O que é vishing?

Vishing, abreviação de voice phishing (phishing por voz), é um ataque de engenharia social no qual cibercriminosos usam ligações telefônicas ou comunicações de voz para enganar pessoas e levá-las a revelar informações confidenciais, transferir dinheiro, conceder acesso ou realizar outras ações que beneficiem o atacante.

O vishing é semelhante ao phishing tradicional, mas em vez de depender principalmente de e-mails ou sites fraudulentos, os atacantes usam a comunicação por voz para ganhar a confiança das vítimas e manipulá-las.

Os atacantes podem se passar por bancos, empresas de tecnologia, agências governamentais, executivos, equipes de suporte de TI ou outras pessoas e organizações confiáveis. Técnicas cada vez mais sofisticadas, incluindo a falsificação de identificação de chamadas e vozes geradas por IA, podem tornar as chamadas fraudulentas mais convincentes.

Principais conclusões

• O vishing (phishing por voz) é um ataque de engenharia social que utiliza chamadas telefônicas ou mensagens de voz para enganar indivíduos e levá-los a revelar informações confidenciais, compartilhar credenciais ou conceder acesso não autorizado.
• Os atacantes usam a falsificação de identidade e a urgência para enganar as vítimas. As táticas comuns incluem fingir ser suporte de TI, instituições financeiras ou executivos, frequentemente usando falsificação de identificação de chamadas ou vozes geradas por IA para parecer legítimo.
• Os ataques de vishing podem levar a violação de dados de segurança de maior escala. Credenciais roubadas ou acesso não autorizado podem permitir que invasores comprometam sistemas adicionais, elevem seus privilégios e se movimentem lateralmente no ambiente de uma organização.
• Preventing vishing requires both employee awareness and technical security controls. Organizations should combine security training, identity verification, threat detection, and network visibility to reduce risk and limit the impact of successful attacks.

Como funciona o vishing?

Os ataques de vishing dependem da engenharia social, em vez de simplesmente explorar uma vulnerabilidade técnica.

Normalmente, um agressor cria um cenário verossímil, projetado para fazer com que a vítima sinta urgência, medo, curiosidade ou confiança. O agressor tenta então convencer a vítima a fornecer informações ou a tomar alguma atitude.

Um ataque de vishing típico pode envolver os seguintes passos:

1. Seleção do alvo: O atacante identifica um indivíduo ou organização para ser alvo.
2. Pesquisa: O atacante pode coletar informações de mídias sociais, sites públicos, dados vazados ou outras fontes.
3. Impersonação: O atacante finge ser uma pessoa ou organização de confiança.
4. Manipulação: O agressor cria uma sensação de urgência ou outro motivo para que a vítima aja rapidamente.
5. Informações ou acesso: A vítima pode ser solicitada a fornecer credenciais, códigos de autenticação, informações financeiras ou acesso remoto.
6. Exploração: O atacante utiliza as informações ou o acesso para cometer fraudes, comprometer contas ou obter acesso a sistemas adicionais.

A eficácia do vishing depende em grande parte de convencer a vítima de que o pedido é legítimo.

Qual é um exemplo de ataque de vishing?

Um ataque de vishing comum envolve um golpista que se faz passar por representante de um banco ou instituição financeira.

A pessoa que liga pode alegar que foi detectada atividade suspeita na conta da vítima e que é necessária verificação imediata. Em seguida, o atacante solicita um número de conta, senha, PIN ou código de autenticação de uso único.

Num ataque no local de trabalho, um cibercriminoso pode se passar pelo departamento de TI de uma organização e dizer a um funcionário que há um problema com a sua conta. O atacante pode solicitar ao funcionário que forneça credenciais de login, aprove uma solicitação de autenticação multifator (MFA) ou instale um software de acesso remoto.

Uma vez que o invasor obtém acesso, ele pode tentar comprometer sistemas adicionais ou se movimentar lateralmente pelo ambiente da organização.

Qual a diferença entre vishing e phishing?

O phishing é um tipo amplo de ataque de engenharia social no qual os atacantes se fazem passar por fontes confiáveis para enganar as vítimas e levá-las a revelar informações ou a tomar ações inseguras.

O phishing tradicional geralmente utiliza e-mails.

O vishing utiliza comunicações de voz, como chamadas telefônicas ou mensagens de voz, para realizar o ataque.

Ambos os ataques se baseiam em engano, mas o canal de comunicação é diferente. Um e-mail de phishing pode direcionar alguém para uma página de login fraudulenta, enquanto um atacante de vishing pode tentar convencer a vítima a fornecer as mesmas credenciais por telefone.

Qual a diferença entre vishing e smishing?

Vishing e smishing são ambas formas de phishing que utilizam canais de comunicação diferentes.

• O vishing utiliza chamadas ou mensagens de voz.
• O smishing utiliza SMS ou mensagens de texto.

Os atacantes também podem combinar essas técnicas. Por exemplo, uma vítima pode receber uma mensagem de texto fraudulenta instruindo-a a ligar para um determinado número de telefone. O atacante pode então continuar o ataque de engenharia social por telefone.

Por que os ataques de vishing são eficazes?

Os ataques de vishing exploram o comportamento humano.

As pessoas podem ser mais propensas a confiar em alguém que fala diretamente com elas, especialmente quando a pessoa que liga parece ter conhecimento ou afirma representar uma organização confiável.

Os atacantes costumam criar uma sensação de urgência alegando que:

• Uma conta foi comprometida.
• O pagamento precisa de aprovação imediata.
• A senha está prestes a expirar.
• Foi detectada atividade suspeita.
• O acesso do funcionário será desativado.
• Uma transação financeira precisa ser verificada.
• Um executivo sênior precisa de assistência imediata.

A pressão pode desencorajar as vítimas de dedicarem tempo para verificar o pedido de forma independente.

Que tipo de informação os atacantes de vishing visam?

Os atacantes de vishing podem tentar obter informações que os ajudem a cometer fraudes ou a obter acesso a sistemas.

Isso pode incluir:

• Nomes de usuário e senhas
• códigos de autenticação multifator
• Informações financeiras
• Números de cartão de crédito ou débito
• Informações da conta bancária
• Números de Segurança Social ou outras informações pessoais
• Informações sobre funcionários
• Perguntas e respostas de segurança
• Informações internas da empresa
• Informações sobre aplicativos ou sistemas de segurança

Mesmo informações que parecem relativamente inofensivas podem ajudar um atacante a tornar ataques futuros mais convincentes.

O que é IA Vishing?

O vishing com IA utiliza inteligência artificial para tornar os ataques de engenharia social baseados em voz mais convincentes, personalizados e escaláveis.

A IA generativa e a tecnologia de clonagem de voz podem criar áudio realista que se assemelha à voz de uma pessoa real. Os atacantes podem usar essas funcionalidades para se passar por executivos, colegas de trabalho, familiares ou outras pessoas de confiança e convencer as vítimas a compartilhar informações confidenciais ou conceder acesso a elas.

À medida que os modelos de IA de ponta se tornam mais capazes, os atacantes também podem ser capazes de automatizar partes mais sofisticadas de uma campanha de vishing. Essa evolução torna cada vez mais difícil confiar em uma voz familiar ou em uma conversa convincente como prova de identidade. Os usuários devem verificar de forma independente solicitações incomuns que envolvam credenciais, dinheiro, informações confidenciais ou acesso ao sistema por meio de um canal de comunicação confiável.

‍

O que é falsificação de identificação de chamadas?

A falsificação de identificação de chamadas ocorre quando um invasor manipula as informações exibidas no telefone do destinatário para que a chamada pareça vir de outro número ou organização.

Por exemplo, uma chamada fraudulenta pode parecer vir de um banco, agência governamental, número de telefone local ou até mesmo da central de atendimento interna de uma organização.

Como as informações de identificação de chamadas podem ser manipuladas, os usuários não devem presumir que uma chamada é legítima simplesmente porque o número de telefone exibido parece familiar.

Quais são os sinais de alerta de um ataque de vishing?

Possíveis sinais de alerta de vishing incluem:

• Solicitações inesperadas de senhas ou códigos de autenticação.
• Pressão para agir imediatamente
• Ameaças de encerramento de conta, perda financeira ou outras consequências.
• Solicitações para transferir dinheiro ou comprar cartões-presente.
• Solicitações para instalar software ou fornecer acesso remoto.
• Pessoas que ligam solicitando informações pessoais ou comerciais confidenciais.
• Solicitações inesperadas de aprovação de MFA
• Uma pessoa que liga tentando desencorajar você a entrar em contato com a organização por conta própria.
• Solicitações que ignoram os procedimentos normais da empresa.

Qualquer solicitação inesperada envolvendo informações confidenciais, dinheiro, credenciais ou acesso ao sistema deve ser verificada de forma independente.

Como prevenir ataques de vishing?

As organizações podem reduzir o risco de vishing por meio de uma combinação de educação dos funcionários, controles de identidade, procedimentos de verificação, monitoramento e medidas técnicas de segurança.

Os funcionários devem ser treinados para:

• Evite compartilhar senhas ou códigos de autenticação por telefone.
• Verifique solicitações inesperadas por meio de canais confiáveis.
• Tenha cuidado com linguagem urgente ou ameaçadora.
• Nunca aprove solicitações de MFA inesperadas.
• Siga os procedimentos estabelecidos para transações financeiras.
• Denuncie chamadas suspeitas às equipes de segurança.
• Evite instalar software a pedido de um chamador não verificado.

As organizações também devem estabelecer processos claros para verificar solicitações confidenciais, para que os funcionários saibam como as comunicações legítimas de TI, financeiras e executivas devem ocorrer.

O que você deve fazer se receber uma chamada de vishing?

Se suspeitar de uma tentativa de vishing, evite fornecer informações ou realizar a ação solicitada pelo golpista.

Encerre a chamada e entre em contato com a organização ou pessoa de forma independente, utilizando um número de telefone ou canal de comunicação conhecido e confiável.

Se a chamada envolver uma conta ou dispositivo corporativo, reporte o incidente à equipe de segurança ou de TI da sua organização.

Caso as credenciais ou informações de autenticação já tenham sido fornecidas, as senhas afetadas devem ser alteradas e a equipe de segurança deve investigar se o invasor obteve acesso à conta ou a outros sistemas.

O vishing pode levar a uma violação de dados?

Sim. Um ataque de vishing bem-sucedido pode fornecer ao atacante credenciais ou acesso que podem se tornar o ponto de entrada inicial para um ataque cibernético maior.

Uma vez dentro de um ambiente, os atacantes podem tentar escalar privilégios, acessar dados confidenciais, comprometer contas adicionais ou se mover lateralmente entre sistemas.

Por isso, prevenir o ataque inicial de engenharia social é importante, mas as organizações também precisam de controles que limitem o que um invasor pode fazer se um usuário for comprometido com sucesso.

Vishing e Movimento lateral

Um ataque de vishing bem-sucedido não representa necessariamente o fim de um ataque. Pode ser o começo.

Se um invasor roubar credenciais válidas ou convencer um funcionário a conceder acesso, ele poderá se passar por um usuário legítimo. Eles podem então tentar descobrir sistemas adicionais, acessar aplicativos, elevar privilégios e se mover lateralmente em direção a dados sensíveis ou recursos críticos.

Limitar a comunicação desnecessária entre sistemas pode reduzir os caminhos disponíveis para um atacante após a invasão inicial.

Como as organizações podem detectar atividades suspeitas após um ataque de vishing?

As equipes de segurança devem olhar além da chamada fraudulenta inicial e monitorar o que acontece se as credenciais, os endpoints ou as contas forem comprometidos.

Comunicação inesperada entre cargas de trabalho, conexões de rede incomuns, acesso a sistemas que normalmente não se comunicam e outras mudanças de comportamento podem indicar que um invasor está tentando expandir seu acesso.

A visibilidade da rede e a inteligência de segurança contextual podem ajudar as equipes a investigar atividades suspeitas e a entender para onde um invasor pode estar tentando se mover em seguida.

Detecte ameaças antes que elas se espalhem com o Illumio Insights.

Nem sempre é possível impedir que alguém atenda a uma chamada de vishing convincente. Mas você pode limitar o que acontece a seguir.

O Illumio Insights oferece às equipes de segurança visibilidade da comunicação em seus ambientes e ajuda a identificar conexões suspeitas, caminhos de risco e possível movimento lateral após uma invasão inicial.

Turn network activity into actionable intelligence and uncover threats before they become widespread breaches.

Explore Illumio Insights →

Perguntas frequentes

O que significa vishing?

Vishing significa phishing por voz. Trata-se de uma técnica de engenharia social que utiliza chamadas telefônicas ou outras formas de comunicação por voz para enganar as vítimas e levá-las a fornecer informações confidenciais ou a tomar uma atitude perigosa.

O vishing é um ciberataque?

Sim. Vishing é um tipo de ataque cibernético de engenharia social. Tem como alvo as pessoas, em vez de depender exclusivamente de vulnerabilidades técnicas.

Qual é um exemplo de vishing?

Um atacante pode ligar para um funcionário fingindo ser do suporte de TI e alegar que há um problema com a conta dele. O atacante poderia então solicitar a senha do funcionário, o código MFA ou a aprovação de uma solicitação de autenticação.

Qual a diferença entre phishing e vishing?

O phishing geralmente utiliza e-mails ou sites fraudulentos para enganar as vítimas. O vishing utiliza comunicações de voz, como chamadas telefônicas. Ambas são formas de engenharia social.

A IA pode ser usada para vishing?

Sim. Os atacantes podem usar vozes geradas por IA ou clonadas para se passar por pessoas de confiança e tornar as chamadas fraudulentas mais convincentes.

Como as organizações podem se proteger contra o vishing?

As organizações podem combinar treinamento de conscientização em segurança, autenticação forte, procedimentos de verificação, monitoramento, visibilidade da rede e segmentação. Essas medidas podem ajudar a prevenir ataques bem-sucedidos e limitar seu impacto caso as credenciais ou os sistemas sejam comprometidos.

Por que o vishing é perigoso para as empresas?

Um ataque de vishing bem-sucedido pode expor credenciais, informações financeiras, dados sensíveis ou sistemas internos. Se os invasores obtiverem acesso ao ambiente de uma organização, poderão usar essa posição inicial para escalar privilégios e se movimentar lateralmente para outros recursos.