Mis on Vishing? Näpunäiteid häälpettuste tuvastamiseks ja vältimiseks

Identiteedivargus mõjutab igal aastal enam kui 14 miljonit ameeriklast ja maksab tarbijatele üle 1,7 miljardi dollari. Isikuandmete hankimiseks on mitu meetodit ja üks neist meetoditest on "vishing".

Vishing on telefonipettus, mille käigus pettur üritab ohvrilt isiklikku teavet või raha välja pressida. Sõna "vishing" on kombinatsioon sõnadest "hääl" ja " andmepüük ", mis tähendab, et pettur üritab petta ohvrit avaldama oma tundlikku teavet, nagu kasutajanimed, paroolid või krediitkaardiandmed, või laadima oma seadmetesse pahavara alla.

Selle rünnaku esimene etapp keskendub kontrollimisele, kas telefoninumber on endiselt aktiivne või mitte. Teises etapis muutub rünnak sõltuvalt ohvrist isikupärasemaks.

Tüüpiline viskamiskatse järgib mustrit:

1 samm – sihtmärk: petturid helistavad korraga mitmele inimesele. Kui keegi vastab, tuleb liinile päris inimene.

2 samm – teave. Kui pettur on võrgus reaalse inimesega seotud, teeskleb ta, et on autoriteet, näiteks arvete koguja, kindlustusagent, IRS, sotsiaalkindlustusamet, arvutiparandustehnik. Nad tõstatavad kohe probleemi, näiteks tasumata arve, et saada sihtmärk isiklikust teabest loobuma. Alloleval ekraanipildil näete selle selget näidet, kuid siin kasutatud meetodit nimetatakse "löömiseks".

Pildi krediit: Proof Point

3 samm – rahaline kahju: kui pettur saab pangateabe edukalt kätte, võib ta raha kontolt välja kanda. Kui nad saavad krediitkaarditeavet kätte, teevad nad enne kaardi lukustamist võimalikult palju oste.

Pärast edukat pettust kaob pettur tavaliselt ja temast ei teata enam kunagi. Seetõttu on süüdlase tabamise ja vastutusele võtmise võimalused kahtlased.

---

Vishing-pettused on tõsine oht ja probleem sotsiaalse inseneriga

Vishingi petuskeemide kasvava edu põhjuseks on inimese võime teha vigu. Lõppude lõpuks on petturite jõupingutuste keskmes sotsiaalne insener. Sotsiaalne manipuleerimine seisneb usaldusväärse asutuse – teie panga, tehnoloogia pakkuja, valitsuse, IT kasutajatoe töötaja – matkimises ja kiireloomulise või ärevuse keskkonna loomises, mis tühistab loomuliku ettevaatlikkuse või kahtluse tunde.

Neid tehnikaid kasutatakse andmepüügimeilide ja võltstekstsõnumite puhul (tuntud kui smishing). Visheritel on aga pettuste edukamaks muutmiseks mitmesuguseid tööriistu ja taktikaid, sealhulgas:

• Helistaja ID võltsimise tööriistad: saab kasutada petturi tegeliku asukoha varjamiseks ja isegi usaldusväärsete organisatsioonide telefoninumbrite esinemiseks.
• Mitme kanaliga pettused: segavad tekstisõnumid, andmepüügimeilid või kõnepostisõnumid, et julgustada kasutajaid numbrile helistama.
• Sotsiaalmeedia kraapimine ja avatud lähtekoodiga uurimine: pakub petturile ohvrite kohta teavet.

Piltide autorid: WeLiveSecurity (Twitter)

Järgmine statistika paljastab, miks ründajad peavad Vishingi pettusi tulusaks ettevõtteks.

• 2018 aastal moodustasid petukõned peaaegu 30% kõigist sissetulevatest mobiilsidekõnedest.

• Proofpointi 2020. aastal avaldatud andmepüügi olukorra aruanne näitas, et 25% kõigist uuringus osalenud töötajatest oskas seda terminit õigesti määratleda. Seetõttu ei tohiks olla üllatav teada, et seda terminit tunnustatakse laiemalt.

• 75% kelmuse ohvritest kinnitas, et petturitel oli nende kohta juba isiklikku teavet. Nad kasutavad seda teavet sihtimiseks ja neilt rohkema teabe väljapressimiseks.

• Kõigist teatatud Vishingi petuskeemidest, milles osalesid valitsuse petturid, oli raha kaotanud vaid 6%.

Taktika, mida petturid kasutavad ohvrite tähelepanu tõmbamiseks

Järgnevalt on toodud mõned taktikad, mida petturid oma ohvri tähelepanu võitmiseks kasutavad.

• Sotsiaalkindlustuse number on ohustatud.

• Pangakontole on märgitud punane lipp või see on häkitud.

• Sobilik tasuta COVID-19 testimiseks või vaktsiiniks.

• Heategevusorganisatsioon, kes soovib annetust katastroofiabi või COVID-19 toetuseks.

• Krediitkaardimakse tuleb kontrollida.

• IRS avastas teie maksudeklaratsioonis lahknevused.

• Teie sõidukil on pikendatud garantii.

• Arvuti on ohustatud ja vajab tehnilise toe teenuseid

• Teie vahistamiseks on välja antud määrus.

• Sõber või pereliige vajab raha, et hädast välja tulla või sattus õnnetusse.

• Olete võitnud tasuta puhkuse, loterii või kingituse.

Kuidas võib häälega nägemine teie perekonda mõjutada?

Petturite visheerimise lõppeesmärk on teilt raha teenida. Nad pääsevad teie kontodele juurde, varastades teie pangakonto andmeid või meelitades teid isikuandmeid üle andma.

Siin on mõned tüüpilised pettused:

Tehnilise toe pettused: seda tüüpi pettuste puhul võtab ohvritega ühendust keegi, kes esineb nende Interneti-teenuse pakkujana või mis tahes riist-/tarkvaramüüjana. Nad teesklevad, et on leidnud teie arvutis olematu probleemi, ja pressivad makse (ja teie kaardiandmed) välja selle parandamiseks, laadides mõnikord selle käigus alla pahavara.

Hoiatus: mitmele ohvrile saadetakse automatiseeritud kõnepostisõnumid, et hirmutada neid tagasi helistama.

Telemarketing: ohvrite meelitamine helistama, väites, et nad on võitnud loterii, puhkuse või muid vapustavaid auhindu.

Andmepüük/sishing:  võltsitud meil või võlts-SMS, mis sunnib kasutajat numbrile helistama. Numbrile helistades ühendatakse ohver nägeva petturiga.

---

Kuidas kaitsta end rünnakute eest?

Vishing-pettuste mõju vähendamiseks võite järgida mõnda allpool nimetatud põhinõuannet.

• Veenduge, et teie telefoninumber oleks endine kataloog. See tähendab, et teie telefoninumbrit ei kuvata telefonikataloogis ja telefonifirma ei anna seda inimestele, kes seda küsivad.
• Veebivormi täitmisel ärge sisestage oma telefoninumbrit.
• Olge ettevaatlik oma panga-, isiku- või muu tundliku teabe taotluste puhul telefoni teel. Ärge jagage neid üksikasju, kui te pole teises otsas isiku autentsuses kindel.
• Ärge kaasake ega lõbustage soovimatuid helistajaid, eriti kui nad soovivad kinnitada tundlikke andmeid.
• Parem on mitte helistada kõneposti teel jäetud numbrile, vaid pöörduda otse organisatsiooni poole.
• Kasutage kõikidel veebikontodel mitmefaktorilist autentimist (MFA).
• Veenduge, et teie e-posti/veebi turvalisus oleks värskendatud, ja hakake kasutama turbetööriistu, nagu krüptitud VPN -id, mis sisaldavad andmepüügivastaseid funktsioone.