EN
W lipcu 2024 roku jeden z dyrektorów Ferrari odebrał telefon, w którym głos prezesa Benedetto Vigny - z charakterystycznym południowowłoskim akcentem - naciskał na pilną i poufną transakcję. Uratowało go jedno pytanie kontrolne: o tytuł książki, którą Vigna polecił mu kilka dni wcześniej. Oszust nie znał odpowiedzi i natychmiast się rozłączył - głos okazał się wygenerowany przez AI2. Tak dziś wygląda vishing: do skutecznego ataku nie trzeba włamania, wystarczy rozmowa.
Czym jest phishing głosowy?
Vishing (od słów „voice" i „phishing") to wyłudzanie danych, pieniędzy lub dostępu do systemów przez połączenia telefoniczne i komunikację głosową. Oszust podszywa się pod osobę lub instytucję wzbudzającą zaufanie - pracownika banku, operatora telekomunikacyjnego, urzędu, działu IT albo policjanta - i krok po kroku prowadzi rozmówcę do wykonania konkretnej czynności.
Skalę zjawiska pokazuje raport CERT Polska za 2025 rok1. Zespół zarejestrował ponad
260 tys. incydentów, z czego 97% stanowiły oszustwa
Raport podkreśla, że dominują ataki wymierzone w człowieka, oparte na manipulacji, presji czasu i podszywaniu się pod zaufane podmioty - czyli na tym, z czego korzysta vishing.
Telefon działa na korzyść oszusta. Głosowi ufamy łatwiej niż anonimowemu e-mailowi, a rozmowa pozwala na bieżąco reagować na wątpliwości ofiary i prowadzić ją przez kolejne kroki.
O co może poprosić przestępca?
Zakres działań zależy od celu ataku. U osób prywatnych najczęściej chodzi o pieniądze lub dane bankowe. W organizacjach celem bywają informacje biznesowe, dostęp do systemów albo dane klientów.
Przestępca może poprosić między innymi o:
- podanie loginu i hasła do systemu,
- przekazanie kodu SMS autoryzującego operację,
- zainstalowanie programu do zdalnej pomocy technicznej,
- zmianę numeru rachunku bankowego kontrahenta,
- przesłanie dokumentów zawierających dane osobowe,
- ujawnienie procedur bezpieczeństwa,
- przekazanie numerów telefonów do innych pracowników.
Szczególnie niebezpieczne są ataki wymierzone w pracowników obsługi klienta, contact center i helpdesku. W tych zespołach codziennie wymienia się setki informacji, więc nietypowa prośba łatwo uchodzi za zwykłe zgłoszenie. Oszust może na przykład zadzwonić na infolinię jako klient, uwiarygodnić się danymi z wycieku i poprosić konsultanta o zmianę numeru telefonu do autoryzacji - z pozoru rutynowa operacja, w praktyce pierwszy krok do przejęcia konta.
Kto jest najbardziej narażony na vishing?
Atak może dotknąć każdego - nie istnieje grupa całkowicie odporna na manipulację. Niektóre osoby znajdują się jednak w strefie podwyższonego ryzyka.
Pierwszą grupą są seniorzy. Przestępcy od lat wykorzystują zaufanie starszych osób i sięgają po scenariusze związane z rodziną, zdrowiem lub nagłymi problemami finansowymi. Drugą grupą są pracownicy obsługujący klientów przez telefon: konsultanci są przyzwyczajeni do szybkiego rozwiązywania problemów i właśnie to oszust próbuje wykorzystać.
Wysokie ryzyko dotyczy także:
- pracowników działów finansowych,
- administratorów systemów,
- personelu medycznego,
- pracowników administracji publicznej,
- osób z dostępem do danych klientów,
- menedżerów podejmujących decyzje finansowe.
Duże organizacje to atrakcyjny cel, bo jedna skuteczna rozmowa potrafi otworzyć drogę do kolejnych systemów i procesów.
Najczęściej wykorzystywane techniki przy atakach vishingowych
Przestępcy stale modyfikują metody działania, ale podstawowe mechanizmy się powtarzają.
Podszywanie się pod zaufaną instytucję
Rozmówca przedstawia się jako pracownik banku, operatora płatności lub działu bezpieczeństwa. Często zna podstawowe dane ofiary, które wcześniej zdobył z wycieków lub mediów społecznościowych.
Wywoływanie presji czasu
Ofiara słyszy, że ktoś właśnie próbuje wykonać przelew, zaciągnąć kredyt albo przejąć konto. Pojawia się strach, a w takich warunkach łatwiej o błędną decyzję.
Budowanie autorytetu
Przestępca używa specjalistycznego słownictwa, numerów zgłoszeń i nazw procedur. Wszystko po to, żeby sprawiać wrażenie osoby kompetentnej.
Wzbudzanie emocji
Jedne oszustwa grają współczuciem, inne strachem. Mechanizm jest ten sam: emocje mają ograniczyć racjonalną ocenę sytuacji i skrócić czas na zastanowienie.
Caller ID spoofing
Dostępne narzędzia pozwalają sfałszować numer telefonu widoczny na ekranie odbiorcy. Ofiara widzi numer przypominający infolinię banku lub znanej instytucji - dlatego sam numer na ekranie niczego nie dowodzi.
Klonowanie głosu przez AI
Narzędzia do syntezy mowy odtwarzają barwę i akcent konkretnej osoby na podstawie kilku sekund nagrania - wystarczy fragment wystąpienia z konferencji albo wideo z mediów społecznościowych. Przypadek Ferrari pokazuje, że taki atak brzmi przekonująco nawet dla współpracowników, którzy rozmawiają z szefem codziennie. Głos przestał być dowodem tożsamości - tak samo jak numer telefonu.
Różnice między vishingiem, smishingiem, quishingiem a phishingiem
Pojęcia te bywają używane zamiennie, choć opisują różne kanały ataku. Phishing w potocznym rozumieniu to ataki prowadzone e-mailem - wiadomości z fałszywymi linkami lub formularzami. Vishing wykorzystuje rozmowę telefoniczną albo wiadomości głosowe. Smishing opiera się na SMS-ach z linkiem lub instrukcją. Quishing korzysta z kodów QR, które prowadzą na fałszywą stronę logowania.
Cel jest wspólny, zmienia się tylko kanał pierwszego kontaktu. Przeczytaj też: ➡️ Cyberbezpieczeństwo w contact center: największe zagrożenia i sposoby ochrony
Przykłady ataków vishingowych - metody na wnuczka i na lekarza
Metoda „na wnuczka"
Najbardziej znany scenariusz to oszustwo „na wnuczka". Starsza osoba odbiera telefon od rzekomego członka rodziny, słyszy o wypadku lub problemie prawnym, a pieniądze są potrzebne natychmiast. Scenariusz jest ułożony tak, żeby ofiara nie zdążyła niczego sprawdzić.
Metoda „na lekarza"
Policja regularnie ostrzega też przed wariantem „na lekarza"3. Przestępca podaje się za lekarza lub pracownika szpitala i dzwoni do rodziny rzekomego pacjenta: informuje o wypadku bliskiej osoby, mówi o pilnym zabiegu albo drogim leku i oczekuje natychmiastowego przelewu. Skala nie jest teoretyczna - jedna grupa rozbita przez śląską policję wyłudziła tą metodą blisko 2,5 mln zł4.
Oba scenariusze opierają się na tym samym: strachu o bliskich i presji czasu. Po takim telefonie należy zakończyć rozmowę i samodzielnie skontaktować się z rodziną albo placówką.
Jakie sformułowania podczas rozmowy powinny wzbudzić czujność?
Nie istnieje jedna lista zwrotów gwarantująca wykrycie oszustwa, ale pewne komunikaty powtarzają się wyjątkowo często:
- „Musisz działać natychmiast."
- „Nie rozłączaj się."
- „Nie kontaktuj się z bankiem samodzielnie."
- „Podaj kod SMS, żeby zablokować transakcję."
- „Potwierdź hasło dla bezpieczeństwa."
- „Zainstaluj aplikację, a rozwiążemy problem."
- „To tajna procedura."
- „Jeśli nie wykonasz tej czynności teraz, stracisz środki."
Ani bank, ani urząd, ani operator nie wymaga przez telefon podawania pełnych haseł, kodów autoryzacyjnych ani instalowania nieznanego oprogramowania. Każde z powyższych zdań to sygnał, żeby się rozłączyć.
Z jakimi niebezpieczeństwami wiążą się ataki vishingowe?
Skutki jednego telefonu bywają bardzo poważne. Osoby prywatne najczęściej tracą pieniądze, dane osobowe albo dostęp do kont - a wykradzione dane wracają potem w kolejnych oszustwach.
Firmy ponoszą szersze konsekwencje. Atak może doprowadzić do wycieku danych klientów, przejęcia kont administracyjnych, nieautoryzowanych przelewów lub paraliżu części procesów. Do tego dochodzą koszty analizy incydentu, obsługi prawnej i odbudowy zaufania. W energetyce, transporcie, bankowości czy administracji publicznej skutki potrafią wyjść poza jedną organizację - przestają wtedy działać usługi, z których korzystają tysiące użytkowników. Przeczytaj też: ➡️ Bezpieczeństwo danych i RODO w systemach contact center
Jak chronić się przed atakami vishingowymi?
Skuteczna ochrona opiera się na 3 elementach: procedurach, przepisach prawa i technologii. Podstawowa zasada brzmi: nie podejmuj decyzji pod presją rozmówcy.
Jeżeli pojawiają się wątpliwości:
- zakończ połączenie,
- samodzielnie skontaktuj się z instytucją przez oficjalny numer,
- zweryfikuj zgłoszenie innym kanałem,
- skonsultuj sprawę z przełożonym lub zespołem bezpieczeństwa.
W relacjach wewnętrznych sprawdza się pytanie kontrolne o rzecz znaną tylko prawdziwemu rozmówcy - dokładnie tak dyrektor Ferrari zdemaskował sklonowany głos prezesa. Do tego dochodzi autoryzacja wieloosobowa: operacji wysokiego ryzyka, na przykład zmiany rachunku kontrahenta, nie zatwierdza samodzielnie jeden pracownik.
Pomaga też prawo. Od 2023 roku operatorzy muszą blokować połączenia ze sfałszowanym numerem - ten obowiązek wprowadziła ustawa o zwalczaniu nadużyć w komunikacji elektronicznej5. Prezes UKE prowadzi przy tym wykaz numerów, które służą wyłącznie do odbierania połączeń. Jeśli prowadzisz infolinię, zgłoś jej numery do tego wykazu - operator zablokuje połączenia podszywające się pod numer Twojej infolinii i oszust nie zadzwoni do klientów „z Twojego" numeru.
Ostatni element to technologia. Systemy Pirios rejestrują rozmowy, więc podejrzany kontakt można odtworzyć i przeanalizować, a reguły kierowania połączeń przekazują nietypowe zgłoszenia do przeszkolonego konsultanta zamiast do automatu.
Rola infolinii i contact center w ograniczaniu ryzyka
Infolinia to często pierwsze miejsce kontaktu klienta z organizacją i właśnie tam przestępcy próbują zdobywać informacje lub omijać procedury.
Dobrze zaprojektowany proces obsługi obejmuje:
- jednoznaczne zasady weryfikacji tożsamości,
- kontrolę dostępu do danych,
- rejestrowanie działań operatorów,
- regularne szkolenia personelu,
- procedury eskalacji nietypowych zgłoszeń.
System contact center nie zastąpi czujności pracownika. Ogranicza jednak liczbę błędów i ułatwia wykrywanie podejrzanych działań, zanim urosną do rangi incydentu. Przeczytaj też: ➡️ Jak zautomatyzować proces obsługi klienta?
Co możesz zrobić, gdy padniesz ofiarą vishingu?
Jeśli przekazałeś dane lub wykonałeś polecenie oszusta, liczy się czas:
- natychmiast skontaktuj się z bankiem,
- zablokuj dostęp do kont i usług,
- zmień hasła,
- zgłoś sprawę policji oraz do CERT Polska (formularz incydent.cert.pl),
- poinformuj dział bezpieczeństwa, jeśli zdarzenie dotyczy firmy,
- sprawdź, czy na urządzeniu nie działa nieznane oprogramowanie.
W organizacji trzeba od razu uruchomić procedurę obsługi incydentu. Szybka reakcja ogranicza skalę szkód i utrudnia dalsze wykorzystanie wykradzionych informacji.
Do ataku przestępcom nie jest dziś potrzebne złośliwe oprogramowanie - służy im scenariusz manipulacji, sklonowany głos i dobrze wybrany moment. Bezpieczeństwo komunikacji telefonicznej zasługuje więc na równie poważne traktowanie jak ochrona systemów informatycznych, zwłaszcza tam, gdzie infolinie i zespoły obsługi klienta codziennie przetwarzają duże ilości danych. Obejrzyj też: ➡️ Odcinek 8 - Bezpieczeństwo systemów IT
Zwiększ bezpieczeństwo komunikacji telefonicznej w swojej organizacji
Skontaktuj się z zespołem Pirios i zobacz, jak działają nasze systemy contact center, IVR oraz rozwiązania do obsługi sytuacji kryzysowych. Pokażemy konkretne funkcje, procedury i możliwości dopasowane do Twojego środowiska pracy.
Źródła:
1 NASK / CERT Polska - „Prawie 2 tys. zgłoszeń każdego dnia. Raport CERT Polska za 2025 rok"
2 Fortune - „Ferrari exec foils deepfake attempt by asking the scammer a question only CEO Benedetto Vigna could answer", lipiec 2024
3 Policja.pl - „Oszustwo metodą na lekarza"
4 Money.pl - „Nowa metoda na lekarza. Gang oszustów rozbity na Śląsku"
5 CERT Polska - „Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej", wrzesień 2023
