Vishing to oszustwo prowadzone głosem, przez telefon. Nazwa łączy voice i phishing, ale różnica wobec fałszywego e-maila jest istotna: rozmowa toczy się w czasie rzeczywistym, więc oszust reaguje na wątpliwości i steruje emocjami. Dlatego działa na osobach, które bez wahania skasowałyby podejrzaną wiadomość.
Scenariusze, które słychać najczęściej
| Kto rzekomo dzwoni | Czego chce | Sygnał ostrzegawczy |
|---|---|---|
| Konsultant banku | Kodu z SMS-a, „przelewu na konto techniczne” | Bank nigdy nie prosi o kod ani o przelew |
| Policjant lub prokurator | Współpracy w tajnej akcji, przelewu na „konto depozytowe” | Zakaz rozmowy z kimkolwiek |
| Pracownik działu IT | Instalacji aplikacji do zdalnego pulpitu | Prośba o AnyDesk, TeamViewer, QuickSupport |
| Operator telekomunikacyjny | Wpisania kodu zaczynającego się od gwiazdki | Żaden operator o to nie prosi |
| Doradca inwestycyjny | Wpłaty na „platformę” z gwarantowanym zyskiem | Presja na szybką decyzję |
| Urzędnik ZUS lub skarbówki | Dopłaty do rzekomej zaległości | Płatność natychmiast, poza systemem |
Dlaczego to działa
Trzy mechanizmy powtarzają się w każdym scenariuszu.
Autorytet. Rozmówca przedstawia się imieniem, nazwiskiem i numerem służbowym, mówi spokojnie i używa branżowego słownictwa. Na ekranie widzisz numer banku, bo prezentację numeru da się podmienić, o czym piszemy przy spoofingu telefonicznym.
Presja czasu. „Transakcja jest w trakcie realizacji”, „mamy dwie minuty”. Pośpiech wyłącza namysł, a to jedyna obrona, jaką masz.
Izolacja. Zakaz rozłączania się, zakaz konsultacji z rodziną, prośba o pozostanie na linii podczas wizyty w banku. Ten element jest najbardziej charakterystyczny i sam w sobie wystarczy, żeby przerwać rozmowę.
Sygnały ostrzegawcze w trakcie rozmowy
- Prośba o kod z SMS-a, PIN, hasło albo dane karty w dowolnej formie.
- Polecenie zainstalowania aplikacji, żeby „zabezpieczyć konto”.
- Prośba o przelew na inne konto, nawet opisane jako techniczne albo depozytowe.
- Zakaz rozłączania się i rozmowy z bliskimi.
- Prośba o wpisanie kodu zaczynającego się od gwiazdki, co w praktyce ustawia przekierowanie połączeń na numer oszusta.
- Prośba o kod PUK albo dane do konta u operatora.
- Numer zastrzeżony przy rozmowie podającej się za instytucję, bo instytucje dzwonią z numerów widocznych.
Jedyna obrona, która działa zawsze
Rozłącz się i oddzwoń na numer, który sam znajdziesz. Nie na ten, z którego przyszło połączenie, i nie na ten, który podyktował rozmówca. Numer banku jest na odwrocie karty i na jego stronie, numer urzędu w oficjalnym serwisie.
Jeśli sprawa jest prawdziwa, poczeka pięć minut. Żadna prawdziwa procedura bankowa nie wymaga, żebyś został na linii, i żadna nie kończy się przelewem wykonanym pod dyktando. Warto też odczekać kilkadziesiąt sekund przed oddzwonieniem albo zadzwonić z innego telefonu: przy starszych centralach zdarzało się utrzymanie połączenia, przez co ofiara „oddzwaniała” do tego samego oszusta.
Podałeś dane, co teraz
Kolejność ma znaczenie, bo liczy się czas.
- 1Zadzwoń do banku z numeru na odwrocie karty i zgłoś zdarzenie. Poproś o zablokowanie karty i wstrzymanie transakcji.
- 2Zmień hasła do bankowości i poczty, wyloguj wszystkie sesje.
- 3Odetnij telefon od sieci i odinstaluj aplikację, jeśli instalowałeś cokolwiek na polecenie rozmówcy. Szczegóły w tekście o fałszywym telefonie o wirusie.
- 4Wpisz ##002#, jeśli wpisywałeś jakikolwiek kod z gwiazdką. Kasuje wszystkie przekierowania połączeń.
- 5Zastrzeż PESEL, jeśli podałeś dane osobowe. Procedura zajmuje kilkanaście sekund i jest opisana w tekście o zastrzeżeniu numeru PESEL.
- 6Zgłoś sprawę na policję i przekaż numer do CERT Polska. Przy stracie pieniędzy działaj według poradnika o odzyskiwaniu pieniędzy po oszustwie.
Vishing a inne odmiany
Nazewnictwo bywa mylące, a różnica sprowadza się do kanału.
| Nazwa | Kanał | Typowy pretekst |
|---|---|---|
| Vishing | Rozmowa głosowa | Bank, policja, dział IT |
| Smishing | SMS | Dopłata do paczki, zablokowane konto |
| Quishing | Kod QR | Płatność za parking, odbiór paczki |
| Phishing | E-mail i strony | Logowanie do banku, faktura |
W praktyce kampanie łączą kanały: SMS przygotowuje grunt, a telefon domyka sprawę. Dlatego ostrożność wobec połączenia po otrzymaniu podejrzanej wiadomości jest szczególnie uzasadniona.
Kogo dotyczy najczęściej
Statystyki policyjne od lat wskazują na osoby starsze, ale mechanizm działa na każdym, kto akurat jest zajęty albo zdenerwowany. Warianty wymierzone w seniorów, w tym telefon o wypadku bliskiej osoby, opisujemy w tekstach o oszustwie na wnuczka i o ochronie seniorów przed oszustwami.
Najskuteczniejsze zabezpieczenie w rodzinie jest niecyfrowe: ustalone wcześniej hasło, o które pytacie się nawzajem, gdy rozmowa dotyczy pieniędzy.
Jak przygotować rodzinę, zanim zadzwoni oszust
Najskuteczniejsze zabezpieczenie nie wymaga żadnej technologii i działa dokładnie w momencie, w którym oszust liczy na panikę.
Ustalcie hasło rodzinne. Krótkie słowo, którego nie ma w mediach społecznościowych ani w dokumentach. Zasada jest jedna: przy każdej rozmowie o pieniądzach, niezależnie od tego, kto dzwoni i jak brzmi, pytacie o hasło. To odpowiedź na klonowanie głosu, przy którym rozpoznanie po brzmieniu przestaje cokolwiek znaczyć.
Umówcie się na oddzwanianie. Żadna decyzja finansowa nie zapada w rozmowie przychodzącej. Rozłączamy się i dzwonimy na znany numer.
Powiedzcie wprost, że nikt nie będzie miał pretensji. Wiele osób nie zgłasza oszustwa ze wstydu, a stracony czas zmniejsza szanse na odzyskanie pieniędzy. Ta jedna rozmowa bywa ważniejsza od wszystkich technicznych zabezpieczeń razem wziętych.
Ustawcie blokady u operatora. Numery premium i połączenia międzynarodowe blokuje się bezpłatnie, a to zamyka część scenariuszy kosztowych.
Czego oszust nie zrobi
Znajomość granic pomaga zachować spokój w rozmowie. Osoba po drugiej stronie, nawet jeśli zna Twoje imię, nazwisko i część numeru karty, nie ma dostępu do Twojego konta, dopóki sam nie podasz kodu albo nie zainstalujesz aplikacji.
Nie zablokuje też Twojego konta ani nie wykona przelewu bez Twojego udziału, i to jest powód, dla którego cała rozmowa zmierza do jednego: żebyś zrobił coś sam. W momencie, w którym rozmówca prosi o działanie z Twojej strony, masz pewność, że bez Ciebie nic się nie wydarzy. Wystarczy się rozłączyć.
Najczęściej zadawane pytania
Czym jest vishing?
To oszustwo prowadzone przez telefon, w którym rozmówca podszywa się pod bank, policję, urząd albo dział IT, żeby wyłudzić dane, kody autoryzacyjne lub przelew.
Czym vishing różni się od phishingu?
Kanałem i dynamiką. Phishing to e-mail albo fałszywa strona, vishing to rozmowa na żywo, w której oszust reaguje na Twoje wątpliwości i wywiera presję czasu.
Czy bank może zadzwonić i poprosić o kod z SMS-a?
Nie, nigdy. Bank nie prosi o kod, PIN, hasło ani o przelew na inne konto. Każda taka prośba oznacza oszustwo, niezależnie od numeru wyświetlonego na ekranie.
Numer na ekranie zgadzał się z numerem banku. Jak to możliwe?
Prezentację numeru można podmienić. Zgodność numeru nie jest żadnym potwierdzeniem tożsamości rozmówcy, dlatego jedyną pewną drogą jest oddzwonienie na numer znaleziony samodzielnie.
Rozmawiałem, ale nic nie podałem. Czy coś mi grozi?
Sama rozmowa nie powoduje szkody. Warto jednak sprawdzić kodem *#21#, czy nie ustawiono przekierowania, i obserwować konto. Numer zgłoś do CERT Polska pod 8080.
Jak zabezpieczyć rodzinę przed vishingiem?
Ustalcie hasło rodzinne, o które pytacie przy każdej rozmowie o pieniądzach, i zasadę oddzwaniania na znany numer. Hasło działa także przy podrobionym głosie.
Czy oszust może zrobić przelew bez mojego udziału?
Nie, dopóki nie poda mu się kodu autoryzacyjnego albo nie zainstaluje aplikacji do zdalnego dostępu. Cała rozmowa zmierza do tego, żebyś zrobił to sam.
