Phishing kojarzy się z mailem, smishing z SMS-em. Vishing to ta sama socjotechnika prowadzona głosem: ktoś dzwoni, przedstawia się jako pracownik banku, policjant albo informatyk z działu IT, i w kilkanaście minut wyprowadza oszczędności z konta. Rozmowa działa skuteczniej niż wiadomość, bo nie zostawia czasu na sprawdzenie. Decyzję podejmujesz na gorąco, ze słuchawką przy uchu i z kimś, kto mówi spokojnym, przećwiczonym tonem.
Czym jest vishing
Nazwa to zbitka angielskich słów voice i phishing, czyli wyłudzanie danych głosem. Celem rozmowy jest zawsze jedna z czterech rzeczy: kod autoryzacyjny z SMS-a, dane logowania do bankowości, przelew na wskazane konto albo zdalny dostęp do komputera. Oszust nie łamie żadnego zabezpieczenia, bo prosi Cię, żebyś zrobił to za niego.
Od zwykłego telemarketingu vishing różni się jednym: telemarketer chce coś sprzedać i zniesie odmowę, a oszust potrzebuje, żebyś wykonał konkretną czynność w ciągu najbliższych minut. Stąd bierze się cała presja w takiej rozmowie.
Trzy scenariusze, które słychać najczęściej
Fałszywy konsultant banku. Dzwoniący informuje o podejrzanej transakcji, prosi o potwierdzenie tożsamości, a potem o kod z SMS-a albo o przeniesienie pieniędzy na „konto techniczne”. Prawdziwy bank nie prosi o przelew na inne konto ani o podanie kodu, który przyszedł w wiadomości.
Fałszywy policjant lub prokurator. Scenariusz zakłada, że jesteś świadkiem w sprawie o wyłudzenia w Twoim banku i pomagasz w akcji. Częścią tej akcji okazuje się wypłata gotówki albo instalacja aplikacji do zdalnego pulpitu. Policja nie prowadzi operacji przez telefon i nie prosi obywateli o przelewy.
Fałszywy dział IT. Ofiara słyszy, że jej komputer jest zainfekowany i wymaga natychmiastowej pomocy przez program do zdalnego dostępu. Ten wariant rozkładamy na części w artykule o fałszywym telefonie o wirusie.
Dlaczego to działa
- Numer na wyświetlaczu wygląda znajomo. Podmiana prezentacji numeru jest tania i powszechna, o czym piszemy w tekście o spoofingu telefonicznym.
- Autorytet. Konsultant zna Twoje imię, końcówkę numeru karty albo nazwę banku, bo dane pochodzą z wycieku. To wystarczy, żeby uwiarygodnić resztę rozmowy.
- Presja czasu. Zdanie o transakcji, która zaksięguje się za dwie minuty, odcina możliwość konsultacji z kimkolwiek.
- Głos, któremu ufasz. Sklonowanie głosu z kilkunastu sekund nagrania jest już w zasięgu domowego sprzętu, o czym piszemy przy okazji deepfake'ów głosowych.
Sygnały ostrzegawcze w trakcie rozmowy
Prośba o kod z SMS-a lub hasło. Nakłanianie do zainstalowania aplikacji. Sugestia, żeby się nie rozłączać i nie konsultować z rodziną. Propozycja przelewu na „bezpieczne konto”. Groźba zablokowania środków, jeśli nie zadziałasz natychmiast. Każdy z tych elementów osobno wystarczy, żeby zakończyć rozmowę.
Jedyna obrona, która działa zawsze
Rozłącz się i oddzwoń na numer z odwrotu karty płatniczej, z umowy albo z oficjalnej strony banku. Nie oddzwaniaj na numer widoczny na ekranie i nie korzystaj z numeru podyktowanego przez rozmówcę. Jeśli nie wiesz, kto dzwonił, sprawdź numer w naszej wyszukiwarce: przy kampaniach oszustów komentarze pojawiają się zwykle w ciągu kilku godzin od pierwszej fali połączeń.
Sprawdź też, czy na Twoim numerze nikt nie ustawił przekierowania połączeń. To druga popularna metoda przechwytywania kontaktu z bankiem.
Podałeś dane. Co teraz
- 1Zadzwoń na infolinię banku, zastrzeż kartę i zablokuj dostęp do bankowości.
- 2Zmień hasła do bankowości i do poczty, z której odzyskuje się dostęp do konta.
- 3Zgłoś incydent na incydent.cert.pl, a podejrzany SMS przekaż na numer 8080.
- 4Złóż zawiadomienie na policji: numer sprawy przyda się w reklamacji w banku.
Kolejne kroki, w tym reklamację i chargeback, opisujemy w poradniku o odzyskiwaniu pieniędzy po oszustwie, a pełną listę instytucji w tekście gdzie zgłosić oszustwo telefoniczne.
Najczęściej zadawane pytania
Czym vishing różni się od phishingu i smishingu?
Kanałem. Phishing to wyłudzenie przez wiadomość, najczęściej mail, smishing przez SMS, a vishing przez rozmowę głosową. Socjotechnika jest ta sama, ale rozmowa daje oszustowi przewagę: reaguje na Twoje wątpliwości w czasie rzeczywistym i podnosi presję. Wariant SMS-owy opisujemy w przewodniku po smishingu.
Czy bank może zadzwonić i prosić o potwierdzenie danych?
Bank potrafi zadzwonić, na przykład przy nietypowej transakcji, ale weryfikacja wygląda inaczej niż u oszusta: konsultant nie prosi o pełne hasło, o kod z SMS-a ani o przelew. Jeśli rozmowa idzie w tę stronę, rozłącz się i oddzwoń na oficjalny numer.
Czy oszust naprawdę może wyświetlić numer mojego banku?
Tak. Podmiana prezentacji numeru jest technicznie prosta i nie wymaga dostępu do infrastruktury banku. Dlatego numer na wyświetlaczu nie jest dowodem tożsamości rozmówcy.
Gdzie zgłosić próbę vishingu, jeśli nic nie straciłem?
Na incydent.cert.pl. Zgłoszenia bez strat też mają wartość, bo pozwalają namierzyć kampanię i zablokować powiązane domeny. Numer możesz dodatkowo opisać w komentarzu na naszej stronie, żeby ostrzec kolejne osoby.
