Vishing (skrót od „voice phishing”) to rodzaj oszustwa, w którym oszuści wykorzystują rozmowy telefoniczne do wyłudzania poufnych informacji, takich jak dane logowania, numery kart kredytowych, numery ubezpieczenia społecznego czy inne dane osobowe. Vishing, podobnie jak phishing, polega na podszywaniu się pod zaufane instytucje lub osoby w celu oszukania ofiary.
Jak działa vishing?
- Podszywanie się pod zaufane źródło: Oszuści dzwonią do ofiary, podszywając się pod przedstawiciela zaufanej instytucji, takiej jak bank, operator telefoniczny, urzędnik państwowy czy firma zajmująca się bezpieczeństwem. Często używają technologii spoofingu, która pozwala im sfałszować numer telefonu, aby wyglądał on jak pochodzący z legalnego źródła.
- Stosowanie socjotechnik: Oszuści często stosują techniki manipulacji, aby wzbudzić u ofiary poczucie pilności lub strachu. Mogą twierdzić, że doszło do podejrzanej aktywności na koncie bankowym, że zalegają płatności lub że istnieje problem, który wymaga natychmiastowego rozwiązania.
- Wyłudzanie danych: Podczas rozmowy oszuści starają się uzyskać od ofiary poufne informacje. Mogą prosić o podanie numeru konta, PIN-u, haseł, danych karty kredytowej lub innych wrażliwych danych pod pretekstem ich weryfikacji lub ochrony.
- Wykorzystanie zdobytych danych: Po uzyskaniu poufnych informacji oszuści mogą wykorzystać je do kradzieży tożsamości, nieautoryzowanych transakcji finansowych lub innych oszukańczych działań.
Vishing a kryptowaluty
W świecie krypto vishing ma swoją specyficzną odmianę. Oszust dzwoni, podając się za „support” giełdy (np. MEXC, Binance, Kraken) albo za pracownika „działu bezpieczeństwa” portfela sprzętowego, i przekonuje Cię, że Twoje środki są zagrożone. Cel jest zawsze ten sam: nakłonić Cię do podania seed phrase, kluczy prywatnych albo zdalnego dostępu do urządzenia. Żadna prawdziwa giełda ani producent portfela nigdy nie zadzwoni z prośbą o Twoją frazę odzyskiwania – jeśli to słyszysz, to koniec rozmowy, nie początek.
Jak rozpoznać vishing?
- Presja czasu. „Musisz działać natychmiast, inaczej stracisz środki” to klasyczny sygnał alarmowy.
- Prośba o dane, które instytucja już ma. Bank zna Twój numer konta, nie musi Cię o niego pytać przez telefon.
- Nietypowy numer lub podejrzana jakość połączenia. Spoofing potrafi podrobić numer, ale nie zawsze ukryje inne niuanse rozmowy.
- Żądanie instalacji oprogramowania do zdalnego pulpitu (AnyDesk, TeamViewer) rzekomo „w celu weryfikacji”.
Jak się bronić?
- Rozłącz się i oddzwoń na oficjalny numer instytucji, który znajdziesz samodzielnie – nie ten podany przez rozmówcę.
- Nigdy nie podawaj przez telefon PIN-u, kodów SMS, seed phrase ani haseł – żadna legalna instytucja o to nie poprosi.
- Włącz weryfikację dwuetapową (2FA) tam, gdzie się da – utrudnia to wykorzystanie wyłudzonych danych.
- Jeśli masz wątpliwości, zapytaj kogoś zaufanego zanim podejmiesz decyzję pod presją.
Co zrobić, gdy już padłeś ofiarą?
Natychmiast skontaktuj się z bankiem lub giełdą w celu zablokowania konta i transakcji, zmień wszystkie hasła powiązane z ujawnionymi danymi i zgłoś sprawę na policję (w Polsce można też zgłosić incydent do CERT Polska). W przypadku kryptowalut czas ma kluczowe znaczenie – transakcje na blockchainie są nieodwracalne, więc każda minuta zwłoki zmniejsza szansę na odzyskanie środków.
