Vishing (telefonsvindel)

Vishing udnytter, at nummervisning blev designet som en bekvemmelighed og ikke som godkendelse. På SIP-baseret VoIP er det kaldende nummer blot et felt, som det afsendende system udfylder, og det krydser operatørgrænser stort set uverificeret, så den, der ringer, kan vise nummeret for en bank, en politistation eller målets egen IT-afdeling. Det amerikanske svar er STIR/SHAKEN, bygget på RFC 8224 (godkendt identitet i SIP), RFC 8225 (PASSporT-tokens) og RFC 8226 (certifikater for telefonnumre): Den afsendende operatør signerer opkaldet med et attesteringsniveau A (fuld), B (delvis) eller C (gateway), og den modtagende operatør verificerer det. FCC krævede, at store amerikanske operatører indførte det på IP-net senest 30. juni 2021. Det beskytter ikke opkald, der går via ældre TDM-forbindelser eller stammer fra udlandet, og det beviser kun, hvilken operatør der har stået inde for nummeret, ikke hvem der taler.

Tre angrebsmønstre dominerer mod organisationer. Det første er omgåelse af MFA: Den, der ringer, udgiver sig for at være IT-support eller bankens svindelafdeling og får offeret til at læse en engangskode op eller godkende en push-anmodning, mens angriberen logger ind, nogle gange efter at have bombarderet offeret med anmodninger (MFA-træthed); nummermatchning i godkendelsesapps, som Microsoft Authenticator har håndhævet siden 2023, svækker angrebet, men fjerner det ikke. Det andet er angreb på servicedesken, der går den modsatte vej: Angriberen ringer til organisationens egen servicedesk som en medarbejder og beder om nulstilling af adgangskode eller ny MFA-registrering, hvilket var den rapporterede indgang i kompromitteringen af MGM Resorts i 2023, der tilskrives Scattered Spider. Det tredje er callback-phishing (telephone-oriented attack delivery), kendt fra BazarCall-kampagnerne i 2021, hvor en mail om et falsk abonnementstræk ikke indeholder noget link, kun et telefonnummer; callcentret snakker derefter offeret til at installere fjernadgangssoftware.

Stemmekloning lægger identitetsforfalskning oven på nummerforfalskning. Korte klip af offentlig lyd er nok til, at nutidens modeller kan lave en overbevisende efterligning, og sagerne spænder fra den meget omtalte svindel i 2019 mod et britisk energiselskab med en klonet direktørstemme til sagen fra 2024, hvor en medarbejder hos Arup i Hongkong overførte omkring 200 mio. HK$ efter et videomøde, hvor alle de andre deltagere var deepfakes.

Fordi kanalen i sig selv ikke kan stoles på, er forsvaret procesmæssigt: Handl aldrig på et indgående opkalds påstand om identitet, læg på og ring tilbage på et nummer fra telefonbogen eller bagsiden af kortet, læs aldrig koder op, og giv servicedesken verifikationsmetoder, som en velforberedt opringer ikke kan klare, fx bekræftelse fra lederen via en separat kanal eller identitetskontrol ved fremmøde eller på video mod et ID-dokument. Phishing-resistent MFA fjerner de koder, der er værd at stjæle. Vishing adskiller sig fra smishing ved sit levende, tilpasningsdygtige pres, og det er en af de mest almindelige kanaler til pretexting.