Фішинг, вішинг і смішинг: як шахраї атакують через телефон

Телефон сьогодні — головний інструмент шахраїв: на нього приходять підозрілі дзвінки, SMS та посилання, що ведуть на фальшиві сайти. Терміни "фішинг", "вішинг" і "смішинг" описують схожі за суттю, але різні за каналом атаки. Розуміння відмінностей допомагає швидше впізнати пастку, незалежно від того, як вона до вас прийшла.

Що таке фішинг

Фішинг — це загальна назва шахрайства, коли зловмисник видає себе за банк, державну установу, службу доставки чи відомий сервіс, щоб виманити особисті дані, паролі або гроші. Класичний фішинг відбувається через електронну пошту з посиланням на підроблений сайт, що виглядає як справжній. Але сьогодні цей термін часто використовують ширше — для будь-якого обману з підробленою особою, включно з дзвінками та повідомленнями.

Типові ознаки фішингу

• Лист або повідомлення створює терміновість: "рахунок заблокують за 24 години"
• Посилання веде на адресу, що трохи відрізняється від офіційної
• Прохання ввести логін, пароль або код підтвердження на сторонньому сайті
• Граматичні помилки або нетипове звернення від нібито відомої організації

Що таке вішинг (voice phishing)

Вішинг — це та сама схема обману, але через голосовий дзвінок. Шахрай телефонує особисто, представляючись співробітником банку, службою безпеки, поліцією чи технічною підтримкою, і намагається переконати жертву назвати код із SMS, дані картки або встановити програму віддаленого доступу. Голосовий контакт психологічно сильніший за текст: людина розгублюється, коли з нею говорять авторитетним, стурбованим або офіційним тоном.

Як розпізнати вішинг

• Дзвінок нібито від банку, але просять назвати повний номер картки, CVV або код із SMS — банки цього ніколи не роблять
• Співрозмовник тисне на терміновість і забороняє класти слухавку чи "радитися з рідними"
• Просять встановити програму для віддаленого керування телефоном чи комп'ютером
• Номер дзвінка виглядає підозріло, приховано або підмінено під офіційний

Що таке смішинг (SMS phishing)

Смішинг — це фішинг через текстові повідомлення. Ви отримуєте SMS нібито від служби доставки, банку чи державного сервісу з посиланням: "Ваша посилка затримана, підтвердіть адресу" або "Виявлено підозрілу операцію, перевірте рахунок". Перехід за посиланням веде на підроблену сторінку, що збирає дані картки чи логіни.

Ознаки смішингу

• Повідомлення від незнайомого або дивного номера з коротким посиланням
• Текст імітує відому компанію, але звертається без імені або з помилками
• Пропозиція "сплатити дрібну суму" за доставку чи розмитнення
• Посилання, що відкриває сайт зі формою введення платіжних даних

Чим ці атаки схожі та чим відрізняються

У всіх трьох випадках мета однакова — обманом отримати ваші дані або гроші, видаючи себе за довірену організацію. Відрізняється лише канал: електронна пошта чи сайт (фішинг), голосовий дзвінок (вішинг) або текстове повідомлення (смішинг). Шахраї часто комбінують канали: спочатку надсилають SMS, а потім телефонують, щоб "підтвердити" деталі, або навпаки — дзвонять, а слідом присилають лист із посиланням для "верифікації".

Що робити, якщо ви отримали підозрілий контакт

• Не переходьте за посиланнями з SMS і листів від незнайомих або сумнівних відправників
• Не називайте коди з SMS, паролі чи дані картки нікому — ні по телефону, ні в чаті
• Якщо дзвонять "з банку", покладіть слухавку і передзвоніть за офіційним номером з картки чи сайту банку
• Перевірте номер телефону або відправника через цей сервіс, щоб побачити, чи скаржилися на нього інші люди
• Повідомте своєму мобільному оператору про підозрілі SMS-повідомлення
• Якщо вже передали дані картки — негайно зверніться до банку для блокування картки
• Розкажіть про випадок рідним, особливо старшим людям, які частіше стають ціллю таких схем

Головне правило

Жодна легітимна організація — банк, оператор зв'язку чи державна служба — ніколи не просить назвати повний пароль, код з SMS чи дані картки по телефону або через посилання в повідомленні. Якщо щось у контакті викликає сумнів чи тиск терміновості, найкраща стратегія — покласти слухавку або закрити повідомлення і самостійно зв'язатися з організацією за офіційними контактами. Кілька хвилин перевірки коштують значно менше, ніж втрачені гроші чи скомпрометовані дані.