Вішинг

Що таке Вішинг?

Номер на екрані можна підробити, а голос — клонувати, тож ні те, ні інше не доводить, хто телефонує. Вам зателефонує колега, чий голос не відрізнити від справжнього, зі свого звичайного внутрішнього номера й попросить прочитати вголос конфіденційні дані клієнтського проєкту для термінової зустрічі. Поки він на зв'язку, надходить фішинговий лист зі схожого домену. Ви побачите, чого коштує піддатися тиску, перевірите співрозмовника запитанням, на яке відповість лише справжній колега, і повідомите про інцидент.

Що ви дізнаєтесь у Вішинг

• Розпізнавайте спуфінг номера на екрані й розумійте, чому номер, що відображається, не підтверджує, хто телефонує.
• Перевіряйте співрозмовника передзвоном на номер з офіційного довідника компанії, а не на той, який назвав він сам.
• Розпізнавайте прийоми тиску, до яких вдаються телефонні шахраї: наростаючу терміновість, посилання на авторитет і технічний жаргон.
• Відмовляйтеся зачитувати конфіденційні дані й називати облікові дані під час вхідного дзвінка, яке б обґрунтування не наводили.
• Відрізняйте впевнену перевірку особи від конфронтації й залишайтеся професійними під час підозрілих дзвінків.

Вішинг — Кроки навчання

1. Вступ

   Ця вправа імітує реальну атаку вішингу: зловмисник видає себе за колегу, якому довіряють, і говорить голосом, згенерованим фільтром на основі ШІ. Напружений вівторок, після обіду. В Аліси дзвонить телефон. На екрані — «Майк Стівенс — внутр. 4247». Майка Аліса знає: це дуже привітний колега з команди інфраструктури. Вона впізнає його звичайний номер і одразу відповідає на дзвінок.

2. Несподіваний дзвінок

   Аліса не знає, що Боб уже кілька тижнів вивчає компанію Pembrant Engineering і її клієнта Carrowdene. Відомості про структуру компанії, імена працівників і внутрішні системи він зібрав із профілів у соціальних мережах, із LinkedIn і з вебсайту компанії. У відкритому доступі Боб знайшов і записи голосу Майка: виступи на конференціях і вебінари компанії. Він створив переконливу копію голосу Майка в сучасній програмі для клонування голосу на основі ШІ, а ще провів спуфінг номера: на екрані з'являється внутрішній номер Майка.

3. Переконливе представлення

   Голос у слухавці звучить точнісінько як у Майка: ті самі інтонації, та сама манера говорити й навіть його характерний легкий бостонський акцент. Усе це стало можливим завдяки технологіям генеративного ШІ (GenAI) та великому набору записів публічних виступів Майка.

4. Створення терміновості

   Боб створює терміновість і виглядає авторитетно: згадує хвору колегу та важливу зустріч із клієнтом.

5. Прохання надати інформацію

   Аліса починає відчувати тиск термінової ситуації й хоче допомогти колезі, який потрапив у скруту.

6. Відкриття файлів

   Аліса заходить на портал компанії, щоб отримати доступ до чутливих даних.

7. Передача чутливої інформації

   Аліса починає читати чутливу інформацію вголос у слухавку. Правила компанії суворо це забороняють, але прохання здається терміновим, а Майк через проблему з VPN не має доступу до ресурсів компанії.

8. Величезна помилка

   Аліса вже розкрила дуже конфіденційну інформацію, захищену угодою про нерозголошення (NDA): подробиці закритого (пропрієтарного) протоколу шифрування, розташування майданчиків аварійного відновлення та внутрішніх протоколів безпеки.

9. Підозрілий лист

   Боб бачить, що атака вдається, і намагається посилити її: надсилає Алісі фішинговий лист.

10. Надходить сумнівний лист

    Аліса отримує лист, який нібито надіслав Майк Стівенс.