Vishing

Prostym językiem

Vishing polega na tym, że oszust dzwoni do ofiary i udaje kogoś zaufanego: pracownika banku, policjanta, konsultanta technicznego, brokera, kuriera, urzędnika, operatora płatności albo członka rodziny. Podczas rozmowy próbuje wywołać strach, pośpiech, zaufanie albo poczucie obowiązku. Może twierdzić, że konto jest zagrożone, ktoś próbuje wziąć kredyt, trzeba anulować przelew, potwierdzić dane, podać kod BLIK, zainstalować zdalny pulpit albo przelać środki na rzekomo bezpieczne konto. Celem nie jest zwykła rozmowa, lecz nakłonienie rozmówcy do ujawnienia danych lub samodzielnego wykonania szkodliwej operacji.

Dla dziecka

Wyobraź sobie, że dzwoni ktoś obcy i mówi, że jest z banku Twoich rodziców. Brzmi bardzo poważnie i straszy, że pieniądze zaraz znikną, jeśli szybko nie podasz tajnego kodu. To może być oszust, który tylko udaje pracownika banku. W takiej sytuacji nie podaje się haseł, kodów ani danych. Najbezpieczniej zakończyć rozmowę i samodzielnie zadzwonić na oficjalny numer banku albo powiedzieć dorosłemu.

Dla zaawansowanych

Vishing jest odmianą ataku socjotechnicznego realizowaną przez kanał głosowy, często łączoną z phishingiem, smishingiem, spoofingiem CLI, fałszywymi kampaniami inwestycyjnymi, przejęciem zdalnego dostępu do urządzenia i manipulacją procesem autoryzacji. W sektorze finansowym atakujący dąży do uzyskania danych uwierzytelniających, kodów jednorazowych, tokenów autoryzacyjnych, kodów BLIK, danych karty, zgody na transakcję, aktywacji nowego urządzenia, podniesienia limitów, zainstalowania narzędzia zdalnego pulpitu albo wykonania przelewu przez ofiarę. Mechanizm opiera się na autorytecie, presji czasu, strachu, fałszywym poczuciu bezpieczeństwa i często na odwróceniu narracji: przestępca udaje, że chroni klienta przed oszustwem, a w rzeczywistości prowadzi go do autoryzacji operacji. Ograniczanie ryzyka wymaga procedur po stronie instytucji i użytkownika: silnej weryfikacji kanału kontaktu, komunikatów kontekstowych w aplikacji, monitorowania behawioralnego, limitów transakcyjnych, blokad po nietypowych zdarzeniach, edukacji klientów i zasady, że przy połączeniu przychodzącym nie przekazuje się poufnych danych ani nie instaluje narzędzi zdalnego dostępu.

Przykład z życia

Pan Marek odbiera telefon od osoby, która przedstawia się jako pracownik działu bezpieczeństwa banku. Rozmówca twierdzi, że ktoś próbuje właśnie zaciągnąć kredyt na jego dane i trzeba natychmiast zabezpieczyć środki. Prosi o zainstalowanie aplikacji do zdalnego pulpitu oraz zatwierdzenie dwóch operacji w aplikacji bankowej. Pan Marek czuje presję, ale kończy rozmowę. Następnie samodzielnie wybiera oficjalny numer banku z karty płatniczej i pyta o sprawę. Bank potwierdza, że to była próba oszustwa. Pan Marek zmienia hasło, obniża limity, sprawdza historię operacji, zachowuje numer i godzinę połączenia oraz zgłasza przebieg rozmowy.

Najczęstsze błędy

1. Wierzenie rozmówcy tylko dlatego, że przedstawia się jako pracownik banku, policjant, konsultant, broker lub urzędnik.
2. Uznawanie połączenia za prawdziwe, bo na ekranie wyświetla się numer podobny do infolinii banku.
3. Podawanie kodu BLIK, kodu SMS, hasła, PIN-u, danych karty lub pełnych danych logowania przez telefon.
4. Zatwierdzanie operacji w aplikacji bankowej bez dokładnego przeczytania kwoty, odbiorcy i rodzaju autoryzacji.
5. Instalowanie aplikacji do zdalnego pulpitu na prośbę osoby dzwoniącej.
6. Przelewanie pieniędzy na rzekomo bezpieczne, techniczne, depozytowe lub policyjne konto.
7. Działanie pod presją strachu, że pieniądze znikną, konto zostanie zablokowane albo ktoś weźmie kredyt.
8. Oddzwanianie na numer podany przez rozmówcę zamiast samodzielnego użycia oficjalnego numeru instytucji.
9. Kontynuowanie rozmowy mimo czerwonych flag: pośpiechu, tajemnicy, groźby, prośby o kod lub instalację programu.
10. Ujawnianie informacji o saldzie, banku, limitach, kartach, kredytach, urządzeniach albo planach finansowych.
11. Brak natychmiastowego kontaktu z bankiem po podejrzanej rozmowie.
12. Usuwanie historii połączeń, SMS-ów i innych dowodów, które mogą pomóc w zgłoszeniu sprawy.
13. Przekonanie, że oszust nie może znać prawdziwych danych ofiary.
14. Zakładanie, że skoro transakcja została zatwierdzona samodzielnie, nie ma sensu zgłaszać sprawy do banku.
15. Pozwalanie rozmówcy prowadzić się krok po kroku po aplikacji bankowej lub ustawieniach telefonu.
16. Brak wcześniejszych zasad rodzinnych dla telefonów o pieniądzach, wypadku, kredycie lub pilnej pomocy.

Najważniejsze wnioski

Vishing wykorzystuje rozmowę telefoniczną i manipulację, aby nakłonić ofiarę do ujawnienia danych lub wykonania operacji finansowej.
Wyświetlany numer telefonu nie jest dowodem, że dzwoni bank, policja lub inna instytucja.
Nie należy podawać przez telefon haseł, kodów BLIK, kodów SMS, danych karty ani instalować zdalnego pulpitu na prośbę rozmówcy.
Gdy rozmowa dotyczy pieniędzy, kredytu, blokady konta albo podejrzanej operacji, najlepiej rozłączyć się i samodzielnie skontaktować z instytucją przez oficjalny kanał.
Po podejrzeniu oszustwa trzeba szybko skontaktować się z bankiem, zablokować dostęp lub kartę, zmienić hasła, sprawdzić transakcje i zachować dowody.
W rodzinie warto ustalić zasadę: przy telefonie o pieniądzach najpierw rozłączamy się i weryfikujemy sprawę innym kanałem.

Pytania i odpowiedzi

P: Co to jest vishing?
O: To oszustwo telefoniczne, w którym przestępca podszywa się pod zaufaną osobę, firmę lub instytucję, aby wyłudzić dane, pieniądze albo dostęp do konta.

P: Czym vishing różni się od phishingu?
O: Phishing jest szerszym pojęciem i może wykorzystywać e-mail, fałszywe strony, SMS-y, reklamy lub komunikatory. Vishing odbywa się przede wszystkim przez rozmowę telefoniczną.

P: Czym vishing różni się od smishingu?
O: Smishing wykorzystuje SMS-y i podobne wiadomości mobilne, a vishing połączenia głosowe. Te metody często się łączą, na przykład gdy oszust dzwoni i jednocześnie wysyła link lub SMS.

P: Czy oszust może zadzwonić z numeru wyglądającego jak numer banku?
O: Tak. Przestępcy mogą stosować spoofing numeru, więc sam numer widoczny na ekranie nie potwierdza autentyczności rozmowy.

P: Czy bank może prosić o kod BLIK przez telefon?
O: Nie powinieneś podawać kodu BLIK osobie dzwoniącej. Kod służy do konkretnej operacji i jego przekazanie może umożliwić wypłatę lub płatność przez oszusta.

P: Czy pracownik banku może kazać zainstalować aplikację do zdalnego pulpitu?
O: To bardzo poważny sygnał ostrzegawczy. Taka aplikacja może dać przestępcy dostęp do telefonu, komputera, bankowości lub kodów autoryzacyjnych.

P: Co zrobić, jeśli ktoś dzwoni i mówi, że moje konto jest zagrożone?
O: Nie podawaj danych i nie zatwierdzaj operacji. Rozłącz się, a potem samodzielnie zadzwoń do banku na oficjalny numer z aplikacji, strony banku lub karty płatniczej.

P: Co zrobić po podaniu kodu, hasła lub danych karty?
O: Natychmiast skontaktuj się z bankiem, zablokuj kartę lub dostęp, zmień hasła z bezpiecznego urządzenia, sprawdź historię operacji i zgłoś podejrzane transakcje.

P: Co zrobić po zainstalowaniu aplikacji zdalnego dostępu?
O: Odłącz urządzenie od internetu, usuń aplikację, skontaktuj się z bankiem, zmień hasła z innego bezpiecznego urządzenia i rozważ sprawdzenie telefonu lub komputera przez specjalistę.

P: Czy policja albo bank może kazać przelać pieniądze na bezpieczne konto?
O: Taka prośba powinna być traktowana jako sygnał alarmowy. Instytucje nie powinny wymagać od klienta przelewania pieniędzy na tajne lub techniczne konto w trakcie połączenia przychodzącego.

P: Jakie emocje wykorzystują oszuści?
O: Najczęściej strach, pośpiech, zaufanie do autorytetu, chęć ochrony pieniędzy, wstyd oraz nadzieję na szybki zysk przy fałszywych inwestycjach.

P: Jak chronić starszych członków rodziny?
O: Warto ustalić prostą zasadę: przy telefonie o pieniądzach, banku, policji, kredycie lub wypadku należy się rozłączyć i zadzwonić do bliskiej osoby albo instytucji na oficjalny numer.

P: Co zrobić, jeśli zatwierdziłem podejrzaną operację w aplikacji?
O: Jak najszybciej skontaktuj się z bankiem oficjalnym kanałem, zgłoś transakcję, zablokuj dostęp lub kartę, zmień dane logowania i zachowaj potwierdzenia.

P: Gdzie zgłosić oszustwo telefoniczne?
O: W przypadku zagrożenia pieniędzy najpierw skontaktuj się z bankiem. Następnie można zgłosić sprawę policji oraz właściwym zespołom reagowania na incydenty, zachowując numer, godzinę rozmowy, treść wiadomości i potwierdzenia operacji.

P: Czy warto nagrywać podejrzaną rozmowę?
O: Jeśli prawo i ustawienia telefonu na to pozwalają, nagranie może być dowodem. Ważniejsze jest jednak szybkie przerwanie rozmowy, zabezpieczenie konta i zachowanie numeru, godziny oraz opisanie przebiegu zdarzenia.

Źródła

Źródło: KNF, Vishing – schemat oszustwa — https://www.knf.gov.pl/dla_konsumenta/kampanie_informacyjne/cyberoszustwa_inwestycyjne/schematy_oszustw/vishing
Źródło: KNF/CEBRF, Voice phishing – pełny schemat oszustwa — https://cebrf.knf.gov.pl/voice-phishing
Źródło: Encyklopedia Cyberbezpieczeństwa KNF, Vishing — https://encyklopediacyberbezpieczenstwa.knf.gov.pl/component/content/article/vishing
Źródło: CERT Polska, Bezpieczeństwo twojej kieszeni: phishing, smishing i vishing — https://cert.pl/bezpieczny-telefon/
Źródło: CERT Polska, Fałszywi konsultanci — https://cert.pl/baza-wiedzy/falszywi-konsultanci/
Źródło: CERT Polska, zgłaszanie incydentów CSIRT NASK — https://incydent.cert.pl/
Źródło: UOKiK, nieautoryzowane transakcje — https://finanse.uokik.gov.pl/tag/nieautoryzowane-transakcje/
Źródło: UOKiK, nie daj sobie ukraść pieniędzy z konta — https://finanse.uokik.gov.pl/nieautoryzowane-transakcje/nie-daj-sobie-ukrasc-pieniędzy-z-konta-uokik-ostrzega/
Źródło: Gov.pl, czym jest phishing i jak nie dać się nabrać — https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-się-nabrac-na-podejrzane-wiadomosci-e-mail-oraz-sms-y
Źródło: NASK, zanim klikniesz, zastanów się — https://www.nask.pl/aktualnosci/zanim-klikniesz-zastanow-się