Telefon dzwoni.
Na ekranie pojawia się numer banku.
Odbierasz.
Rozmówca zna Twoje imię, przedstawia się profesjonalnie i spokojnym tonem informuje:
„Dzień dobry. Kontaktuję się z działu bezpieczeństwa banku. Wykryliśmy podejrzaną transakcję na Państwa koncie. Musimy działać natychmiast.”
Kilka sekund później sytuacja robi się coraz poważniejsza.
Ktoś próbuje wypłacić pieniądze.
Konto może zostać przejęte.
Trzeba zablokować transakcję.
Potrzebny jest kod SMS.
Kod BLIK.
Potwierdzenie w aplikacji.
A może instalacja „programu zabezpieczającego”, dzięki któremu konsultant pomoże uratować pieniądze.
Rozmówca nie daje Ci czasu na zastanowienie.
„Proszę działać natychmiast.”
I właśnie o to chodzi.
To może być vishing – jeden z najbardziej niebezpiecznych rodzajów socjotechniki.
📞 Czym jest vishing?
Vishing, czyli voice phishing, to forma phishingu wykorzystująca rozmowę telefoniczną lub komunikację głosową.
Cyberprzestępca próbuje podszyć się pod osobę albo instytucję, której ofiara powinna zaufać.
Może przedstawiać się jako:
- pracownik banku,
- konsultant działu bezpieczeństwa,
- policjant,
- urzędnik,
- pracownik operatora telekomunikacyjnego,
- przedstawiciel firmy kurierskiej,
- pracownik działu IT,
- administrator systemów,
- współpracownik,
- przełożony,
- kontrahent.
Cel może być różny.
Atakujący może próbować zdobyć:
- dane logowania,
- hasło,
- PIN,
- kod SMS,
- kod BLIK,
- dane karty płatniczej,
- informacje osobowe,
- dostęp do komputera,
- dostęp do firmowego konta,
- potwierdzenie operacji finansowej.
Może też próbować przekonać ofiarę do wykonania przelewu lub zainstalowania programu umożliwiającego zdalny dostęp do urządzenia.
🧠 Najważniejszym narzędziem ataku jest rozmowa
W vishingu cyberprzestępca często nie próbuje bezpośrednio „złamać” zabezpieczeń systemu.
Próbuje zrobić coś innego.
Złamać sposób podejmowania decyzji przez człowieka.
Rozmowa jest prowadzona tak, aby wywołać określone emocje.
Najczęściej wykorzystuje kilka mechanizmów jednocześnie:
😨 Strach
„Ktoś właśnie próbuje wypłacić pieniądze z Państwa konta.”
⏱️ Presję czasu
„Musimy zablokować transakcję w ciągu kilku minut.”
👔 Autorytet
„Dzwonię z departamentu bezpieczeństwa banku.”
🚨 Poczucie zagrożenia
„Jeżeli teraz nie wykonamy procedury, może Pan stracić wszystkie środki.”
🤫 Izolację
„Proszę nikomu o tym nie mówić, ponieważ prowadzimy tajne działania.”
🤝 Pozorne wsparcie
„Spokojnie, będę z Panem przez cały proces. Proszę wykonywać dokładnie moje instrukcje.”
To właśnie ten ostatni element może być szczególnie skuteczny.
Oszust nie zawsze zachowuje się agresywnie.
Może być uprzejmy, cierpliwy i profesjonalny.
Może nawet sprawiać wrażenie osoby, która próbuje Ci pomóc.
📱 „Ale na ekranie widziałem numer mojego banku”
To jeden z najważniejszych problemów związanych z vishingiem.
Numer wyświetlany na ekranie telefonu nie zawsze jest dowodem tożsamości osoby dzwoniącej.
Cyberprzestępcy mogą wykorzystywać techniki pozwalające na podszywanie się pod numer telefonu – tzw. spoofing Caller ID.
W efekcie na ekranie może pojawić się numer lub nazwa sugerująca połączenie z:
BANKU
URZĘDU
POLICJI
lub innej znanej instytucji.
Dlatego zasada:
„Numer się zgadza, więc rozmowa jest prawdziwa”
nie zapewnia bezpieczeństwa.
Sam Caller ID nie powinien być traktowany jako wystarczający dowód tożsamości rozmówcy.
🎭 Jak może wyglądać typowy atak?
Wyobraźmy sobie sytuację.
Dzwoni telefon.
Rozmówca przedstawia się jako pracownik banku.
„Czy wykonywał Pan przed chwilą przelew na kwotę 4900 zł?”
Odpowiadasz:
„Nie.”
Rozmówca reaguje natychmiast:
„W takim razie prawdopodobnie ktoś uzyskał dostęp do Państwa rachunku. Musimy natychmiast zabezpieczyć środki.”
Na tym etapie wiele osób zaczyna się bać.
Następnie pojawia się instrukcja:
„Za chwilę otrzyma Pan kod SMS. Proszę mi go odczytać, żebym mógł anulować operację.”
SMS faktycznie przychodzi.
Bank naprawdę go wysłał.
To wszystko wygląda bardzo wiarygodnie.
Problem?
Kod może nie służyć do anulowania żadnej operacji.
Może właśnie autoryzować działanie wykonywane przez oszusta.
🔐 Kod autoryzacyjny jest dla Ciebie, nie dla konsultanta
To jedna z zasad, które warto zapamiętać.
Kod SMS, BLIK, PIN czy kod uwierzytelniający służy do potwierdzania określonych operacji.
Nie należy przekazywać go osobie tylko dlatego, że twierdzi, iż reprezentuje bank lub inną instytucję.
Zawsze warto również czytać pełną treść wiadomości zawierającej kod.
Nie tylko same cyfry.
Jeżeli SMS mówi:
„Kod autoryzuje dodanie nowego odbiorcy”
a osoba przez telefon twierdzi:
„To kod potrzebny do zablokowania transakcji”,
należy natychmiast przerwać rozmowę.
💸 „Wygeneruj BLIK, żeby zabezpieczyć pieniądze”
Kod BLIK również może zostać wykorzystany podczas vishingu.
Oszust może przekonywać:
„Wygenerowany kod pozwoli nam zabezpieczyć środki.”
Albo:
„To procedura techniczna potrzebna do weryfikacji rachunku.”
W rzeczywistości kod może zostać wykorzystany do wykonania operacji finansowej.
Dlatego kod BLIK powinien być generowany wyłącznie wtedy, gdy samodzielnie inicjujemy i rozumiemy daną operację.
Nie dlatego, że ktoś przez telefon polecił nam go wygenerować.
💻 „Proszę zainstalować aplikację zabezpieczającą”
To kolejny niebezpieczny scenariusz.
Rozmówca może twierdzić, że urządzenie zostało zaatakowane i konieczne jest zainstalowanie specjalnego programu.
„Proszę wejść na stronę i pobrać aplikację. Nasz pracownik połączy się z urządzeniem i usunie zagrożenie.”
Aplikacja może w rzeczywistości umożliwiać zdalny dostęp do telefonu lub komputera.
Atakujący może wtedy próbować obserwować działania użytkownika, przejmować kontrolę nad urządzeniem albo nakłaniać go do wykonywania kolejnych operacji.
Prośba o instalację programu do zdalnego dostępu podczas niespodziewanej rozmowy telefonicznej powinna być traktowana jako bardzo poważny sygnał ostrzegawczy.
🤫 „Proszę nikomu o tym nie mówić”
To zdanie powinno natychmiast zwiększyć czujność.
Cyberprzestępca może próbować odizolować ofiarę od innych osób.
Dlaczego?
Bo wystarczy, że użytkownik powie komuś:
„Dzwoni do mnie bank i każą mi przelać pieniądze na bezpieczne konto”
i druga osoba może odpowiedzieć:
„Rozłącz się. To oszustwo.”
Napastnik chce temu zapobiec.
Dlatego mogą pojawiać się komunikaty:
„To tajna operacja.”
„Nie może Pan informować pracownika oddziału.”
„Prowadzimy działania razem z policją.”
„Jeżeli powie Pan komuś o rozmowie, cała operacja może się nie udać.”
Prawdziwa procedura bezpieczeństwa nie powinna wymagać od klienta całkowitego wyłączenia zdrowego rozsądku.
🏦 „Proszę przelać pieniądze na bezpieczne konto”
To jeden z najbardziej niebezpiecznych scenariuszy.
Oszust informuje, że konto bankowe zostało przejęte.
Rozwiązanie?
Przeniesienie środków na rzekomy:
„rachunek techniczny”
lub:
„bezpieczne konto bankowe”.
Ofiara może być przekonana, że ratuje własne pieniądze.
W rzeczywistości samodzielnie przelewa je przestępcom.
Jeżeli podczas niespodziewanej rozmowy telefonicznej ktoś nakłania Cię do przelewania środków w celu ich „zabezpieczenia” – zakończ rozmowę i niezależnie skontaktuj się z bankiem.
🤖 A co jeśli głos brzmi dokładnie jak znajoma osoba?
Rozwój technologii generatywnej sprawia, że vishing może stawać się jeszcze bardziej przekonujący.
Technologie związane z klonowaniem i syntezą głosu mogą umożliwiać tworzenie wypowiedzi brzmiących podobnie do konkretnej osoby.
Deepfake nie musi oznaczać wyłącznie zmanipulowanego filmu lub zdjęcia.
Może dotyczyć również głosu.
Wyobraźmy sobie telefon:
„Cześć, tu Marek. Jestem teraz na spotkaniu u klienta. Muszę pilnie opłacić fakturę, ale nie mam dostępu do systemu. Zrób przelew i wyślij mi potwierdzenie.”
Głos brzmi znajomo.
Sposób mówienia również.
Czy to wystarczy, aby uznać rozmówcę za prawdziwego?
Nie.
W świecie, w którym obraz i głos mogą być generowane lub modyfikowane, sama znajomość głosu nie powinna zastępować procedury weryfikacyjnej.
🧠 Nie ufaj głosowi. Ufaj procesowi weryfikacji.
To jedna z najważniejszych zasad ochrony przed współczesnym vishingiem.
Nie chodzi o to, żeby nie ufać nikomu.
Chodzi o to, aby ważnych decyzji nie podejmować wyłącznie na podstawie tego, kto rzekomo znajduje się po drugiej stronie telefonu.
Jeżeli rozmowa dotyczy:
- dużej płatności,
- przelewu,
- zmiany numeru rachunku,
- danych logowania,
- kodu MFA,
- resetu hasła,
- dostępu do systemu,
- instalacji programu,
- udostępnienia pulpitu,
należy zastosować niezależny sposób weryfikacji.
🔎 Jak zweryfikować rozmówcę?
Najważniejsza zasada brzmi:
Zakończ podejrzaną rozmowę i samodzielnie rozpocznij nowy kontakt.
Jeżeli dzwoni bank:
- rozłącz się,
- uruchom oficjalną aplikację bankową lub znajdź numer na oficjalnej stronie,
- samodzielnie skontaktuj się z bankiem,
- zapytaj, czy rzeczywiście próbowano się z Tobą skontaktować.
Jeżeli dzwoni pracownik firmy:
skontaktuj się z nim poprzez znany wcześniej numer, komunikator firmowy lub inną ustaloną metodę.
Nie wykorzystuj do weryfikacji danych kontaktowych przekazanych przez osobę, której tożsamość właśnie próbujesz potwierdzić.
🚩 Sygnały ostrzegawcze podczas rozmowy
Szczególną ostrożność należy zachować, gdy rozmówca:
🚨 Żąda kodu SMS lub MFA
Kod autoryzacyjny nie powinien być przekazywany obcej osobie.
🚨 Prosi o PIN, hasło albo pełne dane karty
To poważny sygnał ostrzegawczy.
🚨 Nakazuje wygenerować kod BLIK
Zwłaszcza jeśli sam nie inicjowałeś żadnej płatności.
🚨 Prosi o instalację aplikacji
Szczególnie programu umożliwiającego zdalny dostęp do urządzenia.
🚨 Wywiera silną presję
„Nie mamy czasu.”
„Musi Pan zrobić to teraz.”
„Za chwilę będzie za późno.”
🚨 Zabrania kontaktować się z innymi
„Nie może Pan nikomu o tym powiedzieć.”
🚨 Przekonuje do przelewu na „bezpieczny rachunek”
To jeden z najbardziej charakterystycznych scenariuszy oszustwa.
🚨 Nie pozwala zweryfikować swojej tożsamości
Jeżeli rozmówca reaguje agresywnie na propozycję rozłączenia i samodzielnego kontaktu z instytucją, jest to bardzo poważny sygnał ostrzegawczy.
🏢 Vishing w firmie – atak nie musi zaczynać się od klienta banku
Vishing jest również istotnym zagrożeniem dla organizacji.
Cyberprzestępca może zadzwonić do pracownika i przedstawić się jako:
- administrator IT,
- osoba z helpdesku,
- pracownik Microsoftu,
- dostawca oprogramowania,
- serwisant,
- przedstawiciel operatora,
- kierownik,
- dyrektor,
- prezes.
Możliwy scenariusz:
„Dzień dobry, dział IT. Wykrywamy problem z Państwa kontem Microsoft 365. Za chwilę dostanie Pan powiadomienie MFA. Proszę je zaakceptować.”
Pracownik widzi prawdziwe powiadomienie.
Kliknięcie „Akceptuj” może jednak zatwierdzić logowanie atakującego.
Dlatego kod MFA lub żądanie zatwierdzenia logowania należy traktować dokładnie tak samo jak hasło.
🔐 MFA pomaga, ale użytkownik nadal musi wiedzieć, co zatwierdza
Uwierzytelnianie wieloskładnikowe znacząco zwiększa bezpieczeństwo kont.
Nie oznacza jednak, że można bez zastanowienia:
- podawać kod,
- akceptować każde powiadomienie,
- potwierdzać logowanie,
- wykonywać instrukcje osoby dzwoniącej.
Jeżeli otrzymujesz prośbę o zatwierdzenie logowania, którego sam nie rozpocząłeś:
Nie zatwierdzaj go.
W środowisku firmowym należy dodatkowo zgłosić takie zdarzenie do działu IT lub zespołu odpowiedzialnego za bezpieczeństwo.
🎯 Vishing i spear phishing mogą działać razem
Niektóre ataki składają się z kilku etapów.
Cyberprzestępca może najpierw wysłać wiadomość e-mail.
Następnie zadzwonić.
Przykład:
Najpierw przychodzi wiadomość:
„W związku z aktualizacją systemu skontaktuje się z Państwem dział IT.”
Dziesięć minut później dzwoni telefon:
„Dzień dobry, dział IT. Dzwonię w sprawie wiadomości, którą przed chwilą Państwo otrzymali.”
Nagle rozmowa wydaje się znacznie bardziej wiarygodna.
Albo odwrotnie.
Oszust najpierw dzwoni:
„Za chwilę otrzyma Pan wiadomość z linkiem potrzebnym do zabezpieczenia konta.”
Potem wysyła phishingową wiadomość.
Dwa kanały komunikacji mogą stworzyć złudzenie dodatkowego potwierdzenia.
W rzeczywistości oba mogą być kontrolowane przez tego samego napastnika.
🧑💼 Co jeśli dzwoni „prezes”?
Vishing może być elementem ataku wymierzonego w pracowników księgowości, finansów czy administracji.
Pracownik słyszy:
„Cześć, jestem teraz poza biurem. Potrzebuję pilnego przelewu. To poufna transakcja, dlatego nie informuj na razie reszty zespołu.”
Rozmówca zna:
- nazwę firmy,
- imię pracownika,
- nazwisko prezesa,
- aktualny projekt,
- kontrahenta.
A być może brzmi podobnie do osoby, pod którą się podszywa.
W takim przypadku najważniejsza nie jest ocena głosu.
Najważniejsze jest pytanie:
Czy ta operacja jest zgodna z procedurą?
Jeżeli firma wymaga dwóch akceptacji przelewu, telefon prezesa nie powinien automatycznie usuwać drugiej akceptacji.
Procedury bezpieczeństwa istnieją właśnie na sytuacje, w których człowiek jest pod presją.
📋 Dobra procedura chroni również pracownika
Pracownik powinien mieć prawo powiedzieć:
„Rozumiem, że sprawa jest pilna, ale zgodnie z procedurą muszę ją dodatkowo potwierdzić.”
I nie powinno być to traktowane jako brak zaufania.
To prawidłowe zachowanie z punktu widzenia bezpieczeństwa.
W organizacji warto wcześniej ustalić:
- kto może zlecać przelewy,
- jak weryfikujemy zmianę rachunku kontrahenta,
- czy dział IT może prosić o kod MFA,
- jak wygląda proces resetowania hasła,
- kiedy dopuszczalny jest zdalny dostęp,
- jak potwierdzamy nietypowe polecenia przełożonych,
- gdzie pracownik powinien zgłosić podejrzaną rozmowę.
Jeżeli procedura jest znana wcześniej, trudniej zmienić ją podczas rozmowy za pomocą jednego zdania:
„To wyjątkowa sytuacja.”
🆘 Co zrobić, jeśli przekazałem dane oszustowi?
Najważniejszy jest zakres przekazanych informacji.
Jeśli podałeś hasło
Niezwłocznie zmień je za pośrednictwem oficjalnej strony lub aplikacji.
Jeżeli to samo hasło wykorzystywałeś w innych usługach, zmień je również tam.
Jeśli przekazałeś dane karty lub zatwierdziłeś operację
Jak najszybciej skontaktuj się ze swoim bankiem za pomocą oficjalnego kanału.
Jeśli podałeś kod BLIK lub autoryzacyjny
Skontaktuj się z bankiem i sprawdź historię operacji.
Jeśli zainstalowałeś program do zdalnego dostępu
Przerwij połączenie z siecią i potraktuj urządzenie jako potencjalnie zagrożone.
W przypadku sprzętu firmowego należy natychmiast zgłosić incydent działowi IT.
Jeśli zaakceptowałeś nieznane logowanie MFA
Zmień hasło i powiadom administratora systemu lub zespół bezpieczeństwa.
Im szybciej incydent zostanie zgłoszony, tym większa szansa na ograniczenie jego skutków.
📞 A co jeśli rozmówca naprawdę był z banku?
Nic złego nie dzieje się dlatego, że zachowujesz ostrożność.
Jeżeli masz wątpliwości:
rozłącz się i zadzwoń ponownie oficjalnym kanałem.
Prawdziwa instytucja powinna rozumieć, że klient chce zweryfikować jej tożsamość.
W końcu dokładnie tego wymaga bezpieczne zachowanie.
🧠 Najważniejsza broń przeciwko vishingowi? Kilka sekund
Cyberprzestępca chce kontrolować tempo rozmowy.
Chce, żebyś:
usłyszał → przestraszył się → wykonał polecenie.
Ty możesz dodać pomiędzy te elementy jeden krok:
WERYFIKACJĘ.
Telefon nie wymaga natychmiastowej decyzji tylko dlatego, że osoba po drugiej stronie tak twierdzi.
Możesz się rozłączyć.
Możesz zadzwonić do banku.
Możesz zapytać dział IT.
Możesz skontaktować się z przełożonym.
Możesz sprawdzić sytuację innym kanałem.
🔐 Nie ufaj głosowi. Ufaj procesowi.
Głos może brzmieć profesjonalnie.
Numer może wyglądać prawidłowo.
Rozmówca może znać Twoje imię.
Może wiedzieć, gdzie pracujesz.
Może znać nazwisko Twojego przełożonego.
Może nawet wiedzieć, z jakim bankiem współpracujesz.
Żaden z tych elementów osobno nie potwierdza jego tożsamości.
Dlatego następnym razem, gdy usłyszysz:
„Musimy działać natychmiast. Nie ma czasu na weryfikację.”
potraktuj to zdanie dokładnie odwrotnie.
To właśnie jest moment, w którym należy się zatrzymać i zweryfikować rozmówcę.
🔴 Rozłącz się. Zweryfikuj. Dopiero potem działaj.
Nie podawaj:
- hasła,
- PIN-u,
- kodu BLIK,
- kodu SMS,
- kodu MFA,
- pełnych danych karty.
Nie instaluj programu tylko dlatego, że ktoś polecił Ci to przez telefon.
Nie wykonuj przelewu, którego nie rozumiesz.
I przede wszystkim:
Nie pozwól, żeby presja czasu odebrała Ci możliwość sprawdzenia, z kim naprawdę rozmawiasz.
Artinus System Sp. z o.o.
Cyberbezpieczeństwo nie kończy się na programie antywirusowym, firewallu czy silnym haśle. Równie istotna jest umiejętność rozpoznawania manipulacji i stosowanie procedur, które pozwalają zweryfikować człowieka znajdującego się po drugiej stronie telefonu.
Nie ufaj głosowi. Ufaj procesowi weryfikacji.
#Vishing #CyberSecurity #Cyberbezpieczeństwo #SocialEngineering #Phishing #MFA #SecurityAwareness #CyberAwareness #BezpieczeństwoDanych #BezpieczeństwoIT #ArtinusSystem