Vishing – co to i jak się przed nim chronić?

Scenariusze oszustw telefonicznych mogą znacznie różnić się szczegółami, ale cel przestępców zawsze jest podobny – wzbudzić zaufanie ofiary i skłonić ją do określonych działań. Oszust może podszyć się pod dowolną osobę lub instytucję, w zależności od tego, kogo upatruje na swoją ofiarę. Przestępcy wykorzystują kreatywność i wiedzę o ludzkich emocjach, tworząc wiarygodne „legendy” (fabrykowane historie), które mają uwiarygodnić ich prośby. Dzwoniący oszust zazwyczaj sprawia wrażenie profesjonalisty – mówi pewnym siebie tonem, używa fachowego języka, a nierzadko zna podstawowe dane ofiary (np. imię i adres), co dodatkowo uwiarygadnia jego opowieść. Media i policja regularnie informują o kolejnych przypadkach ofiar takich oszustw – schematy bywają do siebie podobne, zmieniają się tylko szczegóły.

Wiele spośród najczęstszych metod doczekało się nawet potocznych nazw – jak choćby „metoda na policjanta” czy „na wnuczka”. W praktyce jeden oszust może udawać pracownika banku ostrzegającego przed hakerami, inny podszywa się pod policjanta śledzącego rzekomą szajkę przestępców, kolejny dzwoni jako krewny ofiary pilnie potrzebujący pieniędzy, a jeszcze inny występuje jako rzekomy konsultant techniczny informujący o wirusie na komputerze. Wszystkie te role służą osiągnięciu tego samego celu – przejęciu pieniędzy lub danych ofiary.

Najlepiej zrozumieć sposób działania oszustów poprzez analizę kilku konkretnych sytuacji. Typowe vishing przykłady obejmują następujące scenariusze:

• „Na pracownika banku”: Oszust dzwoni jako rzekomy pracownik banku (np. z działu bezpieczeństwa) i informuje o podejrzanych transakcjach na koncie ofiary. Pod pretekstem „zabezpieczenia” środków nakłania do podania danych logowania lub jednorazowych kodów SMS, ewentualnie do wykonania przelewu na „bezpieczne konto” kontrolowane przez przestępców. Często wykorzystuje przy tym spoofing, sprawiając że na telefonie wyświetla się prawdziwy numer infolinii banku.
• „Na policjanta”: Scenariusz z podszyciem się pod funkcjonariusza Policji (lub CBŚP). Oszust przekonuje, że prowadzi tajną operację przeciwko oszustom bankowym i prosi ofiarę o pomoc. Polecenia mogą obejmować przelanie oszczędności na wskazane konto (rzekomo policyjne, a faktycznie należące do oszustów) w celu „namierzenia przestępców”. Ofiara ma zachować pełną tajemnicę, co utrudnia weryfikację historii.
• „Na wnuczka”: Klasyczne oszustwo, w którym przestępca dzwoni do osoby starszej, podając się za krewnego (np. wnuczka) w poważnych tarapatach. Prosi o pilne przekazanie dużej sumy pieniędzy (np. na kaucję lub leczenie), często instruując, że zgłosi się po nią „zaufany przyjaciel”. Ofiara, działając w stresie i emocjach, przekazuje gotówkę nieznajomemu lub wykonuje przelew, który natychmiast znika na koncie pośrednika.
• „Na techniczne wsparcie”: Coraz częstszy wariant, gdzie oszust podaje się za konsultanta technicznego (np. pracownika Microsoft lub dostawcę usług telekomunikacyjnych). Informuje o rzekomym problemie z komputerem lub bezpieczeństwem konta bankowego ofiary. Następnie nakłania do zainstalowania oprogramowania do zdalnej obsługi (np. „w celu naprawy usterki”), co pozwala mu przejąć kontrolę nad urządzeniem i wykonać nieautoryzowane transakcje.

W każdym z powyższych przypadków atak bazuje na podobnych mechanizmach: wykorzystaniu zaufania ofiary do fałszywej tożsamości oraz wywołaniu poczucia presji lub silnych emocji, które skłaniają do nieostrożnych decyzji.