Вишинг (Vishing)

(vishing, от слов voice — «голос» и phishing — «фишинг») — это вид телефонного мошенничества, при котором злоумышленники, используя методы социальной инженерии, пытаются выманить у жертвы конфиденциальную информацию: пароли, номера банковских карт, CVV-коды, коды подтверждения из SMS, паспортные данные и другую личную информацию.

В отличие от классического фишинга, который чаще всего осуществляется через электронные письма или поддельные сайты, вишинг строится на психологическом воздействии: мошенники звонят потенциальным жертвам и, выдавая себя за сотрудников банков, правоохранительных органов, страховых компаний или курьерских служб, пытаются вызвать доверие и заставить человека выполнить их инструкции.

По данным Банка России, только в 2024 году в России зафиксировано более 1,8 млн случаев телефонного мошенничества, и около 60% из них связаны именно с методами вишинга.

1. Что такое вишинг

Вишинг — это разновидность социальной инженерии, цель которой — обманным путём получить ценные данные или заставить жертву совершить действие в интересах злоумышленника.

Основная особенность атак — психологическое давление и создание чувства срочности:

«Ваш банковский счёт заблокирован, подтвердите личные данные прямо сейчас!»

2. Как работает вишинг

Процесс атаки можно разделить на несколько этапов:

2.1. Сбор информации

Злоумышленники изучают потенциальных жертв:

• используют базы данных утечек;

• просматривают профили в соцсетях;

• анализируют корпоративные сайты и открытые источники (OSINT).

2.2. Создание легенды

Чаще всего мошенники представляются:

• сотрудниками банка;

• специалистами службы безопасности;

• представителями государственных органов (ФНС, МВД);

• сотрудниками курьерских или страховых компаний.

2.3. Телефонный звонок

• используются технологии подмены номера (spoofing), чтобы звонок выглядел официальным;

• применяются автоматические голосовые роботы для массовых атак.

2.4. Манипуляция жертвой

Часто создаётся ощущение угрозы или срочной необходимости:

• «С вашего счёта пытаются списать деньги!»

• «Вам поступил платёж, но нужно подтвердить операцию!»

• «На вас оформлен кредит, срочно переведите средства на безопасный счёт!»

2.5. Завершение атаки

После получения данных злоумышленники:

• списывают средства с карт;

• продают персональную информацию на теневых форумах;

• используют данные для других атак, включая фишинг и мошенничество с кредитами.

3. Виды вишинга

3.1. Банковский вишинг

Самый распространённый тип. Жертве звонят «сотрудники банка», убеждая её сообщить код из SMS, данные карты или перевести деньги на «безопасный счёт».

3.2. Вишинг от имени государственных органов

Злоумышленники представляются сотрудниками ФНС, МВД, прокуратуры или других структур и запугивают жертву «уголовным делом» или «штрафами».

3.3. Корпоративный вишинг

Атаки на сотрудников компаний. Мошенники звонят под видом IT-специалистов или топ-менеджеров, чтобы получить доступ к корпоративным аккаунтам.

3.4. Вишинг через роботов

Автоматические голосовые системы, которые массово обзванивают людей с предложениями и угрозами.

3.5. VIP-вишинг ( «Whaling»)

Атаки на руководителей крупных компаний. Злоумышленники пытаются заставить жертву совершить финансовые переводы или передать важные документы.

4. Отличие вишинга от фишинга и смсинга

5. Технологии, используемые при вишинге

• Caller ID Spoofing — подмена номера телефона.

• Robo-calls — автоматический обзвон десятков тысяч номеров.

• AI-генерация голоса — использование нейросетей для имитации речи конкретного человека, например, руководителя компании.

• Интеграция с утечками данных — мошенники комбинируют украденные пароли, телефоны и паспортные данные для повышения доверия.

6. Примеры атак с применением вишинга

7. Законодательство и ответственность

В России борьба с телефонным мошенничеством, включая вишинг, регулируется:

• Статья 159 УК РФ — мошенничество (до 10 лет лишения свободы).

• Статья 272 УК РФ — неправомерный доступ к компьютерной информации.

• ФЗ № 152-ФЗ «О персональных данных» — защита личной информации.

• ФЗ № 126-ФЗ «О связи» — предусматривает обязательную идентификацию звонящих абонентов.

С 2022 года в РФ введена система антиспуфинга: операторы обязаны блокировать звонки с поддельными номерами, что снизило часть атак, но полностью угрозу не устранило.

8. Методы защиты от вишинга

8.1. Для пользователей

• Никогда не сообщать коды из SMS, PIN и CVV сотрудникам банка.

• Проверять номер звонящего на сайте банка или официальных сервисах.

• Не переходить по ссылкам, присланным «сотрудниками» по телефону.

• Использовать антивирусные приложения с функцией антифишинга.

• Подключить SMS-уведомления обо всех операциях с картой.

8.2. Для компаний

• Проводить тренинги сотрудников по кибербезопасности.

• Внедрять процедуры многофакторной аутентификации.

• Разрабатывать корпоративные протоколы проверки звонков.

• Использовать технологии анализа голосовых угроз и антиспуфинга.

9. Что делать, если вы стали жертвой вишинга

1. Немедленно заблокировать банковские карты через мобильное приложение или колл-центр.

2. Сменить пароли от всех сервисов, которые могли быть скомпрометированы.

3. Сообщить в банк о подозрительной активности.

4. Подать заявление в полицию или через портал «Госуслуги».

5. Проверить кредитную историю, чтобы убедиться, что на вас не оформлен кредит.

Заключение

Вишинг — это один из самых опасных инструментов социальной инженерии. Его эффективность объясняется тем, что мошенники воздействуют не на систему, а на человека. Успех атаки зависит от доверчивости, неосведомлённости и неподготовленности жертвы.