Вишинг и смишинг

Что это значит

Вишинг и смишинг - разновидности фишинга, которые вместо электронной почты используют другие каналы связи. Вишинг, от английского voice phishing, - мошеннический звонок. Смишинг, от SMS phishing, - мошенническое текстовое сообщение, в широком смысле и сообщение в мессенджерах. Обе техники относятся к социальной инженерии и эксплуатируют доверие, страх и спешку.

При вишинге злоумышленник выдаёт себя, например, за сотрудника банка, полиции, техподдержки, поставщика или начальника. Он часто использует подменённый номер, который на экране отображается как знакомый, и знает некоторые данные о жертве, что делает его убедительным. Всё чаще применяется и имитация голоса с помощью искусственного интеллекта.

Смишинг обычно содержит ссылку на поддельную страницу, например с требованием доплатить за доставку посылки, подтвердить аккаунт или оплатить штраф. После перехода жертва вводит данные для входа, данные карты или устанавливает вредоносное приложение. Злоумышленники комбинируют каналы: SMS готовит почву, затем следует звонок.

Как это работает на практике

В корпоративной среде самый опасный вишинг направлен на бухгалтеров и тех, кто утверждает платежи. Злоумышленник звонит от имени директора или банка и требует срочный платёж или подтверждение операции в приложении. Как и при BEC-мошенничестве, помогает чёткое правило: платежи и изменения банковских данных проверяют обратным звонком на известный номер, а не на номер, с которого пришёл звонок.

Банки никогда не просят сообщить PIN, пароль или код из SMS и не просят подтвердить платёж, который клиент сам не вводил. Строгая аутентификация эффективна, только если клиент не подтверждает операцию по указанию мошенника. При подозрительном звонке нужно положить трубку и позвонить в банк по номеру с его официального сайта или карты.

Профилактика держится на регулярном обучении с конкретными примерами актуальных схем, на двухфакторной аутентификации и на культуре, в которой сотрудник не боится отказать в подозрительной просьбе, даже если она якобы исходит от руководства. Условленное слово для проверки срочных просьб - простая и эффективная защита.

На что обратить внимание

Главная ловушка - доверие номеру на экране. Подмена номера звонящего технически проста, поэтому даже знакомый номер банка или коллеги не является доказательством. Так же SMS может прийти в ту же ветку, что и настоящие сообщения отправителя. Решает содержание просьбы, а не то, откуда она якобы пришла.

Если мошенничество произошло, нужно действовать немедленно: связаться с банком и заблокировать карту или счёт, сменить пароли, сообщить об инциденте в полицию, а при утечке персональных данных оценить обязанность уведомления. Чем быстрее фирма отреагирует, тем выше шанс остановить платёж или ограничить ущерб.