Всем привет!
Я уже в своих статьях не раз рассказывал про фишинг, рассуждал о разнице между фишингом и обычным спамом, показывал разные схемы мошенников.
А слышали ли вы когда-нибудь про вишинг? Нет, это не ругательство, нет, не связано с виш листом или вошками… А смишинг? Нет это не про смешного Мишу, да и не про мышление смышлёного человека.
Это довольно распространенные виды фишинга, своеобразные Болек и Лёлек. от мира фишинговых мошеннических схем.
Сегодня давайте поразмышляем в их сторону, рассмотрим что это, как это появилось, чем нам грозит и как с этим бороться. Сразу предупреждаю: буковок будет много, будет местами скучно, местами душно, но точно полезно.
Но обо всем по порядку, поехали!
Что такое вишинг и что такое смишинг?
Давайте сначала определимся с понятиями, что есть что:
Термин Вишинг является сочетанием слов voice и phishing, то есть дословно - «голосовой фишинг» и представляет собой телефонное мошенничество. Конечная цель которого, как и для фишинга – использование жертвы, чтобы каким-то образом получить прибыль, будь то финансовую или иную.
Термин Смишинг произошёл от слов SMS и phishing и представляет собой еще один вид фишинга, при котором злоумышленники используют SMS-сообщения или мессенджеры для обмана пользователей. Цель смишинга — выманить личные данные, финансовую информацию или заставить жертву перевести деньги.
Почему они эффективны?
- Доверие: люди чаще доверяют общению с живым человеком и персональному отношению. SMS и сообщениям доверяют конечно меньше чем звонкам, но больше чем письмам, люди уже привыкли к пугалкам про фишинг на рабочей почте и спаму в рабочей почте и привыкли удалять письма не читая.
- Низкая стоимость: рассылка сообщений и звонки практически бесплатны для мошенников.
- Давление на жертву: мошенники специально давят на жертву, требуя немедленных действий.
- Сложность отслеживания: номера используемые в схемах вишинга и смишинга часто подделываются или используются одноразовые SIM-карты, поэтому спам фильтры не всегда реагируют на них.
История появления вишинга и смишинга
Предшественники: телефонное мошенничество (1980-е)
По существу, вишинг появился даже раньше самого фишинга и пришел из традиционного телефонного мошенничества, которое существовало задолго до появления интернета. В 1980–1990-е годы мошенники часто звонили жертвам с целью выманить личную информацию или деньги, представляясь сотрудниками банков, представителями налоговой или полиции, службой поддержки какой-нибудь организации, например телефонной компании.
Корни: фишинг (1990-е)
В середине 1990-х появился сам фишинг. Тогда злоумышленники использовали электронные письма, чтобы обманом выманивать пароли и данные кредитных карт. Первые случаи фишинга были связаны с кражей аккаунтов в интернет-сервисах.
Развитие технологий и новые каналы (2000-е)
С развитием интернета и распространением мобильных телефонов и SMS в начале 2000-х мошенники стали искать способы использовать этот канал. В те года вишинг сформировался в отдельное направление и представлял собой комбинирование телефонных звонков с социальной инженерией и технологиями:
- Подмена номеров (Caller ID spoofing), чтобы звонок выглядел как официальный.
- Автоматизированные голосовые роботы, имитирующие банковские сервисы.
- Использование данных из утечек для персонализации звонков.
Тогда же стали появляться первые случаи смишинга, злоумышленники начали рассылать SMS с просьбой перейти на поддельные сайты или позвонить по платным номерам.
Бум смартфонов и мессенджеров (2010-е)
С появлением смартфонов и мессенджеров (WhatsApp*, Viber, Telegram) смишинг распространился и эволюционировал.
Вишинг же, в свою очередь, с появлением VoIP (интернет-телефонии) стал частью комбинированных атак, например, как способ закрепления «легитимности» фишингового письма или смишингового сообщения. Плюс и сам по себе он становился опасней, мошенники могли звонить с поддельных номеров, имитирующих банки или госорганы, плюс дальнейшее развитие голосовых ботов, способных вести вполне осмысленный диалог с жертвой
Наши дни (2020-е)
Сегодня наши Болек и Лелек стали более изощрёнными. Мошенники изучают жертв в соцсетях, чтобы сделать атаки более персонализированными, используют искусственный интеллект для генерации убедительных сообщений или имитации голосов реальных людей, что вкупе дает очень высокую вероятность успеха атаки.
Немного примеров
Примеры вишинга
Представим довольно распространённую ситуацию, которая давно разлетелась на мемы: вам звонит "Служба безопасности Сбербанка" и сообщает, что с вашей карты списываются деньги на подозрительный счёт. Просит назвать код из SMS или подтвердить данные карты для "блокировки мошенников".
Реальный факт: В 2023 году в России было зафиксировано множество случаев, когда мошенники звонили от имени Сбербанка, Тинькофф (ныне Т-банк) и ВТБ, просили назвать код из SMS (который на самом деле был кодом для подтверждения перевода).
Ну и еще одна распространённая ситуация: звонит незнакомый номер, и знакомый голос на том конце просит срочно перевести деньги, потому что "попал в аварию" или "задержан полицией".
Реальный факт: в августе 2024 г. Банк России сообщил, что мошенники стали чаще применять технологию дипфейк (кстати про дипфейки я писал тут). Для создания фейкового видео злоумышленники используют фото, видео, а также записи голоса. По данным регулятора, мошенники получают их через взлом чужого аккаунта в социальных сетях или мессенджера.
Так что доверять нельзя даже знакомым голосам, а теперь давайте посмотрим на примеры смишинга
Примеры смишинга
Вот, к примеру, сообщение:
Ваша карта заблокирована. Перейдите по ссылке, чтобы разблокировать: [подозрительная ссылка].
Реальный факт: В 2024 году мошенники рассылали SMS от имени Альфа-Банка и Сбербанка с просьбой ввести данные карты на поддельном сайте.
Или такое:
Поздравляем! Вы выиграли iPhone 15. Чтобы получить приз, оплатите доставку: [ссылка].
Реальный факт: В 2023 году мошенники рассылали такие SMS от имени известных магазинов, таких как М.Видео или Wildberries.
Ну и третий вариант опасного сообщения:
Ваш аккаунт в ВКонтакте взломан. Введите пароль для восстановления: [ссылка].
Реальный факт: В 2022 году мошенники рассылали SMS с просьбой ввести пароль от соцсетей, после чего взламывали аккаунты и рассылали спам от имени жертвы.
В принципе на такие звонки и сообщения можно легко попасться, если не знать базовых признаков мошенничества. Так что давайте остановимся на них.
Как обнаружить подвох
Признаки мошеннического звонка:
- Создание срочности: "Ваш счёт заблокируют через 10 минут!", "Срочно подтвердите данные!"
- Принуждение назвать код из SMS или пароль от аккаунта.
- Номер выглядит подозрительно (например, начинается с +380* или другого иностранного кода) или звонок пришел через мессенджер.
- Голос робота или плохое качество связи (прерывание, громкость плавает, скорость голоса меняется).
Признаки мошеннического сообщения:
- Неожиданность сообщения от "банка", "соцсети" или "госструктуры ".
- Ссылки на подозрительные сайты (например, sberbank-security.ru вместо sberbank.ru).
- Просьба ввести данные (пароль, номер карты, CVV-код, код, который пришел отдельно).
- Требования оплаты, например оплата доставки «выигранного» приза.
Как защитить себя и близких
Для начала любое сообщение или звонок проверяйте на признаки мошенничества. Далее запомните и применяйте базовые правила:
- Никогда не сообщайте личные данные (пароли, PIN-коды, данные карт, коды из SMS) по телефону или в SMS, даже если голос выглядит знакомым или сообщение похоже на официальное.
- Не переходите по ссылкам в подозрительных сообщениях — даже если они выглядят как официальные.
- Всегда проверяйте ссылки в сообщениях, даже от знакомых вам контактов.
- Не доверяйте неожиданным звонкам от "банков", "налоговой" или "полиции". Прервите разговор и перезвоните по официальному номеру организации.
- Используйте блокировщики спама например, встроенные в Android или iOS, или инструменты вашего оператора связи.
- Установите антивирус например, Kaspersky, Dr.Web, Avast.
- Используйте двухфакторную аутентификацию (2FA) для всех важных аккаунтов (банк, почта, соцсети). О том как это сделать у меня есть отдельная серия статей.
- Своевременно обновляйте программное обеспечение на компьютере, смартфоне, планшете — мошенники часто эксплуатируют уязвимости в старых версиях ОС.
Отдельно хочется добавить что мошеннические схемы особенно опасны для пожилых людей и подростков, которые менее знакомы с современными мошенническими схемами и более доверчивы. Поэтому:
- Объясните родственникам, что банки и госорганы никогда не просят предоставить персональные данные по телефону.
- Настройте родительский контроль и функционал по безопасности предлагаемый вашим оператором связи на телефонах детей и пожилых людей (например, блокировка подозрительных номеров).
- Используйте совместные аккаунты, чтобы контролировать операции пожилых родственников (например, в банке).
И вот мы рассмотрели, что такое вишинг и смишинг, как они появились и как выглядят и даже как защититься самому. И наверно у вас в голове вопрос: если все вокруг так давно про них знают неужели государство и компании никак не борются с этим?
А что же государство?
В 2025 году наконец -то подписан закон о мерах по противодействию телефонному мошенничеству и мошенничеству, совершаемому с использованием сети "Интернет".
Этим законом:
- вводится обязательная маркировка звонков от организаций;
- запрещается служащим банков, сотрудникам государственных органов, операторам связи и иным организациям общаться с гражданами через иностранные мессенджеры;
- устанавливается запрет на передачу SIM-карт третьим лицам, за исключением членов семьи и близких родственников владельца;
- предусматривается право человека отказаться от получения рассылок и массовых вызовов;
- вводится возможность установления запрета на заключение договоров об оказании услуг подвижной радиотелефонной связи без личного присутствия;
- закрепляются мероприятия по противодействию выдаче наличных без добровольного согласия клиента с использованием банкоматов.
По данному закону каждая кредитная организация должна:
- ограничить на 48 часов выдачу наличных денежных средств на сумму не более 50 тысяч рублей в сутки через банкомат, если будут выявлены признаки выдачи денежных средств без добровольного согласия клиента
- ограничить выдачу наличных денежных средств с использованием банкоматов до 100 тысяч рублей в месяц, если от Банка России поступит информация о случаях или попытках осуществления переводов денежных средств без добровольного согласия клиента.
Также с 1 сентября 2025 года банки обязаны внимательнее следить за операциями по переводу и снятию наличных, чтобы защитить клиентов от мошеннических действий.
Раньше всё было просто: пришёл клиент, снял крупную сумму — и ни у кого не возникало вопросов. Или перевёл деньги на другой свой счёт — банк спокойно проводил платёж.
Теперь же банк обязан проверять, не действует ли клиент по принуждению кого-то со стороны. При появлении подозрений сотрудники банка могут уточнить кому отправляются деньги или почему нужно снять деньги именно наличными, а не перевести на карту.
Для банка особенно подозрительно если:
- снимается крупная сумма (например, больше 100 000 рублей);
- переводятся деньги на незнакомый счёт;
- операция совершается в необычное время (например, ночью);
- клиент говорит, что переводит деньги на безопасный счёт по указанию «сотрудника полиции» или «службы безопасности».
Например:
Пенсионер пришёл к банкомату чтобы снять 300 000 рублей. Антифрод система автоматически фиксирует что это человек никогда до этого не снимал такую большую сумму одномоментно и операция блокируется. Сотрудник банка обязан позвонить и уточнить информацию и если он понимает, что человек волнуется, путается в ответах и ссылается на «звонок из банка» — операции по снятию денег временно замораживают. Заморозка снимается или через 48 часов или после личного посещения банка.
Или:
Женщина переводит 200 000 на счёт «финансового эксперта» в другой город. Антифрод система автоматически фиксирует, что такой перевод делается впервые и она блокируется до того момента пока специалисты банка не свяжутся с женщиной и не зададут уточняющие вопросы.
Вывод
Будьте осторожны и внимательны, особенно если речь идет о вашей личной или финансовой информации. Возьмите себе за правило — никогда не разглашать свои банковские и персональные данные незнакомым людям и даже сотрудникам банка, кроме случаев личного обращения в отделение банка или звонка на официальные подтвержденные номера организации по вашей инициативе.
И помните:
Мошенники постоянно придумывают новые схемы, поэтому бдительность и здоровый скептицизм — лучшая защита
Расскажите как вам статья и встречались ли вы с такими схемами в своей жизни?
Жду ваших комментариев, а пока я пошел формулировать новые Мысли Starого.
Подписывайтесь на все мои ресурсы:
Если у вас есть мысли, факты, истории, которыми вы хотели бы поделиться, присылайте на почту: stariithinks@gmail.com или stariithinks@yandex.ru
Если вас заинтересовала данная тема, прошу ознакомиться с другими статьями:
#мыслиstarого #атаки #мыслио #ИБ #информационная_безопасность #is #инфобез #фишинг #вишинг #смишинг#ссылка #sms #мошенники #полезное
*принадлежит Meta, признана экстремистской и запрещена в России