vishing

Vishing (od voice phishing) to socjotechnika prowadzona głosem, zwykle w rozmowie telefonicznej. CISA definiuje go jako podejście socjotechniczne wykorzystujące komunikację głosową i zauważa, że przy telefonii internetowej tożsamość dzwoniącego można sfałszować ^[1]. Sprawca podszywa się pod pracownika banku, urzędu, policji albo działu IT i nakłania rozmówcę do podania danych, przelewu lub wykonania czynności na komputerze. MITRE ATT&CK opisuje tę technikę jako Spearphishing Voice ^[2].

Jak działa

Vishing korzysta z tych samych mechanizmów co phishing i smishing, ale rozmowa daje sprawcy przewagę: może reagować na pytania, budować presję czasu i prowadzić ofiarę krok po kroku. MITRE wskazuje na podszywanie się i wywoływanie poczucia pilności ^[2].

RYS. 1Typowy przebieg ataku vishingowego

Wiarygodność zwiększa spoofing numeru. Polskie prawo nazywa to zjawisko CLI spoofingiem i definiuje jako nieuprawnione posłużenie się przez dzwoniącego informacją adresową wskazującą na inną osobę lub instytucję ^[3]. Na ekranie ofiary wyświetla się wtedy prawdziwy numer banku albo urzędu.

Kontakt nie zawsze zaczyna sprawca. W odmianie z oddzwanianiem ofiara dostaje wiadomość z numerem telefonu i sama dzwoni do napastnika, który kieruje ją na złośliwą stronę, każe pobrać plik albo zainstalować narzędzie zdalnego dostępu ^[2]. Rozmowę mogą prowadzić też osoby spoza kraju ofiary: w ataku na Cisco napastnicy mówili po angielsku z różnymi akcentami ^[6]. Nie zmienia to mechanizmu, bo o skuteczności decyduje pretekst i presja, a nie język.

Odmiany

Pierwsza odmiana w Polsce ma własne hasło: oszustwo na policjanta lub pracownika banku. Druga i trzecia łączą się z oszustwem na pomoc techniczną. MITRE opisuje, że grupa Scattered Spider podawała się w rozmowach za pracowników IT i nakłaniała ofiary do pobrania narzędzia zdalnego zarządzania ^[2], co daje efekt podobny do instalacji RAT (remote access trojan). Czwarta odmiana to oszustwo deepfake: FBI ostrzegało w maju 2025 roku przed kampanią, w której wiadomości głosowe generowane przez AI podszywały się pod wysokich rangą urzędników USA ^[7].

W WordPressie

Vishing nie wykorzystuje żadnego błędu w WordPressie. Celem jest człowiek z dostępem do strony: administrator, redaktor, osoba z dostępem do hostingu albo do skrzynki, na którą przychodzą linki resetu hasła. Pretekstem może być rzekoma infekcja strony, wygasająca domena albo „weryfikacja” konta u dostawcy.

WordPress.org w grudniu 2023 roku ostrzegał przed kampanią e-mailową, w której oszuści podszywali się pod zespół bezpieczeństwa WordPressa i namawiali do instalacji złośliwej wtyczki ^[8]. Zespół podkreślił, że nigdy nie prosi o zainstalowanie wtyczki ani motywu i nigdy nie pyta o nazwę użytkownika i hasło administratora ^[8]. Ta zasada dotyczy każdego kanału, także telefonu: prośba o hasło, kod jednorazowy albo instalację wtyczki ze strony dzwoniącego jest sygnałem oszustwa.

Zagrożenia i skutki

W 2022 roku napastnicy uzyskali dostęp do sieci Cisco po serii rozmów vishingowych, w których podawali się za pracowników wsparcia ^[6]. Cisco Talos opisał, że połączono je z MFA fatigue, czyli zasypywaniem ofiary prośbami o zatwierdzenie logowania, aż ktoś je zaakceptował ^[6]. MITRE również zauważa, że vishing bywa łączony z generowaniem żądań MFA ^[2]. Samo uwierzytelnianie wieloskładnikowe nie chroni więc przed rozmówcą, który przekona użytkownika do jego użycia.

W sprawie opisanej przez Sekurak w lutym 2023 roku oszuści dzwonili z numeru zgodnego z infolinią banku PKO, podawali się za „rządowego przedstawiciela banku” i zabronili ofierze kontaktu z bankiem ^[5]. Poszkodowana przelała przez BLIK ponad 20 000 zł ^[5].

Jak się bronić

• Rozłączyć się i oddzwonić. CISA zaleca weryfikować tożsamość rozmówcy bezpośrednio w firmie, na którą się powołuje ^[1], czyli przez numer znany z niezależnego źródła, a nie podany w rozmowie. Tak samo radzi FBI ^[7].
• Nie przekazywać kodów. FBI przypomina, by nigdy nie udostępniać kodów uwierzytelniania wieloskładnikowego ^[7].
• Hasło weryfikacyjne. FBI zaleca uzgodnienie z bliskimi tajnego słowa lub frazy do potwierdzania tożsamości ^[7]. W firmie odpowiednikiem jest procedura weryfikacji zgłoszeń do działu IT.
• Szkolenia. MITRE wymienia jako zabezpieczenie szkolenie użytkowników w rozpoznawaniu socjotechniki i sprawdzaniu tożsamości dzwoniących ^[2]; zob. szkolenia z cyberbezpieczeństwa dla pracowników.

Część ochrony przejmują operatorzy. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej zobowiązuje ich w art. 16 do blokowania połączeń albo ukrywania numeru przy CLI spoofingu ^[3]. Art. 31 przewiduje karę od 3 miesięcy do 5 lat pozbawienia wolności za podszywanie się w ten sposób w celu wyłudzenia danych, szkody majątkowej lub dostępu do systemu ^[3]. Według CERT Polska ustawę ogłoszono 25 sierpnia 2023 roku; na blokowanie połączeń z numerów służących tylko do odbierania, na przykład infolinii, operatorzy mieli 6 miesięcy, a na blokowanie sfałszowanych numerów 12 miesięcy ^[4].