Vishing is een speciale vorm van phishing. Ook hier is het doel om mensen gevoelige of vertrouwelijke informatie te laten verstrekken. In tegenstelling tot de “conventionele” phishing-aanval, waarbij slachtoffers via e-mail worden benaderd, wordt contact via de telefoon gedaan. Vandaar de naam “vishing”. Hier worden de Engelse termen voor spraak en phishing gecombineerd.
Net als andere phishingmethoden is vishing ook een vorm van sociale engineering. Ook hier worden de emoties van de doelpersoon aangespeeld – zowel positief als negatief. Emoties zoals angst, twijfel, nieuwsgierigheid en schaamte worden specifiek aangepakt om mensen te laten handelen in het belang van de aanvallers.
Het directe contact dat voortkomt uit het telefoongesprek kan de gevoelens van de eerder genoemde betrokkenen versterken. Bij directe confrontatie zijn mensen nog minder zelfverzekerd in het tegenspreken van de ander of het niet voldoen aan verzoeken. Ze vertrouwen ook minder snel op hun eigen onderbuikgevoel, waardoor acties overhaast worden uitgevoerd.
Een andere reden waarom vishingen erg lucratief kan zijn voor cybercriminelen, is dat een menselijke stem waarschijnlijker geloofd wordt dan een digitale e-mail van een onbekende afzender. Het besef dat werknemers ook telefonisch kunnen worden misleid, is in sommige gevallen nog niet wijdverspreid.
Vishing-aanvallen kunnen elk bedrijf treffen. Hoewel ze niet verspreid worden op een spreidende manier – in tegenstelling tot conventionele phishingaanvallen – en daarom niet op grote schaal worden uitgevoerd, wenden dreigingsactoren zich steeds vaker tot de telefoon om hun potentiële slachtoffers direct te bereiken. De volgende motieven staan voorop.
Jij of een van je medewerkers wordt door cybercriminelen opgeroepen – vaak onder een zeer triviaal voorwendsel. Zo kan de aanvaller zich voordoen als medewerker van een bekende organisatie (bijvoorbeeld een bank), namens een leverancier bellen of iets aan jouw bedrijf willen verkopen. De vragen worden zo slim in het gesprek geplaatst dat de gesprekspartner zonder aarzeling of argwaan informatie verstrekt. De antwoorden kunnen vervolgens door de aanvaller worden gebruikt om spear phishing-aanvallen of CEO-fraude uit te voeren.
Vishing is ook wanneer werknemers een neptelefoonnummer bellen en onopvallend contact opnemen met cybercriminelen. Stel je voor dat je een computerprobleem hebt en op zoek bent naar een dienstverlener die je kan helpen met het probleem. Je komt op een homepage terecht en belt het daar opgegeven nummer. Helaas is het niet de gehoopte ondersteuning die het andere uiteinde van de dienst beantwoordt, maar een dader. Hier worden oplossingen aangeboden tegen betaling. Je moet er mogelijk zelf voor betalen. Je krijgt echter niet de dienst die je daarna
hoopte.Het volgende voorbeeld is heel direct. De aanvaller neemt telefonisch contact met jou of een van je medewerkers op en vraagt hen om specifieke acties te ondernemen. Zo kan hij of zij eisen dat bepaalde informatie wordt doorgegeven, bijvoorbeeld de inloggegevens van een online dienst. Of er kan een specifieke activiteit worden gevraagd, zoals het overmaken van een geldbedrag en het betalen van een zogenaamd openstaande rekening. Als de persoon aarzelt, wordt er druk uitgeoefend of worden ze verleid met positieve aanbiedingen (speciale prijzen, betere voorwaarden).
Tegenwoordig is het moeilijk om phishingaanvallen te detecteren. Cybercriminelen ontwikkelen zich ook en worden steeds professioneler in hun aanvallen. Dit geldt ook voor vishing-aanvallen. Om vishing-aanvallen te detecteren, moeten medewerkers waakzaam zijn. Voor nieuwe contacten met wie je nog geen contact hebt gehad, is het raadzaam om een korte internetzoekopdracht te doen om de details te bevestigen. Bestaat het genoemde bedrijf? Bestaat het opgegeven adres? Kun je de persoon vinden die contact met je heeft opgenomen? Als je gesprekspartner het over collega’s van je heeft, vraag dan kort aan de persoon of de situatie of uitwisseling daadwerkelijk heeft plaatsgevonden. Er moet ook een zekere basisscepsis heersen tijdens het gesprek. Beantwoord geen vragen die voor jou te vertrouwelijk of gedetailleerd lijken. Geen enkel betrouwbaar bedrijf zal je om wachtwoorden, TAN-nummers, personeelsnummers, enzovoort vragen.
Om vishing-aanvallen te bestrijden en op de lange termijn te voorkomen, is het raadzaam om medewerkers bewust te maken. Door intensieve training kunt u uw medewerkers bewust maken van de gevaren en hen bewust maken van de aanvalsmethoden. Dit kan via trainingsvideo’s of via een workshop waarin vishing-oproepen worden geïllustreerd en medewerkers kunnen trainen in het omgaan met dit type aanval.