Vishing é uma forma de phishing que utiliza comunicação por voz para manipular a vítima. O contato pode ocorrer por ligação telefônica, mensagem gravada, aplicativo de chamadas ou como uma etapa de um golpe iniciado por e-mail, SMS, WhatsApp ou uma página falsa.
O termo combina as palavras voice e phishing. O objetivo normalmente é obter senhas, códigos de autenticação, dados bancários, informações pessoais ou induzir a vítima a instalar um programa, acessar um endereço fraudulento ou realizar uma transferência.
Como o golpe funciona
O criminoso se apresenta como banco, operadora, suporte técnico, fornecedor, órgão público ou funcionário da própria empresa. Para aumentar a pressão, afirma que existe uma compra suspeita, bloqueio de conta, atualização urgente, investigação ou incidente de segurança.
A identificação exibida pelo telefone não comprova quem está ligando. Serviços VoIP e outras técnicas permitem falsificar ou manipular o identificador da chamada. Além disso, informações obtidas em vazamentos e redes sociais ajudam o atacante a tornar a conversa convincente.
Vozes sintetizadas ou clonadas também podem ser usadas para imitar pessoas conhecidas. Mesmo quando a voz parece familiar, uma solicitação financeira ou de acesso deve ser confirmada por outro canal.
Sinais de alerta
- pedido de senha, token, código de MFA ou código recebido por SMS;
- pressão para agir imediatamente ou manter a conversa em segredo;
- orientação para instalar aplicativo de acesso remoto;
- solicitação para transferir dinheiro para uma “conta segura”;
- pedido para acessar um link informado durante a chamada;
- ameaça de bloqueio, multa ou perda financeira;
- ligação que pede confirmação de muitos dados que a instituição deveria conhecer.
Como verificar com segurança
- Interrompa a ligação e não use o número fornecido pelo interlocutor.
- Procure o canal oficial no aplicativo, cartão, contrato ou site digitado por você.
- Entre em contato usando outro canal e explique o que foi solicitado.
- Para pedidos internos, confirme com a pessoa ou gestor por um meio independente.
- Nunca informe senha, código temporário ou aprove uma notificação de autenticação que você não iniciou.
Proteção nas empresas
Treinamento ajuda, mas não deve ser a única barreira. Procedimentos de confirmação para pagamentos, alterações bancárias, redefinições de senha e liberação de acesso reduzem a dependência da percepção individual.
Use autenticação resistente a phishing quando possível, limite privilégios, registre ações administrativas e estabeleça um canal simples para reportar contatos suspeitos. A equipe de suporte também deve validar cuidadosamente solicitações de recuperação de conta.
O vishing pode aparecer combinado com malware e outros mecanismos de fraude. Um exemplo recente está no artigo Trojan TCLBANKER amplia o risco aos bancos no Brasil. Veja também o caso Cisco invadida, que envolveu voice phishing e pressão sobre autenticação multifator.
Referências
About the Author
