Vishing

Spośród wszystkich odmian phishingu vishing jest najtrudniejszy do zatrzymania narzędziami technicznymi. W rozmowie głosowej nie ma linku do przeskanowania ani załącznika do analizy w piaskownicy. Zostaje sam głos, presja i decyzja, którą ofiara podejmuje w kilka sekund. Sztuczna inteligencja przesuwa dziś granicę tego zagrożenia jeszcze dalej, bo pozwala podrobić głos konkretnej osoby i prowadzić oszukańczą rozmowę w czasie rzeczywistym.

Co to jest vishing?

Vishing (od ang. voice phishing) to oszustwo telefoniczne, w którym przestępca podszywa się pod zaufaną instytucję lub osobę, aby wyłudzić poufne dane albo nakłonić ofiarę do działania na jej szkodę – najczęściej przelewu lub instalacji oprogramowania. Atak prowadzony jest przez połączenie głosowe, klasyczne lub realizowane przez VoIP.

Vishing należy do rodziny ataków phishingowych, ale różni się od nich kanałem i dynamiką. Phishing e-mail i smishing (wariant SMS) opierają się na wiadomości, którą odbiorca może odczytać ponownie, sprawdzić nadawcę i adres linku. Vishing działa inaczej, bo manipulacja odbywa się na żywo. Rozmówca nie daje czasu na weryfikację, reaguje na wątpliwości ofiary i dostosowuje scenariusz w trakcie połączenia. To właśnie brak materialnego śladu i presja czasu rzeczywistego decydują o skuteczności tej metody.

Jak działa atak vishingowy? Schemat krok po kroku

Większość kampanii vishingowych przebiega według powtarzalnego schematu, w którym kolejne kroki budują na sobie wiarygodność i emocje:

• Spoofing numeru. Oszust podszywa się pod numer telefonu banku, urzędu lub policji, tak aby na wyświetlaczu ofiary pojawiła się znana, oficjalna infolinia. Zgodność numeru z prawdziwym usypia czujność jeszcze przed rozpoczęciem rozmowy.
• Scenariusz i budowanie autorytetu. Dzwoniący przedstawia się jako pracownik banku, konsultant „działu bezpieczeństwa” albo funkcjonariusz. Posługuje się branżową terminologią i często zna fragmenty danych ofiary, na przykład imię, nazwisko lub ostatnie cyfry numeru karty pochodzące z wcześniejszego wycieku.
• Presja czasu i strach. Pojawia się informacja o rzekomym włamaniu na konto, podejrzanej transakcji albo blokadzie środków. Celem jest wytrącenie ofiary z równowagi i skłonienie jej do działania bez zastanowienia.
• Wyłudzenie lub przejęcie kontroli. W finale ofiara podaje kod BLIK, PIN albo kod autoryzacyjny SMS, przelewa pieniądze na wskazane „bezpieczne” konto lub instaluje aplikację do zdalnego pulpitu (np. AnyDesk), która oddaje przestępcy kontrolę nad telefonem lub komputerem.

Vishing AI – jak sztuczna inteligencja zmienia oszustwa głosowe

Vishing AI to oszustwo głosowe wykorzystujące sztuczną inteligencję do klonowania głosu i automatyzacji rozmowy, dzięki czemu przestępca może podszyć się pod konkretną osobę lub prowadzić wiarygodną manipulację na masową skalę. Do sklonowania barwy głosu wystarczy dziś kilka sekund nagrania, na przykład z nagrania wideo w mediach społecznościowych lub firmowego webinaru.

Ta warstwa zmienia charakter zagrożenia z dwóch powodów.

• Po pierwsze, znikają sygnały, na których do tej pory opierało się rozpoznawanie oszustwa: obcy akcent, sztuczna intonacja czy językowe potknięcia. Syntetyczny głos brzmi naturalnie, a systemy potrafią odpowiadać na pytania ofiary w czasie rzeczywistym.
• Po drugie, automatyzacja pozwala prowadzić setki równoległych rozmów, co wcześniej wymagało zaangażowania całych grup przestępczych.

W organizacjach otwiera to nowy wektor ataków kierunkowych. Sklonowany głos prezesa proszącego o pilny przelew lub „informatyka” naprowadzającego pracownika na instalację oprogramowania to scenariusze, które przestają być teoretyczne.

Mechanikę takich ataków oraz sposoby ograniczania ryzyka rozłożyliśmy na czynniki pierwsze podczas bezpłatnego cyklu webinarów AI vs Cybersecurity. Cykl objął cztery spotkania poświęcone wykorzystaniu AI po stronie atakujących i obrońców, a dostęp do nagrań oraz materiałów wciąż można odebrać.

Jak rozpoznać vishing? Sygnały ostrzegawcze

Vishing można rozpoznać po kilku powtarzalnych sygnałach, niezależnie od tego, jak wiarygodnie brzmi rozmówca:

• Telefon rzekomo z banku lub urzędu, podczas którego rozmówca prosi o podanie hasła, PIN-u, kodu BLIK albo kodu autoryzacyjnego z SMS-a.
• Silna presja natychmiastowego działania, uzasadniana zagrożeniem dla pieniędzy lub konta.
• Prośba o zainstalowanie aplikacji „pomocniczej” albo o przejście do połączenia zdalnego, by „zabezpieczyć środki”.
• Polecenie przelania pieniędzy na nowe, „techniczne” lub „bezpieczne” konto.
• Numer na wyświetlaczu zgodny z oficjalną infolinią, mimo że treść rozmowy budzi wątpliwości – spoofing sprawia, że sam numer nie jest dowodem autentyczności.

Jak chronić się przed vishingiem?

Ochrona przed vishingiem działa na dwóch poziomach: indywidualnej reakcji w trakcie podejrzanej rozmowy oraz procedur i treningu po stronie organizacji.

W reakcji indywidualnej najskuteczniejsza jest jedna zasada: w razie wątpliwości rozłącz się i oddzwoń samodzielnie na numer wpisany ręcznie, na przykład z odwrotu karty płatniczej lub oficjalnej strony banku. Nie należy podawać przez telefon haseł, kodów PIN ani kodów autoryzacyjnych, bo prawdziwy pracownik banku nigdy o nie nie poprosi. Bank nie prosi też o przelew na „bezpieczne” konto ani o instalację aplikacji do zdalnego dostępu.

Na poziomie organizacji vishing wymaga czegoś więcej niż jednorazowego szkolenia. Potrzebne są jasne procedury weryfikacji tożsamości dzwoniącego, zwłaszcza przy poleceniach finansowych, oraz regularny trening pracowników na realistycznych scenariuszach. Tu sprawdzają się symulacje kontrolowane, które pokazują rzeczywistą podatność zespołu i pozwalają ćwiczyć bezpieczne reakcje, zanim z tym samym scenariuszem zadzwoni prawdziwy oszust.

Takie ćwiczenia umożliwia nasza autorska, polska platforma do symulacji cyberataków, obsługująca między innymi kampanie phishingowe i smishingowe, a wkrótce także vishing zintegrowany z AI. Platforma działa w modelu SaaS lub on-premise, a dane nie opuszczają Unii Europejskiej. Jeśli chcesz zobaczyć od środka, jak wygląda taka symulacja i raportowanie wyników, umów bezpłatne demo platformy.

Co zrobić, gdy padłeś ofiarą vishingu?

Jeśli w trakcie rozmowy podałeś dane logowania lub kody autoryzacyjne, działaj od razu.

1. W pierwszej kolejności zmień hasła do bankowości i kont powiązanych.
2. Następnie skontaktuj się z bankiem, aby zablokować kartę lub podejrzane transakcje.
3. Jeśli zainstalowałeś aplikację wskazaną przez rozmówcę, odłącz urządzenie od sieci i przeskanuj je programem antywirusowym, a w razie wątpliwości zleć jego sprawdzenie specjaliście.

Incydent warto zgłosić, by ograniczyć skutki i pomóc zablokować kampanię. Podejrzane połączenia i wiadomości można zgłaszać do CERT Polska, a schematy oszustw oraz wskazówki znajdziesz w rządowym serwisie gov.pl. W przypadku strat finansowych zgłoś sprawę również organom ścigania.

FAQ – vishing

Czym różni się vishing od phishingu i smishingu?

Vishing wykorzystuje połączenie głosowe, phishing – wiadomości e-mail, a smishing – SMS-y. Różnica nie sprowadza się do kanału. W vishingu manipulacja odbywa się w czasie rzeczywistym, więc ofiara nie ma możliwości spokojnego sprawdzenia nadawcy ani linku, a przestępca na bieżąco reaguje na jej wątpliwości.

Czy vishing AI da się wykryć?

Coraz trudniej rozpoznać go po samym brzmieniu głosu, ponieważ klonowanie eliminuje akcent i sztuczną intonację. Skuteczniejsze jest trzymanie się procedury: weryfikacja tożsamości przez oddzwonienie na znany numer i zasada, że żadnej pilnej prośby o pieniądze lub dane nie potwierdza się w tej samej rozmowie.

Gdzie zgłosić próbę vishingu w Polsce?

Podejrzane połączenia i wiadomości zgłosisz do CERT Polska przez formularz na incydent.cert.pl. Opisy aktualnych schematów oszustw prowadzą też gov.pl oraz Komisja Nadzoru Finansowego. Jeśli doszło do straty finansowej, zawiadom dodatkowo policję.

Jak sprawdzić odporność pracowników na vishing?

Najpewniej działa kontrolowana symulacja na realistycznym scenariuszu głosowym, która pokazuje w liczbach, ilu pracowników podaje dane lub wykonuje polecenie rozmówcy. W ramach Praktycznego Treningu Antyphishingowego takie ćwiczenia dopasowujemy do branży i stanowisk, a wyniki trafiają do raportów gotowych dla zarządu i audytorów.