Vishing - wszystko co trzeba wiedzieć

Vishing - co to takiego?

Vishing to jedna ze współczesnych metod działania oszustów, którzy wykonują połączenia z nieznanych numerów, przedstawiają się jako pracownicy zaufanych instytucji i próbuję w ten sposób wyłudzić nasz dane. Vishing to jedna z odmian Phishingu, jednak mechanizmy społeczne wykorzystuje się połączenia głosowe, zamiast wiadomości SMS i email. Vishing opiera się o mechanizm socjalny, polegający na wzbudzeniu zaufania potencjalnej ofiary, w celu zachęcenia jej do podania wrażliwych danych. Dzwoniący przedstawiają się jako pracownicy banków, firm telekomunikacyjnych, a nawet instytucji rządowych.

Jak działa Vishing - techniki stosowane przez oszustów

Vishing jest formą Phishingu i w celu pozyskania ofiar wykorzystuje socjologiczny mechanizm pozyskania zaufania rozmówcy, legitymując się jako przedstawiciel zaufanych instytucji. Choć kanałem działania jest połączenie głosowe, to istnieją dwie główne metody wywołania połączenia telefonicznego.

1. Metoda pośrednia - opiera się na uprzednim rozesłaniu wiadomości email z informacją, najczęściej o konieczności zaktualizowania swoich danych osobowych. W wiadomości zwykle, oprócz informacji widnieje numer telefonu, z którym należy się połączyć w celu dokonania korekty, czy potwierdzenia danych. Dzwoniący łączy się z automatem, który w szeregu prostych zwrotów i pytań, wyłudza od rozmówcy dane osobowe, dane dowodowe, a nawet potrafią pojawiać się prośby o udostępnienie danych karty kredytowej, wraz z CVV i PINem, czy danych logowania do serwisów bankowych.
2. Metoda bezpośrednia - automat, lub żywa osoba, wywołują połączenie telefoniczne z jednego z wielu numerów telefonów i pod pretekstem aktualizacji tudzież weryfikacji danych, podając się za pracownika banku, czy instytucji państwowej, wyłudzają interesujące ich dane. Niekiedy można również spotkać się z próbą uzyskania, nagrania konkretnych zwrotów, najczęściej potwierdzających - “tak”, “zgadzam się”, “akceptuję”, w celu późniejszego wykorzystania ich w próbie uzyskania kredytu przez telefon. Zarówno automat jak i człowiek zwykle kierują się ułożonym scenariuszem, w celu pozyskania bardzo konkretnych danych - dane osobowe, adres zameldowania, PESEL, seria i numer dowodu.

Jakie środki ostrożności zachować by nie paść ofiarą Vishingu?

Vishing daje nam taką możliwość, że próba wyłudzenia danych następuje w czasie rzeczywistym, podczas rozmowy. W pierwszej kolejności, bez względu na to, jako kto identyfikuje się nasz rozmówca, mamy prawo ponownie zweryfikować jego tożsamość. Możemy poprosić o ponowne przedstawienie się, o imię przełożonego, o dział w jakim pracuje w instytucji, na którą się powołuje. Większośc banków oferuje w tym momencie możliwośc weryfikacji rozmówcy przez aplikację mobilną. Konsultant może wysłać powiadomienie ze swoimi danymi oraz potwierdzeniem, że faktycznie reprezentuje dany bank.

Oczywistą praktyką jest również unikanie podawania jakichkolwiek danych, danych osobowych, a tym bardziej danych logowania, danych karty kredytowej, czy innych newralgicznych danych. Unikajmy również jednoznacznych zwrotów w stylu - “tak”, “zgadzam się”, “oczywiście”, “akceptuję”. Mogą one zostać nagrane i wykorzystane przy próbie np. kradzieży tożsamości i uzyskania kredytu na nasze dane. Zwłaszcza jeżeli rozmawiamy z automatem. Ten z kolei łatwy do wykrycia i oszukania. Wystarczy wprost zapytać rozmówcę czy jest automatem, a wtedy, ilekroć padnie to pytanie, na pewno usłyszymy te samą, nagraną i zapętloną formułkę.

Jak rozpoznać próbę Vishingu?

Pierwszym sygnałem, że możemy być wzięci na cel próby oszustwa metodą Vishingową jest samo połączenie z nieznanego numeru. Jednak pojedyncze połączenie jeszcze nic nie oznacza. Jeśli natomiast w ciągu dnia, ten sam numer dzwoni kilka razy, lub następują próby połączenia z kilku numerów, które posiadają wspólne zestawienia liczb, może już być niepokojące. Zwłaszcza, jeśli nie oczekujemy żadnego specjalnego połączenia.

Jeżeli jednak już podnieśliśmy słuchawkę, to w pierwszej kolejności naszą uwagę powinna przykuć nienaturalnie duża ilość pytań o dane osobowe, a nawet bardzo szczegółowe dane dowodowe, jak PESEL, czy seria i numer dowodu. Pracownik banku zwykle w celu weryfikacji tożsamości prosi o datę urodzenia, ewentualnie ostatnie trzy cyfry numeru PESEL, no i oczywiście o imię. Jednak gdy pojawiają się pytania wykraczające poza taką “zwyczajową” formułkę konsultanta, należy zacząć się zastanawiać, czy przypadkiem ktoś nie próbuje nas oszukać.

Jakie kroki należy podjąć, gdy padniemy ofiarą Vishingu?

Jeśli mamy przypuszczenie, że padliśmy ofiarą ataku Vishingowego, w pierwszej kolejności należy zgłosić sprawę do CERT Polska - zajmujący się cyberbezpieczeństwem w naszym kraju - za pośrednictwem formularza online. Sprawę należy również zgłosić na policji lub bezpośrednio złożyć zawiadomienie w prokuraturze. Finalnie warto również porozumieć się ze swoim bankiem i poinformować o podejrzeniu bycia ofiarą Vishingu.

Rola instytucji finansowych w ochronie przed Vishingiem

Instytucje finansowe coraz prężniej przeciwdziałają wszelkim działaniom oszustów. Niestety ci są ciągle krok w przód. Banki podają informacje, gdzie tylko mogą, by uważać na podejrzane maile, SMSy, a także na dziwne połączenia. Specjalnie wprowadzana jest opcja weryfikacji rozmówcy, by móc upewnić się, że dana osoba faktycznie reprezentują konkretną instytucję. Niewiele więcej można zrobić od zewnątrz. Oszuści posiadają masowe ilości numerów, dzwonią z różnych miejsc. Najważniejsza jest nasza uwaga, instytucje finansowe mogą nas jedynie dodatkowo przestrzec.

Podsumowanie najważniejszych informacji na temat Vishingu

Vishing to forma oszustwa polegająca na wyłudzeniu danych podczas rozmowy telefonicznej. Złodzieje dzwonią, podając się za pracowników istniejących instytucji, próbują zyskać nasze zaufanie, a następnie nasze dane. Nie odbierajmy nieznanych połączeń, nie podajmy naszych danych osobowych, a na pewno nie podawajmy danych karty, danych dowodowych, czy hasła lub loginu do bankowości online. Jeśli rozmawiamy z osobą, która podaje się za pracownika banku, lub innej instytucji, niech ponownie się przedstawi, niech w jakiś sposób upewni nas, że jest tym, za kogo się podaje. Jeśli jednak już po wszystkim i padliśmy ofiarą Vishingu, nie ma co zwlekać - zgłoszenie do CERT Polska i na policji, to powinny być pierwsze kroki.