Вишинг (голосовой фишинг) — атака с использованием социальной инженерии по телефону, при которой преступники выдают себя за банк, службу поддержки, полицию или коллегу, чтобы получить деньги, пароли или доступ.
Как работает вишинг
Вишинг соединяет классическое телефонное мошенничество с приёмами фишинга. Звонящие используют спуфинг номера, чтобы на экране отобразился настоящий номер банка, готовят правдоподобный сценарий и создают срочность: «подозрительные операции по счёту», «компьютер заражён», «нужно срочно подтвердить личность». Распространённые сценарии:
- «служба безопасности банка» выпытывает данные карты или одноразовые коды;
- мошенническая техподдержка уговаривает установить программу удалённого доступа;
- звонки в ИТ-поддержку компании от имени сотрудника с просьбой сбросить пароль или привязать новое устройство MFA;
- автоматические «OTP-боты», которые звонят жертвам и собирают коды двухфакторной аутентификации.
Почему это важно
Голосовой звонок воспринимается лично и не оставляет времени подумать, поэтому социальная инженерия по телефону очень эффективна. Звонки в службу поддержки стали серьёзным вектором атак на компании: в 2023 году группировка Scattered Spider взломала MGM Resorts, позвонив в хелпдеск от имени сотрудника. А дипфейки позволяют клонировать голос реального руководителя.
Как защититься
- Положить трубку и перезвонить по официальному номеру с сайта банка или с карты.
- Никогда не сообщать по телефону одноразовые коды, пароли и PIN-коды — банки их не спрашивают.
- Компаниям — требовать строгой проверки личности перед сбросом паролей и MFA в службе поддержки.
- Договориться о кодовых словах для срочных финансовых просьб в компании и семье.
