Що таке Вішинг

Вішинг — це фішинг, проведений телефонним дзвінком. Розберіть, як зловмисники підміняють caller ID, обходять хелпдеск за сценарієм і клонують знайомий голос, і як сформувати рефлекс «передзвони й перевір», що тримається під тиском.

Вішинг — голосовий канал, яким зловмисники проникають у підприємство

Вішинг — це фішинг, проведений голосовим дзвінком. Слово поєднує voice і phishing, і охоплює будь-який дзвінок, що під фальшивим приводом тисне на жертву, аби та розкрила пароль чи одноразовий код, підтвердила MFA-запит, перевела гроші чи надала віддалений доступ. Він працює, бо живий голос несе терміновість і авторитет, яких текст не передає, і бо більшість організацій перевіряють пошту значно ретельніше за телефон.

Голос став бажаним шляхом у великі підприємства. Звіт FBI Internet Crime Report 2024 поставив фішинг і спуфінг на перше місце за кількістю скарг, а керовані дзвінками шахрайства про «техпідтримку» й видавання себе за інших лишаються серед найдорожчих категорій, які він відстежує. Зловмисники підміняють caller ID, щоб дзвінок виглядав внутрішнім, вивчають сценарії хелпдеску, аби відповісти на перевірочні питання, і дедалі частіше клонують знайомий голос із короткого аудіозразка.

Патерн уже доведений на верхівці ринку. Пробої MGM Resorts і Caesars Entertainment 2023 року почалися з дзвінка на IT-хелпдеск групи Scattered Spider, що видала себе за співробітника, знайденого в LinkedIn, і заговорила обхід багатофакторної автентифікації. Клонування голосу за допомогою ШІ прибрало останню підказку: у випадку Arup 2024 року фінансовий працівник підтвердив переказ близько 25 мільйонів доларів після deepfake-відеодзвінка з людьми, що виглядали й звучали як керівники компанії.

Як розгортається вішинг-атака

Дослідження цілі й побудова приводу

Зловмисник будує досьє з LinkedIn, дампів витоків і корпоративних довідників: хто працює на хелпдеску, хто має адмінправа, якого вендора компанія використовує для зарплат чи IT. Ця деталь робить дзвінок переконливим. За повідомленнями, Scattered Spider знайшла цільового співробітника в LinkedIn до того, як зателефонувати на хелпдеск MGM 2023 року, що дало змогу тому, хто дзвонив, відповісти на базові питання ідентичності й попросити скид для реального акаунта.

Підміна caller ID і налаштування каналу

VoIP-сервіси дозволяють зловмиснику показати будь-який номер, тож дзвінок може виглядати як від внутрішнього хелпдеску, відомого вендора чи банківської лінії протидії шахрайству. Деякі кампанії спершу відкриваються текстом чи листом, тож дзвінок надходить як очікуваний follow-up. Мета — прибрати в отримувача інстинкт перевірити, бо номер уже виглядає правильним.

Дзвінок: авторитет, терміновість і рапорт

Той, хто дзвонить, приймає роль, якій ціль навчена допомагати, — IT-технік, керівник, слідчий із шахрайства — і створює причину діяти зараз. Вільна англійська й спокійна, професійна манера роблять більшість роботи. Scattered Spider збудувала свою репутацію саме на цьому: молоді носії англійської, що звучать як колега й тримають жертву в розмові за межею, де зазвичай вмикається підозра.

Маніпуляція MFA і доступом

Ціль — зазвичай облікові дані, одноразовий код, MFA-підтвердження чи хелпдеск-дія на кшталт скиду пароля або пристрою. Зловмисники зачитують живий код назад на сторінку логіну, надсилають MFA-запит і просять жертву його підтвердити або переконують хелпдеск зареєструвати новий пристрій. У пробої Retool 2023 року той, хто дзвонив, витягнув один додатковий MFA-код, і цього вистачило, щоб додати пристрій зловмисника до акаунта Okta співробітника.

Клонування голосу й чергування каналів

Сучасним моделям клонування голосу потрібен лише короткий аудіозразок, доступний із запису конференції, подкасту чи привітання голосової пошти. Для високовартісних цілей зловмисники чергують канали: текст відкриває привід, дзвінок із клонованим голосом його підкріплює, а deepfake-відеодзвінок закриває схвалення переказу. Втрата Arup 2024 року прогнала весь цей ланцюг і перевела 25 мільйонів доларів до будь-якої out-of-band перевірки.

Реальні приклади вішинг-атак

2023 — вішинг хелпдеску MGM Resorts і Caesars

У вересні 2023 року група Scattered Spider вразила і MGM Resorts, і Caesars Entertainment, зателефонувавши на IT-хелпдеск, видавши себе за співробітника, знайденого в LinkedIn, і попросивши скид облікових даних, що обійшов багатофакторну автентифікацію. Далі зловмисники розгорнули ransomware ALPHV/BlackCat, зашифрувавши понад 100 гіпервізорів ESXi у MGM. MGM повідомила про приблизно $100 мільйонів удару по результатах третього кварталу, а Caesars заплатила орієнтовно $15 мільйонів викупу. Єдиний переконливий телефонний дзвінок був цілим етапом первинного доступу.

2023 — Retool: від смішингу до вішингу й захоплення акаунта

Retool, компанію-платформу для розробників, зламали в серпні 2023 року після того, як співробітник отримав текст, що імітував внутрішній identity-портал, а потім прийняв follow-up дзвінок від зловмисника, що використав deepfake-версію голосу реального IT-колеги. Співробітник надав один додатковий MFA-код, що дало змогу зловмиснику додати пристрій до акаунта Okta. Функція хмарної синхронізації Google Authenticator розширила радіус ураження, і постраждали 27 хмарних клієнтів, усі з криптоіндустрії. Випадок показує, як текст і голос разом обходять MFA.

2024 — Arup, deepfake-відео і шахрайство на 25 мільйонів доларів

Інженерна фірма Arup підтвердила, що фінансовий працівник у гонконзькому офісі підтвердив 15 переказів на загальну суму близько 25 мільйонів доларів після відеодзвінка з тими, хто видавався за CFO компанії та інших колег. Усі інші учасники були deepfake, згенерованими з публічних кадрів. Привід надійшов першим, живий дзвінок закрив петлю довіри, а гроші рушили до будь-якого callback на відомий номер. Випадок переозначив загрозу для казначейських команд: знайомий голос і обличчя на живому дзвінку більше не є доказом ідентичності.

Як захиститися від вішингу

Посильте перевірку ідентичності на хелпдеску

Більшість корпоративного вішингу цілиться у хелпдеск. Вимагайте другу, незалежну перевірку до будь-якого скиду пароля чи MFA — схвалення керівника, callback на номер із файлу або звірку з системою, на яку той, хто дзвонить, не може вплинути. Ніколи не дозволяйте скид на підставі відповідей, які той, хто дзвонить, міг знайти в LinkedIn. Пробої MGM і Caesars обидва трималися на скиді з боку хелпдеску, наданому переконливому голосу.

Вимагайте out-of-band callback-перевірку

Напишіть односторінкову політику, що вимагає callback на опублікований внутрішній номер до будь-якої зміни реквізитів, банківського оновлення, скиду MFA чи надання віддаленого доступу, хоч би яким легітимним звучав вхідний дзвінок. Запровадьте code-word для високовартісних фінансових і IT-запитів, щоб клонований голос не міг самотужки замкнути ланцюг. Втрату Arup 2024 року можна було запобігти саме цим контролем.

Вважайте caller ID неперевіреним

Caller ID тривіально підміняється через VoIP, тож номер, що виглядає внутрішнім, нічого не доводить. Навчіть персонал припускати, що будь-який неочікуваний дзвінок може бути підробленим, і покласти слухавку й передзвонити на відомий номер, перш ніж діяти. Це ламає атаку, бо переносить розмову на канал, який зловмисник не контролює.

Розгорніть phishing-resistant MFA

Коли другий фактор — апаратний ключ FIDO2 чи платформенний passkey, привʼязаний до легітимного домену, код, зачитаний уголос по телефону, марний для зловмисника, бо ретранслювати нічого. Переведіть співробітників, починаючи з хелпдеску, фінансів і адмінів, із SMS- і push-кодів. Це прибирає найпоширеніше, чого просить вішер.

Зменшіть те, що можна змінити дзвінком

Посильте процеси відновлення акаунта й самообслуговуваного скиду так, щоб високовпливові зміни не можна було завершити лише по телефону. Обмежте, які ролі можуть схвалювати реєстрацію пристроїв і зміну платежів, і логуйте й сповіщайте про позаробочі скиди на хелпдеску. Чим менше важелів може смикнути один дзвінок, тим менше коштує переконливий привід.

Проводьте регулярні рольові вішинг-вправи

Голосовий тиск — це навичка, що згасає без практики. Рольові вправи, що відображають живу техніку (запити на скид для IT, дзвінки про оплату вендорам для фінансів, сценарії видавання себе за керівника й deepfake-голосу для топменеджменту), підтримують рефлекс callback актуальним. Вимірюйте, як часто персонал перевіряє й повідомляє, а не лише як часто помиляється, і оновлюйте сценарії, коли інструменти клонування вдосконалюються.

Як RansomLeak тренує співробітників розпізнавати вішинг

RansomLeak використовує імерсивні, сценарні вправи замість записаних відео і статичних тестів. Вправа з вішингу ставить того, хто навчається, на дзвінок із відчуттям живого — привід хелпдеску чи лінії протидії шахрайству — і змушує приймати рішення під вербальним тиском, що робить голосові атаки дієвими. Кожен сценарій закінчується миттєвим зворотним звʼязком, що називає пропущені сигнали і крок callback, який зупинив би справжню атаку.

Покриття поширюється на всю голосову й deepfake-поверхню. Вправа з callback-фішингу тренує патерн «текст, а потім дзвінок», вправи з клонування голосу й виявлення deepfake-аудіо формують навичку проти дзвінків зі синтетичним голосом, вправа з MFA fatigue покриває запит на push-підтвердження, вправа «Вейлінг із deepfake» поміщає керівників усередину кейсу Arup із підробленим листом, голосовою поштою з клонованим голосом і deepfake-відеодзвінком, а вправа зі смішингу покриває текст, що часто відкриває вішинг-ланцюг. Кожна вправа постачається як SCORM 1.2 і SCORM 2004 для будь-якої LMS, що відповідає стандартам.

Програми скоупуються за ролями. Хелпдеск і IT отримують приводи про скид і відновлення акаунта, фінанси й AP отримують дзвінки про оплату вендорам і зміну реквізитів, а керівники та їхні асистенти — сценарії видавання себе за інших і deepfake-відео. Результат — рефлекс перевірки, що тримається на телефоні, у тексті й відео, виміряний тим, наскільки надійно персонал перевіряє й повідомляє, а не лише рівнем помилок.

Додаткове читання

Глибші посібники по дотичних темах.

Поінформованість про вішинг Атаки соціальної інженерії: пояснення Аналіз AI-керованого фішингу Виявлення фішингу: посібник Що таке смішинг (SMS-фішинг)

Дотичні терміни глосарія

Швидкі визначення термінів із цього посібника.

Vishing Phishing Smishing Social Engineering Deepfake MFA Fatigue

Поширені запитання

Що питають security-лідери про цю загрозу.

У чому різниця між вішингом і фішингом?

Фішинг — загальний термін для шахрайсько-повідомленнєвих атак, що видають себе за довірене джерело. Вішинг — це гілка фішингу, проведена голосовим дзвінком, а не поштою чи текстом.

Важелі ті самі — авторитет, терміновість і довіра, — але живий дзвінок додає тиск, якого письмове повідомлення не дає, а телефон контролюється значно менше за корпоративну пошту. Саме тому вішинг став каналом вибору для пробою хелпдесків і фінансових команд.

У чому різниця між вішингом і смішингом?

Вішинг — це фішинг через голосовий дзвінок. Смішинг — це фішинг через текстове повідомлення. Обидва переносять атаку на телефон, де захист найтонший, а люди реагують найшвидше.

Ці два часто чергують: смішинг-текст готує привід, а вішинг-дзвінок його закриває. Пробій Retool 2023 року спрацював саме так — текстовий привід, а потім дзвінок із підробленим голосом. Тренування для телефона означає покриття обох каналів.

Як працює вішинг-атака?

Зловмисник досліджує ціль, підміняє caller ID, щоб дзвінок виглядав внутрішнім чи офіційним, і приймає роль, якій отримувач схильний допомагати — IT-технік, керівник, слідчий із шахрайства. Під цим приводом він просить пароль, одноразовий код, MFA-підтвердження чи скид на хелпдеску.

Сучасні атаки додають клонування голосу з короткого аудіозразка і чергують канали, тож дзвінку передує текст чи лист. Пробої MGM і Caesars 2023 року обидва почалися з єдиного дзвінка на хелпдеск.

Чи доводить caller ID, хто телефонує?

Ні. Caller ID тривіально підміняється через інтернет-дзвінки, тож номер, що виглядає як ваш хелпдеск, банк чи відомий вендор, нічого не доводить про того, хто насправді на лінії.

Безпечна реакція на будь-який неочікуваний дзвінок із проханням облікових даних, кодів чи змін платежу — покласти слухавку й передзвонити на номер, якому ви вже довіряєте, узятий з офіційного застосунку чи сайту, а не з самого дзвінка.

Чи можу я провести вішинг-симуляцію з RansomLeak?

Симуляції голосових дзвінків у розробці. Сьогодні платформа симуляції фішингу RansomLeak проводить живі email-кампанії та SMS-симуляції (смішинг) проти ваших співробітників, із повним відстеженням і автоматизованою реабілітацією.

Щодо голосу зокрема, імерсивна вправа з вішингу формує рефлекс «передзвони й перевір» уже зараз, а доставка голосових кампаній приєднається до платформи симуляцій, коли канал зʼявиться. Звʼяжіться з нами, якщо вішинг-симуляція — пріоритет для вашої програми.

Що робити, якщо я надав інформацію вішеру?

Дійте швидко. Якщо це був робочий акаунт, відразу повідомте команду безпеки чи хелпдеск через опублікований канал і скажіть точно, чим поділилися. Якщо ви дали пароль чи код, команда зможе змінити обліковий запис, відкликати активні сесії й видалити будь-який пристрій, який зловмисник міг зареєструвати.

Якщо ви схвалили платіж чи зміну банківських реквізитів, негайно звʼяжіться з банком і фінансовою командою, бо швидкий запит на відкликання інколи здатен зупинити переказ.

Першоджерела

Цитовані вище.

2024 Internet Crime Report — FBI Internet Crime Complaint Center (IC3)
#StopRansomware: Scattered Spider (help-desk social engineering) — CISA
How a Phishing Attack Led to a Breach (incident write-up) — Retool

Подивіться RansomLeak в дії

Спробуйте безкоштовні вправи або замовте демо, щоб побачити аналітику, експорт SCORM, SSO та індивідуальний контент у вашому середовищі.

Замовити демо Спробувати безкоштовні вправи