Вішинг і смішинг

Що це означає

Вішинг і смішинг - різновиди фішингу, що замість електронної пошти використовують інші канали зв'язку. Вішинг, від англійського voice phishing, - шахрайський дзвінок. Смішинг, від SMS phishing, - шахрайське текстове повідомлення, у широкому сенсі й повідомлення в месенджерах. Обидві техніки належать до соціальної інженерії й експлуатують довіру, страх і поспіх.

Під час вішингу зловмисник видає себе, наприклад, за працівника банку, поліції, техпідтримки, постачальника чи начальника. Він часто використовує підмінений номер, який на екрані відображається як знайомий, і знає деякі дані про жертву, що робить його переконливим. Дедалі частіше застосовують і імітацію голосу за допомогою штучного інтелекту.

Смішинг зазвичай містить посилання на підроблену сторінку, наприклад із вимогою доплатити за доставку посилки, підтвердити обліковий запис чи сплатити штраф. Після переходу жертва вводить дані для входу, дані картки або встановлює шкідливий застосунок. Зловмисники поєднують канали: SMS готує ґрунт, потім іде дзвінок.

Як це працює на практиці

У корпоративному середовищі найнебезпечніший вішинг спрямований на бухгалтерів і тих, хто затверджує платежі. Зловмисник телефонує від імені директора чи банку й вимагає термінового платежу чи підтвердження операції в застосунку. Як і в разі BEC-шахрайства, допомагає чітке правило: платежі й зміни банківських даних перевіряють зворотним дзвінком на відомий номер, а не на номер, з якого надійшов дзвінок.

Банки ніколи не просять повідомити PIN, пароль чи код з SMS і не просять підтвердити платіж, який клієнт сам не вводив. Посилена автентифікація ефективна, лише якщо клієнт не підтверджує операцію за вказівкою шахрая. За підозрілого дзвінка треба покласти слухавку й зателефонувати до банку за номером з його офіційного сайту чи картки.

Профілактика тримається на регулярному навчанні з конкретними прикладами актуальних схем, на двофакторній автентифікації й на культурі, в якій працівник не боїться відмовити в підозрілому проханні, навіть якщо воно нібито йде від керівництва. Умовлене слово для перевірки термінових прохань - простий і дієвий захист.

На що звернути увагу

Головна пастка - довіра номеру на екрані. Підміна номера того, хто телефонує, технічно проста, тому навіть знайомий номер банку чи колеги не є доказом. Так само SMS може надійти в ту саму гілку, що й справжні повідомлення відправника. Вирішує зміст прохання, а не те, звідки воно нібито надійшло.

Якщо шахрайство сталося, треба діяти негайно: зв'язатися з банком і заблокувати картку чи рахунок, змінити паролі, повідомити про інцидент поліцію, а в разі витоку персональних даних оцінити обов'язок повідомлення. Що швидше фірма відреагує, то більший шанс зупинити платіж чи обмежити шкоду.