Vishing in smishing (klic in SMS)
Kaj sta vishing in smishing in zakaj sta vedno pogostejši obliki socialnega inženiringa
Vishing (glasovni phishing) in smishing (SMS phishing) sta obliki socialnega inženiringa, pri katerih napadalci namesto e-pošte uporabijo telefonski klic ali SMS sporočilo. Napadalci se predstavljajo kot banka, tehnična podpora, dostavna služba, državna ustanova ali celo vodstvo podjetja ter žrtev prevarajo, da razkrije poverilnice, potrdi plačilo, namesti zlonamerno aplikacijo ali odpre lažno povezavo. Ponarejanje telefonskih številk in vse pogostejša uporaba umetne inteligence za ponarejanje glasu (deepfake) ta taka napada delata še bolj prepričljiva.
V Zavodu Varna AI organizacijam pomagamo okrepiti odpornost zaposlenih na lažne klice in SMS sporočila – z razumljivimi vsebinami, resničnimi primeri iz prakse in simulacijami vishing in smishing napadov, ki varno preverijo pripravljenost vaše ekipe in merljivo zmanjšajo tveganje za uspešen napad.
Kaj vključuje vsebina o lažnih klicih in SMS sporočilih
Vsebina je zasnovana tako, da zaposlene nauči lažne klice in SMS sporočila prepoznati, nanje pravilno odreagirati in jih pravočasno prijaviti. Vključuje:
Kaj je vishing
Kaj je smishing
Lažni klici "banke" in "podpore"
Ponarejanje telefonskih številk
Lažna SMS sporočila o paketih
Psihološki triki napadalcev
Goljufije z dostavnimi službami
Lažni klici tehnične podpore
Deepfake glas in AI klici
Prepoznavanje sumljivih klicev
Varno ravnanje s povezavami v SMS
Simulacije vishing in smishing napadov
Pravila preverjanja klicateljev
Prijavljanje poskusov goljufije
Ukrepanje ob razkritju podatkov
Poročanje in analitika
Želite okrepiti odpornost vaše organizacije proti lažnim klicem in SMS sporočilom?
Vsako organizacijo obravnavamo posebej. Skupaj pripravimo program ozaveščanja in simulacij vishing ter smishing napadov, prilagojen vaši dejavnosti, procesom in najpogostejšim grožnjam, s katerimi se srečujete.
Skupaj gradimo odpornost proti socialnemu inženiringu
Verjamemo, da so ozaveščeni zaposleni najmočnejša obramba organizacije. Zato pomagamo graditi varnostno kulturo, v kateri je zdrava sumnjičavost do nepričakovanih klicev in sporočil vsakdanja veščina vseh zaposlenih.
Zaupanja vreden partner pri kibernetski varnosti
Strokovnost in izkušnje
Vsebine pripravljajo strokovnjaki s področja kibernetske varnosti, socialnega inženiringa in obvladovanja tveganj.
Razumljiva vsebina
Napade predstavimo na razumljivih, resničnih primerih in s konkretnimi navodili za vsakdanje delo.
Podpora tudi po uskladitvi
S simulacijami in analitiko spremljamo napredek ter vsebine prilagajamo dejanskim tveganjem vaše organizacije.
Pogosta vprašanja in odgovori
Vishing (glasovni phishing) je prevara po telefonu: napadalec se predstavi kot zaupanja vredna oseba ali institucija – banka, tehnična podpora, policija ali vodstvo – in žrtev prepriča, da razkrije občutljive podatke, potrdi plačilo ali namesti programsko opremo za oddaljeni dostop. Smishing (SMS phishing) je podoben napad prek SMS ali sporočilnih aplikacij, običajno s povezavo na lažno spletno stran. Oboji sta obliki socialnega inženiringa.
Najpogostejši znaki lažnega klica so:
- ustvarjanje nujnosti in pritiska (»takoj morate ukrepati«),
- zahteve po geslih, PIN kodah, enkratnih SMS kodah ali podatkih bančne kartice,
- zahteva po namestitvi aplikacije ali oddaljenega dostopa do računalnika,
- zahteva po potrditvi plačila ali nakazila,
- klicatelj se izogiba preverjanju identitete ali prekinja klic ob vprašanjih.
Osnovno pravilo: prava banka, tehnična podpora ali državni organ po telefonu nikoli ne bo zahtevala gesel, kod ali namestitve programske opreme. Ob dvomu klic prekinite in institucijo pokličite na uradno številko.
Tipični znaki lažnega SMS sporočila so:
- nepričakovano obvestilo o paketu, carini, računu ali kazni,
- povezava na neznano ali sumljivo domeno (npr. čudne končnice, črkovne zamenjave),
- slovnične napake ali nenaravna slovenščina,
- nujnost (»paket bo vrnjen«, »račun bo blokiran«),
- zahteva po vnosu podatkov kartice ali prijavi prek povezave.
Osnovno pravilo: povezav v SMS sporočilih ne odpirajte – storitev raje odprite prek uradne aplikacije ali spletne strani, ki jo vtipkate sami.
Če ste razkrili osebne ali poslovne podatke:
- O dogodku nemudoma obvestite interno IT službo ali odgovorno osebo za informacijsko varnost (pri poslovnih podatkih) oziroma svojo banko (pri bančnih podatkih).
- Če ste razkrili geslo, ga takoj spremenite – tudi povsod drugje, kjer uporabljate enako geslo.
- Če ste razkrili podatke bančne kartice, kartico takoj blokirajte.
- Če ste namestili neznano aplikacijo, jo odstranite in napravo preverite.
- Shrani te dokaze (številko klicatelja, SMS sporočilo, posnetke zaslona).
Hiter odziv bistveno zmanjša škodo – tudi če ste že razkrili podatke.
Ponarejanje telefonske številke (caller ID spoofing) je tehnika, s katero napadalec na vašem zaslonu prikaže poljubno številko – na primer številko vaše banke, policije ali sodelavca. Zato prikazana številka ni dokaz o identiteti klicatelja. Pravilo: če klicatelj kaj zahteva od vas, klic prekinite in institucijo pokličite sami na uradno objavljeno številko.
Simulacija je nadzorovan in varen preizkus, pri katerem zaposleni prejmejo scenarij lažnega klica ali SMS sporočila, ki posnema resnične napade. Zabeležimo odziv (ali so podatke razkrili, povezavo odprli, napad prijavili), udeležence pa takoj usmerimo v kratko izobraževalno vsebino. Rezultati se anonimizirano analizirajo, organizacija pa pridobi pregled nad stopnjo tveganja in napredkom skozi čas.
Zakon o informacijski varnosti (ZInfV-1) in direktiva NIS-2 zahtevata ustrezne organizacijske in tehnične ukrepe za obvladovanje kibernetskih tveganj, med katere sodijo tudi redna usposabljanja in ozaveščanje zaposlenih o socialnem inženiringu. Enako velja za certificiranje po standardu ISO/IEC 27001. Dokazljiva usposabljanja in simulacije so tako ne le dobra praksa, temveč tudi način dokazovanja skladnosti.
