Ο όρος «vishing» είναι σύνθετη λέξη που προέρχεται από τις λέξεις «Voice» (φωνή) και «Phishing» (ψαρέμα). Αναφέρεται σε έναν συγκεκριμένο τύπο επίθεσης κοινωνικής μηχανικής που χρησιμοποιεί τις φωνητικές κλήσεις, δηλαδή το τηλέφωνο, ως κύριο κανάλι επικοινωνίας με σκοπό την παράνομη απόκτηση πληροφοριών ή την παρακίνηση του θύματος να προβεί σε ενέργειες που θα του προκαλέσουν ζημιά.

Βασικό στοιχείο του vishing είναι η χρήση τεχνολογίας που επιτρέπει στους απατεώνες να αποκρύπτουν και να παραποιούν εύκολα τον αριθμό από τον οποίο καλούν (το λεγόμενο «number spoofing»). Ως αποτέλεσμα, στην οθόνη του τηλεφώνου του θύματος μπορεί να εμφανίζεται ο αριθμός της γραμμής εξυπηρέτησης πελατών μιας τράπεζας, ενός αστυνομικού τμήματος, μιας εφορίας, μιας εταιρείας ταχυμεταφορών ή ενός παρόχου τηλεπικοινωνιακών υπηρεσιών, γεγονός που αυξάνει δραστικά την αξιοπιστία της απάτης.

Οι απατεώνες που χρησιμοποιούν το vishing είναι ειδικοί στη χειραγώγηση. Υποδύονται ρόλους που εμπνέουν μεγάλη εμπιστοσύνη, συνήθως:

Υπάλληλοι τραπεζών ή χρηματοπιστωτικών ιδρυμάτων: Ενημερώνουν για μια υποτιθέμενη «ύποπτη μεταφορά», «αποκλεισμό λογαριασμού» ή την ανάγκη «διασφάλισης κεφαλαίων». Δημιουργούν μια αίσθηση ξαφνικής επείγουσας ανάγκης και απειλής, πιέζοντας το θύμα να ενεργήσει υπό πίεση χρόνου και συναισθημάτων.

Αξιωματικοί της αστυνομίας ή της εισαγγελίας: Ισχυρίζονται ότι ο λογαριασμός του θύματος δέχεται επίθεση ή χρησιμοποιείται για τη διάπραξη εγκλήματος. Ζητούν «βοήθεια σε μια μυστική επιχείρηση», η οποία περιλαμβάνει τη μεταφορά χρημάτων σε έναν «ασφαλή λογαριασμό» ή την εγκατάσταση λογισμικού που υποτίθεται ότι προορίζεται για τον εντοπισμό των εγκληματιών.

Προσωπικό τεχνικής υποστήριξης: Τηλεφωνούν, προσποιούμενοι ότι είναι υπάλληλοι παγκόσμιων εταιρειών τεχνολογίας (π.χ. Microsoft, Apple), και ενημερώνουν για έναν «ιό» ή ένα «σφάλμα» στο σύστημα του υπολογιστή του θύματος.

Ο κύριος στόχος του vishing είναι να παρασύρει το θύμα ώστε:

Να αποκαλύψει ευαίσθητα δεδομένα: Κατά τη διάρκεια της συνομιλίας, με το πρόσχημα της επαλήθευσης ταυτότητας, οι απατεώνες προσπαθούν να αποσπάσουν στοιχεία σύνδεσης σε υπηρεσίες ηλεκτρονικής τραπεζικής, αριθμούς πιστωτικών καρτών, κωδικούς PIN, κωδικούς μίας χρήσης από μηνύματα SMS ή αριθμούς εθνικής ταυτότητας.

Να προβεί σε επιβλαβείς ενέργειες: Τις περισσότερες φορές, πρόκειται για οδηγία να πραγματοποιήσει επείγουσα μεταφορά χρημάτων σε λογαριασμό που ελέγχεται από τους εγκληματίες («τεχνικός λογαριασμός», «ασφαλής λογαριασμός»).

Εγκαταστήσει λογισμικό: Μια άλλη δημοφιλής τακτική είναι να παρασύρουν το θύμα να εγκαταστήσει λογισμικό απομακρυσμένης πρόσβασης (π.χ. AnyDesk, TeamViewer). Μετά την εγκατάσταση αυτού του είδους εφαρμογών, ο απατεώνας αποκτά πλήρη έλεγχο της επιφάνειας εργασίας του υπολογιστή του θύματος, γεγονός που του επιτρέπει να εκτελεί μη εξουσιοδοτημένες πράξεις στο διαδικτυακό τραπεζικό σύστημα.

Το vishing θεωρείται μία από τις πιο επικίνδυνες μορφές phishing, καθώς μια τηλεφωνική συνομιλία δημιουργεί την ψευδαίσθηση της αλληλεπίδρασης και είναι πιο δύσκολο να αγνοηθεί από ένα ύποπτο email. Δίνει στους απατεώνες την ευκαιρία να αντιδρούν γρήγορα στις αμφιβολίες του θύματος, να προσαρμόζουν το σενάριο της επίθεσης σε πραγματικό χρόνο και να εκμεταλλεύονται συναισθήματα όπως ο φόβος ή το αίσθημα υποχρέωσης.