Вішинг (голосовий фішинг) — атака із застосуванням соціальної інженерії телефоном, коли злочинці видають себе за банк, службу підтримки, поліцію чи колегу, щоб отримати гроші, паролі або доступ.
Як працює вішинг
Вішинг поєднує класичне телефонне шахрайство з прийомами фішингу. Шахраї використовують спуфінг номера, щоб на екрані з’явився справжній номер банку, готують правдоподібний сценарій і створюють терміновість: «підозрілі операції за рахунком», «комп’ютер заражено», «треба негайно підтвердити особу». Поширені сценарії:
- «служба безпеки банку» випитує дані картки чи одноразові коди;
- шахрайська техпідтримка вмовляє встановити програму віддаленого доступу;
- дзвінки до ІТ-підтримки компанії від імені працівника з проханням скинути пароль чи прив’язати новий пристрій MFA;
- автоматичні «OTP-боти», що телефонують жертвам і збирають коди двофакторної автентифікації.
Чому це важливо
Голосовий дзвінок сприймається особисто й не залишає часу подумати, тому соціальна інженерія телефоном дуже ефективна. Дзвінки до служби підтримки стали серйозним вектором атак на компанії: 2023 року угруповання Scattered Spider зламало MGM Resorts, зателефонувавши в хелпдеск від імені працівника. А діпфейки дають змогу клонувати голос реального керівника.
Як захиститися
- Покласти слухавку й передзвонити за офіційним номером із сайту банку чи з картки.
- Ніколи не повідомляти телефоном одноразові коди, паролі та PIN-коди — банки їх не запитують.
- Компаніям — вимагати суворої перевірки особи перед скиданням паролів і MFA у службі підтримки.
- Домовитися про кодові слова для термінових фінансових прохань у компанії та родині.
