Що таке Вішинг

Вішинг — це фішинг, який здійснюють голосовим дзвінком. Слово складене з voice («голос») і phishing, і воно охоплює будь-який дзвінок, що під вигаданим приводом тисне на жертву, аби та розкрила пароль чи одноразовий код, підтвердила MFA-запит, переказала гроші або надала віддалений доступ. Це працює, бо живий голос передає терміновість і авторитет так, як не може текст, і бо більшість організацій перевіряють електронну пошту значно ретельніше, ніж телефон.

Голос став одним з улюблених шляхів у великі компанії. Звіт FBI Internet Crime Report за 2024 рік поставив фішинг і спуфінг на перше місце серед злочинів за кількістю звернень, а телефонні шахрайства з «технічною підтримкою» та видаванням себе за інших залишаються серед найдорожчих категорій, які він відстежує. Зловмисники підміняють номер, щоб дзвінок виглядав внутрішнім, вивчають сценарії служби підтримки, щоб відповісти на перевірочні запитання, і дедалі частіше клонують знайомий голос із короткого аудіозразка.

Ця схема вже підтверджена на найвищому рівні ринку. Зломи MGM Resorts і Caesars Entertainment у 2023 році обидва почалися з дзвінка до IT-служби підтримки від угруповання Scattered Spider, яке видало себе за співробітника, знайденого в LinkedIn, і переконало оператора обійти багатофакторну автентифікацію. Клонування голосу за допомогою ШІ прибрало останню тривожну ознаку: у справі Arup 2024 року фінансовий працівник авторизував переказ на 25 мільйонів доларів після діпфейк-відеодзвінка з людьми, які виглядали й звучали як керівники компанії.

RansomLeak проводить імерсивні сценарні вправи замість записаних відео й статичних тестів. Вправа з вішингу ставить учасника на дзвінок, що відчувається як живий, із приводом від служби підтримки чи лінії протидії шахрайству, і змушує ухвалювати рішення під тим самим словесним тиском, завдяки якому голосові атаки працюють. Кожен сценарій завершується миттєвим зворотним зв’язком, який називає пропущені ознаки й той крок зі зворотним дзвінком, що зупинив би справжню атаку.

Охоплення поширюється на всю голосову й діпфейкову поверхню атаки. Вправа з фішингу зі зворотним дзвінком відпрацьовує схему «спершу SMS, потім дзвінок», а вправи з діпфейк-клонування голосу та виявлення діпфейк-аудіо формують навичку для дзвінків із синтетичним голосом. Вправа зі шквалу push-запитів охоплює прохання підтвердити push-сповіщення, вправа «Вейлінг із діпфейком» ставить керівників усередину сценарію Arup із підробленим листом, голосовим повідомленням клонованим голосом і діпфейк-відеодзвінком, а вправа зі смішингу охоплює SMS, яке часто відкриває вішинговий ланцюжок. Кожна вправа постачається у форматах SCORM 1.2 і SCORM 2004 для будь-якої LMS, що підтримує ці стандарти.

Програми формуються за ролями. Служба підтримки та IT отримують приводи зі скиданням пароля й відновленням облікового запису, фінанси й відділ розрахунків із постачальниками — дзвінки про оплату та зміну реквізитів, а керівники та їхні асистенти — сценарії з видаванням себе за інших і діпфейк-відео. Результат — рефлекс перевірки, який тримається в телефоні, SMS і відео та вимірюється тим, наскільки надійно персонал перевіряє й повідомляє, а не лише часткою помилок.