Vishing a smishing

Čo to znamená

Vishing a smishing sú varianty phishingu, ktoré namiesto e-mailu využívajú iné komunikačné kanály. Vishing, z anglického voice phishing, je podvodný telefonát. Smishing, z SMS phishing, je podvodná textová správa, v širšom zmysle aj správa cez komunikačné aplikácie. Obe techniky patria do sociálneho inžinierstva a zneužívajú dôveru, strach a časový tlak.

Pri vishingu sa útočník vydáva napríklad za pracovníka banky, polície, technickej podpory, dodávateľa či nadriadeného. Často používa podvrhnuté číslo, ktoré sa na displeji zobrazí ako známe, a pozná niektoré údaje o obeti, čím pôsobí dôveryhodne. Čoraz častejšie sa využíva aj napodobnenie hlasu pomocou umelej inteligencie.

Smishing typicky obsahuje odkaz na falošnú stránku, napríklad s výzvou na doplatenie poštovného za zásielku, overenie účtu či zaplatenie pokuty. Po kliknutí obeť zadá prihlasovacie údaje, údaje karty alebo si nainštaluje škodlivú aplikáciu. Útočníci kombinujú kanály: SMS pripraví pôdu a nasleduje telefonát.

Ako to funguje v praxi

Vo firemnom prostredí je najnebezpečnejší vishing zameraný na účtovníkov a ľudí schvaľujúcich platby. Útočník volá v mene konateľa alebo banky a žiada urgentnú platbu či potvrdenie operácie v aplikácii. Podobne ako pri BEC podvode pomáha jasné pravidlo: platby a zmeny bankových údajov sa overujú spätným volaním na známe číslo, nie na číslo, z ktorého prišiel hovor.

Banky nikdy nežiadajú prezradiť PIN, heslo ani kód z SMS a nežiadajú potvrdiť platbu, ktorú klient sám nezadal. Silné overenie klienta je účinné, len ak klient nepotvrdí operáciu na pokyn podvodníka. Pri podozrivom hovore treba zavesiť a zavolať do banky na číslo z jej oficiálnej stránky alebo karty.

Prevencia stojí na pravidelnom školení s konkrétnymi príkladmi aktuálnych podvodov, na dvojfaktorovej autentifikácii a na kultúre, v ktorej sa zamestnanec nebojí odmietnuť požiadavku, ktorá pôsobí podozrivo, aj keď prichádza zdanlivo od vedenia. Dohodnuté heslo pre overenie urgentných požiadaviek je jednoduchá a účinná ochrana.

Na čo si dať pozor

Najväčšou pascou je dôvera v číslo na displeji. Podvrhnutie čísla volajúceho je technicky jednoduché, takže ani známe číslo banky či kolegu nie je dôkazom. Rovnako SMS môže prísť v rovnakom vlákne ako skutočné správy od odosielateľa. Rozhoduje obsah požiadavky, nie to, odkiaľ zdanlivo prišla.

Ak k podvodu došlo, treba konať okamžite: kontaktovať banku a zablokovať kartu či účet, zmeniť heslá, nahlásiť incident polícii a pri úniku osobných údajov posúdiť povinnosť oznámenia. Čím rýchlejšie firma zareaguje, tým väčšia je šanca zastaviť platbu alebo obmedziť škodu.