przelew. Obronę zapewnia zasada oddzwonienia na znany numer oraz ćwiczenie rozmów, w których ktoś naciska i się spieszy.
| Pojęcie | Znaczenie |
|---|---|
| Vishing | wyłudzenie danych lub pieniędzy w rozmowie telefonicznej |
| Pretekst | wiarygodna historia, którą rozmówca opowiada, żeby uzasadnić prośbę |
| Oddzwonienie | weryfikacja rozmówcy przez połączenie na numer, który znamy z niezależnego źródła |
Vishing co to jest?
Nazwa łączy angielskie słowa oznaczające głos i phishing. Rozmówca nie wysyła linku, tylko prowadzi rozmowę, w której to sama ofiara wykonuje czynność: podaje kod, instaluje program do zdalnej pomocy albo zleca przelew.
Dużą rolę gra tempo. Człowiek w rozmowie nie ma czasu, żeby porównać fakty, a uprzejmy, pewny siebie głos ułatwia uległość. Atakujący często zaczyna od drobnych, niewinnych pytań i dopiero później przechodzi do właściwej prośby.
Vishing przykłady z życia firmy
Scenariusze są powtarzalne, a my opisujemy je tu ogólnie, bez wskazywania konkretnych zdarzeń. Typowe vishing przykłady to:
- telefon od rzekomego konsultanta banku, który mówi o podejrzanej transakcji i prosi o kod autoryzacyjny,
- rozmowa z osobą z "działu IT", która prosi o zainstalowanie narzędzia do zdalnego połączenia,
- telefon od niby dostawcy, który informuje o zmianie rachunku do płatności,
- połączenie od osoby podającej się za przełożonego, która prosi o pilny przelew i dyskrecję,
- telefon z prośbą o potwierdzenie danych pracownika, które później posłużą do kolejnego ataku.
Dlaczego telefon działa tak dobrze?
Po pierwsze, głos wzbudza zaufanie, bo kojarzy się ze znaną osobą. Po drugie, rozmówca może reagować na zachowanie ofiary i zmieniać argumenty. Po trzecie, nie zostaje ślad, który można spokojnie przeczytać i ocenić po fakcie.
Do tego dochodzi presja organizacyjna. Księgowa, recepcjonistka albo pracownik wsparcia odbierają telefony w pracy i zwykle chcą być pomocni. Atakujący wykorzystuje tę uprzejmość.
Jak rozpoznać vishing podczas rozmowy?
Alarmem powinny być sygnały takie jak:
- nacisk na natychmiastowe działanie i groźba konsekwencji,
- prośba o kod, hasło lub dane, których prawdziwa instytucja nie wymaga przez telefon,
- namowa do zachowania sprawy w tajemnicy,
- prośba o instalację programu albo wejście na wskazaną stronę w trakcie rozmowy,
- numer lub głos, które wydają się znajome, ale towarzyszy im nietypowa prośba.
Jak się bronić przed vishingiem?
Najważniejszą zasadą jest oddzwonienie. Rozłącz się i zadzwoń na numer znany z niezależnego źródła, na przykład z umowy lub oficjalnej strony. Prawdziwa instytucja nie ma z tym problemu.
W działach finansowych warto dodać dwie rzeczy: dwie osoby przy zmianie rachunku oraz zakaz zmian w przelewach na podstawie samej rozmowy. O takich scenariuszach piszemy szerzej w opisie podstrony fałszywa faktura, która pokazuje procedurę oddzwonienia krok po kroku.
Jak ćwiczyć rozmowy telefoniczne?
Rozmowa wymaga innego treningu niż wiadomość. Pracownik powinien przećwiczyć, że wolno przerwać rozmowę, powiedzieć "oddzwonię" i nie ma w tym nic niegrzecznego. W Naiwne scenariusz telefoniczny jest jednym z kanałów kampanii, obok e-maila i SMS-a, a po zdarzeniu uczestnik dostaje krótką lekcję.
Zobacz też, jak podobna presja wygląda w wiadomościach tekstowych, w artykule o smishingu.