Višingvoice phishing - Vishing

Opis

Telefon ima jednu nezgodnu prednost za napadača: razgovor se dešava odmah. Nema mnogo vremena da se proveri adresa pošiljaoca, domen, link ili zaglavlje poruke. Ako je poziv dovoljno ubedljiv, ako broj izgleda poznato i ako se ubaci malo hitnosti, čovek lako počne da sarađuje sa napadačem misleći da tako rešava iznenadni problem.

Višing danas ne mora da bude grub poziv iz loše skripte. Broj može biti lažiran, poziv može biti automatizovan, glas može biti sintetički, a napadač može već znati ime, funkciju, banku, dobavljača ili interni kontekst. Zato se višing ne rešava time što neko „prepozna glas“, već pravilom da se osetljive stvari ne potvrđuju u dolaznom pozivu.

Primeri

• Poziv iz banke stiže zbog sumnjive transakcije. Operater traži broj kartice, sigurnosni kôd ili jednokratni kôd iz SMS poruke, navodno da bi zaustavio zloupotrebu.
• Lažna tehnička podrška zove zaposlenog i traži da instalira alat za daljinski pristup, jer je računar zaražen ili nalog mora hitno da se proveri.
• Napadač se predstavlja kao kolega iz IT-ja i traži MFA kôd, tvrdeći da se radi migracija korisničkih naloga.

Napomene

• Legitimna institucija neće tražiti kompletnu lozinku, PIN, CVV ili jednokratni kôd preko telefona. Ako joj to treba, problem nije u vašem nalogu nego u pozivu.
• Ne zove se nazad na broj koji vam je sagovornik izdiktirao. Prekid poziva, pa poziv na zvaničan ili ranije poznat broj. To je mala razlika u ponašanju, ali velika razlika u posledicama.