Что такое вишинг? Объяснение вишинговых атак

Вишинг - это особая форма фишинговых атак. Буква "v" указывает на то, что эта форма атаки осуществляется с помощью голоса по телефону. Вишинг обманывает жертв, заставляя их сообщать свою личную информацию. В этих попытках также могут использоваться методы социальной инженерии, такие как предлог, и уловки вроде подмены идентификатора звонящего. Вишеры обычно используют технологию Voice over Internet Protocol (VoIP), которая позволяет совершать звонки, используя широкополосное подключение к Интернету вместо обычной телефонной линии. Это делает их усилия более эффективными. Итак, что вы должны знать о вишинге и вишинговых атаках?

Все вишинги совершаются с целью выманить личные данные у предполагаемой цели, в основном для получения финансовой выгоды. Вишинг действует следующим образом: жертва связывается по телефону и просит предоставить конфиденциальную информацию, например, номера счетов, пароли, PIN-коды и номера социального страхования.

Кто-то может притвориться, что запрашиваемые им данные необходимы для проверки учетных записей клиентов или повышения уровня их защиты и т. д. Все это - лишь ловкое прикрытие социальной инженерии, пытающейся завоевать доверие ничего не подозревающей жертвы.

Эти преступники также могут использовать своеобразный способ продажи бесплатных подарков или низких процентных ставок, чтобы заманить своих жертв и заставить их сообщить личную информацию. Вишинг не является новой формой мошенничества, но в настоящее время он превратился в гораздо более опасную угрозу. В основном это связано с тем, что технология VoIP-звонков стала совместима с роботами-звонильщиками. Такой технологический прогресс сделал эти операции гораздо более масштабными, а значит - гораздо более прибыльными для тех, кто придумывает подобные схемы.

Вишинг может быть очень эффективным, нацеливаясь на тысячи людей одновременно, поскольку соединение происходит в режиме реального времени, в то время как при традиционном фишинге и электронной почте у получателя есть время, чтобы проанализировать и ответить.

Когда кто-то неожиданно звонит вам и просит передать ваши данные, первое, что приходит на ум, - это вишинг. Возможно, это не так в 100% случаев, но знать об этом необходимо. Дело в том, что ни одна солидная компания не должна связываться с клиентом по телефону, чтобы изменить или обсудить его данные прямо там и тогда. Если что, ваш менеджер или представитель может позвонить вам, чтобы сообщить, что что-то случилось, и попросить вас изменить что-то как можно скорее по собственному желанию, но никогда не будет просить ваши идентификационные данные, номера банковских счетов или пароли. Если вы получаете запрос о любом из них - повесьте трубку и сообщите о номере своему оператору связи и компании, за которую пытались себя выдать.

Вишеры обычно пытаются доказать, что они настоящие, и подтвердить свою личность, упоминая конкретные сведения о вас или вашем счете. Они могут притвориться, что звонят из финансового учреждения, компании, обслуживающей кредитные карты, службы технической поддержки и т. д.

Даже если идентификатор звонящего совпадает с номером компании, от которой, по их словам, они звонят, он может быть подделан. Вишеры могут использовать специальное программное обеспечение для изменения номеров, которые отображаются на вашем идентификаторе звонящего, поэтому всегда будьте бдительны и проверяйте весь их номер по другому каналу, прежде чем отвечать или сообщать какую-либо личную информацию. Если вы сомневаетесь, даже не берите трубку.

Как вы, наверное, догадываетесь, и как мы уже говорили, это один из самых старых трюков в книге. Только теперь, с появлением робозвонков и гораздо более сложных технологий в их распоряжении, вишеры становятся все более опасными. На протяжении всей истории было множество достойных примеров вишинг-атак.

На ум приходит одна из них, которая произошла в 2015 году по всей территории Соединенных Штатов. Вишеры атаковали около миллиона человек по всей территории США, выдавая себя за работников налоговой службы и требуя оплаты налогов и причитающихся штрафов, связанных с несоблюдением налогового законодательства и другими подобными вопросами. Все кажется хорошо, пока вы не узнаете, каким образом требовалась оплата. С помощью подарочных карт iTunes!

Тысячи людей попались на эту аферу и перевели подарочные карты iTunes на сумму до 500 долларов за один запрос. Однако, извините, но жертвы могут винить только себя за то, что, похоже, не были осведомлены о ситуации. Когда сотрудники налоговой службы или налоговой инспекции звонят вам, чтобы получить оплату через подарочные карты iTunes, вы должны знать, что что-то не так.

Еще одна распространенная в наши дни афера, осуществляемая с помощью smishing и vishing, ориентирована на Европу. Это мошенничество называется "Мобильный банковский идентификатор".

В скандинавских и многих других странах ЕС существуют отдельные приложения ID, которые люди используют для входа в онлайн-банкинг и аутентификации транзакций. Они интегрированы, хотя и полностью независимы и отделены от банков (своего рода 2FA).

В этой афере шведские вишинг-хакеры связывались с клиентами банка, представлялись представителями банка и сообщали о тревожной проблеме безопасности в отношении их банковского ID. Им предлагалось выполнить несколько простых шагов, чтобы проверить, был ли скомпрометирован счет или нет, с помощью приложения ID. При этом пользователи просто разрешали доступ к своим счетам, даже не сообщая свой пароль. Очень умная социальная инженерия, которая кажется безобидной для пользователя. Получив доступ к счетам, вишеры обчищали их, а поскольку конкретные банковские переводы очень трудно отследить и отменить, деньги просто крали.

С тех пор приложения для банковских идентификаторов были усовершенствованы, чтобы помочь предотвратить эту форму мошенничества через вишинг, но она все еще довольно распространена через смишинг.

В 2010 году мошенник связался с одним из крупнейших банков Северной Европы и выдавал себя за представителя крупного корпоративного клиента. В течение нескольких недель он часто звонил в офисы, завоевывая доверие сотрудников банка, но особенно - одного человека из отдела бизнес-услуг.

Прямо перед Рождеством позвонил вишер и попросил необычный и немедленный перевод 7,5 миллионов долларов на иностранные, специальные счета. Сотрудники банка, которые уже были лично знакомы со звонившим, удовлетворили просьбу без лишней проверки. Поскольку это произошло прямо перед Рождеством, клиент заметил пропажу средств только после праздников, когда они уже давно закончились.

Откровенно говоря, в случае вишинговых атак нет предела ущерба. Несмотря на то, что существуют некоторые превентивные меры и все больше людей узнают о том, как это работает, преступники также не стоят на месте и находят пути для инноваций, прогресса и использования новых технологий в своих интересах.

Но стоит ли беспокоиться о вишинге? Или, может быть, стоит беспокоиться о других разновидностях подобных мошенничеств, которые происходят через SMS-сообщения - Smishing и email phishing?

Во всех смыслах вишинг - это более изощренная версия фишинга и смайлинга электронной почты. В чем же разница? Общение в режиме реального времени и слышание чужого голоса дает гораздо больше возможностей для быстрого завоевания доверия.

Ответьте вот на что: когда, по вашему мнению, люди с наибольшей вероятностью будут покупать вещи - когда они получают холодное электронное письмо, SMS-сообщение или когда им звонят лично? Да, есть что-то такое в голосовом общении, что заставляет людей больше доверять друг другу и информации, которой они делятся.

Легко подделать электронное письмо, легко написать то, что не соответствует действительности. Но в людях есть что-то такое, что заставляет жертву поверить, что человек на другом конце телефона действительно тот, за кого себя выдает. Более того, защита от вишинга гораздо менее совершенна, чем защита от фишинга и смайлинга электронной почты.

Если вы хотели узнать больше о вишинге, то, надеюсь, эта статья дала вам необходимые знания. Несмотря на то, что вы можете использовать защитное программное обеспечение, ничто не заменит того, чтобы повысить собственную осведомленность и попытаться обнаружить вишинговые атаки до и во время их проведения. Самое главное - не теряйте бдительности. Независимо от того, кто звонит и какие проблемы безопасности упоминаются, всегда относитесь с большим подозрением к странным просьбам и не делайте сразу ничего, что вас не устраивает. Помните, что никто не должен просить по телефону пароли, коды или информацию о банковском счете. Не торопитесь и обратитесь к второму источнику для проверки.