La paraula vishing naix de la unió de *voice i *phishing, és a dir, engloba a aquells atacs de *phishing que involucren una veu, ja siga robòtica o humana.

Bon dia N (el nostre nom), som de la companyia energètica X (nom de la companyia que tenim contractada), hem comprovat que tens en la teua factura de la llum un cost molt alt per culpa del 'impost del topall del gas' i volem aplicar-te un descompte compensatori a aquest impost que el Govern ens obliga a imposar-te; només necessitem que ens confirmes que eres el teu a qui cridem perquè a partir d'ara no hages de pagar mai més aquest impost”.

Amb aquesta crida un supòsit operador pot posar-nos en estat d'alerta i incentivar-los perquè la “confirmació de la nostra identitat” acabe sent una cessió de dades confirmades via telefònica, en aquest cas per a fer-nos un canvi no desitjat i no consentit de companyia elèctrica.

Perquè el supòsit operador en realitat no pertanyia a la nostra companyia comercialitzadora d'energia sinó a un rival i ha utilitzat una tècnica anomenada vishing per a suplantar a un operari i realitzar una operació fraudulenta.

En aquest cas es tracta d'un canvi de companyia, però en altres ocasions el que està en joc és els nostres diners, com en el cas del soci de *Facua al qual van sostraure per aquesta tècnica 29.000 euros i que relatem en aquest article. O com el cas de la ja clàssica estafa de Microsoft, l'àudio de la qual pots sentir en aquest altre article.

També recentment la Guàrdia Civil ha detingut a dues persones que havien sostret presumptament més de 2.800 euros, via telefònica, d'una suposada factura impagada derivada d'una fallada informàtica a causa de la fusió de *Liberbank i Unicaja.

Phishing telefònic

Comptat i debatut, on el *phishing utilitzava el correu electrònic o el SMS per a sostraure els nostres dada i amb ells els nostres diners, el *vishing explota la via telefònica per a aplicar la seua enginyeria social i crear-nos un estat d'alarma que ens faça vulnerables a la cessió de dades sensibles.

L'Oficina de Seguretat de l'Internauta (*OSI) té catalogada aquesta modalitat i la defineix com una estafa on “el ciberdelinqüent es fa passar pel servei d'atenció al client per a informar-nos, en el cas dels bancs, que algú ha accedit al nostre compte i/o targeta, que han realitzat un càrrec en aquestes, o per a sol·licitar-nos que li donem informació sobre la nostra signatura digital”.

“En el cas dels proveïdors de gas i electricitat, les crides fraudulentes es realitzen amb l'objectiu de capturar dades personals. No es descarta que estiguen cridant a usuaris fent-se passar per qualsevol altre servei o empresa amb la finalitat d'enganyar-los i robar les seues dades personals i bancàries”, afig l'organisme.

El vishing funciona gràcies a dades personals que els ciberdelinqüents han aconseguit prèviament, normalment a través de bretxes de seguretat que afecten empreses. A partir d'ací, amb informació com el nostre nom i telèfon, poden aconseguir dades més sensibles i amb ells realitzar l'estafa.

El mecanisme, segons la OSI, consisteix a cridar a la víctima, alertar-li d'un càrrec estrany en el seu compte, o d'un càrrec extra per part de la seua companyia de serveis, per a aconseguir alarmar-li. A partir d'aqueix moment el suplantat tractarà de calmar la víctima prometent-li solucionar el problema.

El problema és que per a solucionar el problema l'operador requereix verificar les dades del client i és ací quan li les apanya-la perquè li'ls cedim sense adonar-nos, tal vegada creient que ja els posseeixen per endavant.

Tal com explica CaixaBank sobre aquest tema:

“Les crides fraudulentes (*vishing) estan a l'ordre del dia; els ciberdelinqüents sofistiquen cada vegada més els seus arguments per a enganyar les seues víctimes, utilitzant per a això diverses estratègies”.

L'entitat destaca les següents:

• Suplantar el telèfon *llamante (*Caller ANEU *Spoofing) perquè siga el mateix que el d'un centre d'atenció al client de qualsevol banc.
• Conéixer perfectament com funciona la banca electrònica de l'entitat i per tant guiar al client pels menús per a aconseguir el seu objectiu.
• Utilitzar arguments d'allò més convincents com per exemple ajudar-nos a retrocedir un suposat càrrec fraudulent perquè recuperem els nostres diners.

Com previndre el vishing

CaixaBank explica que “si algú contacta amb nosaltres, diu ser del nostre banc i ens demana que facilitem informació personal, bancària, claus secretes que ens arribaran a través de missatges de text al nostre mòbil o si de *improvisto, ens guia pas a pas per la banca en línia perquè fem un tràmit, hem de penjar la crida i en cas de dubtes, contactar nosaltres amb el servei d'atenció al client de l'entitat per a exposar el cas i que ens assessoren”.

“És important”, prossegueix l'entitat financera, “recordar que un banc mai sol·licitarà dades personals, usuaris, contrasenyes o claus per cap canal”. El nostre banc pot contactar amb nosaltres fins i tot per a confirmar, per seguretat, si hem sigut nosaltres els qui hem realitzat un pagament o una transferència, però mai ens demanarà que els facilitem cap mena de clau personal.

Recomanacions de la OSI

Per la seua part la OSI ofereix les següents recomanacions:

• No proporciones cap mena d'informació personal als desconeguts que et criden dient que ho fan en nom del teu banc o companyia de gas i/o electricitat.
• Fes comprovacions sobre l'usuari amb el qual estàs interactuant.
• Si en parlar amb la persona, aquesta no t'inspira confiança o dubtes de la seua autenticitat, curta la comunicació i contacta a través dels canals oficials amb el teu banc o amb la teua empresa proveïdora de serveis de gas i/o d'electricitat per a contrastar la informació i cerciorar-te de si és cert el que està ocorrent.
• En cas de dubte, consulta directament amb l'entitat per a informar-los del succeït o amb terceres personalitats de confiança com poden ser les Forces i Cossos de Seguretat de l'Estat (FCSE). Si necessites més informació, pots cridar a la Línia d'Ajuda en Ciberseguretat de *INCIBE, 017, gratuïta i confidencial o contactar a través dels canals de xat WhatsApp (900 116 117) i Telegram(@INCIBE017).

Consulta la notícia original ACI