Vishing
Vishing (voice phishing) to socjotechnika prowadzona głosem: telefon, poczta głosowa, czasem rozmowa w komunikatorze z „dzwonkiem”. Cel jest ten sam co w phishingu: wyłudzić tajemnicę, skłonić do przelewu, instalacji zdalnego pulpitu albo ujawnienia kodu z SMS. Kanał jest inny. Emocja i autorytet działają szybciej, gdy ktoś mówi „teraz”.
Na blackweb.pl opisujemy wzorce, nie skrypt oszusta. Bank prawdziwy nie prosi o pełne hasło ani o BLIK „do weryfikacji tożsamości pracownika”. Policja nie każe wieszać gotówki na „konto techniczne”.
Jak wygląda typowy przebieg (opisowo)
Dzwonek. Numer wygląda znajomo albo jak infolinia. Głos spokojny albo alarmujący: „wykryto przelew”, „konto zajęte przez komornika”, „wnuk w wypadku”. Presja czasu. Prośba o kod, o instalację AnyDesk / TeamViewer, o przelew „ochronny”. W tle szum call center. Ofiarę prowadzi się krok po kroku, zanim zdąży zweryfikować kanałem niezależnym.
Wariant speara: dzwoniący zna imię, numer sprawy, fragment PESEL z wycieku. To nie dowód, że jest z banku. To dowód, że ktoś przeczytał OSINT albo dump.
Spoofing numeru
Wyświetlany numer da się podrobić. Napis „Bank X” na ekranie nie jest kryptograficznym dowodem. CLI i manipulacja prezentacją numeru są w arsenale od lat. Jedyna rozsądna weryfikacja: rozłączyć się, wybrać numer ze strony instytucji albo ze znanej aplikacji bankowej, nie z wizytówki w SMS i nie z podpowiedzi dzwoniącego.
Oddzwonienie na ten sam numer, który właśnie się odezwał, nic nie sprawdza, jeśli numer jest sfałszowany albo przekierowany.
Vishing a inne kanały
Smishing przygotowuje grunt SMS-em („zaraz zadzwonimy”). Mail phishingowy podaje „numer infolinii” prowadzący do oszusta. Łańcuch wielokanałowy jest dziś normą. Obrona jest ta sama: nie ufać jednemu kanałowi pod presją; potwierdzać drugim, wcześniej znanym.
Technicznie vishing nie obchodzi firewalla. Atakuje człowieka i procedurę. 2FA pomaga przy kradzieży hasła; nie pomaga, gdy ofiara sama dyktuje kod „pracownikowi”.
Co robić (higiena, nie poradnik ataku)
Rozłączyć się. Nie instalować zdalnego pulpitu na żądanie nieznajomego głosu. Nie dyktować haseł ani pełnych kodów. Skontaktować się z bankiem / operatorem własnym numerem. Zgłosić próbę według lokalnych kanałów (w Polsce m.in. ścieżki CERT / banku). Jeśli doszło do przelewu albo przejęcia sesji: działać szybko z oficjalnym supportem, nie z „doradcą”, który właśnie dzwonił.
Rodzina bywa wektorem: „wnuk w tarapatach” działa, bo emocja jest prawdziwa. Ustal z bliskimi hasło rodzinne do pilnych spraw albo zasadę: zero przelewów po jednym telefonie. To nuda. Działa częściej niż wykład o spoofingu.
Wniosek na blackweb.pl: głos i numer to słabe dowody tożsamości. Autorytet plus strach to stary przepis. Warstwa techniczna pomaga później; w momencie rozmowy liczy się odmowa i niezależna weryfikacja.