„Гласови измами“ (Vishing): Най-слабото звено в киберсигурността остава човекът
Докато фирмите инвестират в криптиране, мрежова защита и многофакторна автентикация, киберпрестъпниците насочват вниманието си към най-уязвимия елемент – човешката психология.
През последните седмици гласовите измами (от англ. vishing – „voice phishing“) рязко зачестиха и демонстрираха колко лесно може да се пробие дори най-сигурната система чрез един добре планиран телефонен разговор.
Актуален пример: Как само едно обаждане проби защитите на Qantas
През юли 2025 г. австралийската авиокомпания Qantas стана жертва на тежка кибератака, след като служител бе подведен от телефонно обаждане, представящо се за вътрешна ИТ поддръжка. Това позволи на хакерите от групата Scattered Spider да получат достъп до системи, защитени с многофакторна автентикация.
➡️ В резултат: компрометирани данни на милиони клиенти и значителни репутационни щети.
➡️ Заключение: не е необходима брилянтна хакерска атака, когато хората вярват на гласа от слушалката.
Какво представляват „гласовите измами“ (vishing)?
Vishing е съкращение от voice phishing – форма на социално инженерство, при която измамници използват телефонни разговори, за да убедят жертвата да разкрие поверителна информация или да изпълни определени действия (например да даде парола или да инсталира зловреден софтуер).
Често срещани тактики:
-
Представяне за служители на ИТ отдела, банки или държавни институции
-
Спешни сценарии („Вашият акаунт е компрометиран!“)
-
Имитация на ръководители („Шефът поиска от мен да те инструктирам…“)
Психологията зад успешния vishing
Гласовите атаки използват комбинация от психологически механизми:
-
Авторитет – измамникът се представя като лице с власт
-
Спешност – „Трябва да реагираме незабавно!“
-
Страх – „Ще блокираме достъпа ви, ако не потвърдите“
-
Социален натиск – „Всички други вече потвърдиха, само вие оставате“
Тези механизми често заобикалят логичното мислене и активират автоматични реакции, особено при натоварени служители.
Какво казват проучванията?
Изследване на MITRE ATT&CK и Stanford показва, че:
- Над 70% от успешните кибератаки започват със социално инженерство
- При симулирани vishing атаки, до 35% от служителите споделят чувствителна информация
- Повечето служители надценяват способността си да различават реален от фалшив обаждащ се
Защита срещу vishing: не само технологии, а и култура
1. Обучения с психологически елементи
-
Симулации на реални сценарии
-
Ролеви игри с фалшиви обаждания
-
Обяснение на когнитивни пристрастия (напр. автоматично доверие към авторитет)
2. Политика за потвърждение на обаждания
-
Никога не предоставяйте пароли или достъп само по телефон
-
Валидиране чрез втори канал (напр. вътрешна чат система или имейл)
3. Поведенчески напомняния
-
„Спрете и помислете“ подсказки при вход в системи
-
Редовни кампании със съвети и кратки тестове
4. AI мониторинг и анализ на глас
-
Някои организации вече внедряват автоматични системи за разпознаване на гласови модели и поведение при обаждания
Новата реалност: AI + социално инженерство
Комбинацията от изкуствен интелект и гласови атаки прави измамниците по-убедителни от всякога. Съществуват вече достъпни AI инструменти за клониране на гласове, което усложнява допълнително проверката на идентичността.
Решението?
Многостепенна сигурност с фокус върху човека – не само като рисков фактор, но и като най-важната защитна стена.
Заключение
Vishing – или гласовите измами – са най-слабата брънка в киберсигурността, защото таргетират най-силната човешка черта: доверието.
Но с правилни обучения, ясни правила и осъзнатост, тази уязвимост може да се превърне в предимство.
Време е да обучим не само системите си, но и хората зад тях.
Ако искате да повишите своята защита срещу социално инженерство и да изградите практически умения за справяне с реални киберзаплахи, разгледайте нашите онлайн обучения по информационна сигурност на store.nit.bg. Курсовете са създадени от експерти и включват реални примери, симулации и актуални техники за защита – подходящи както за ИТ специалисти, така и за служители без технически опит.
