Cyberpediaod Brain
PLDEENESFRITNLPT

Vishing, oszustwo przez telefon

Fałszywy pracownik wsparcia IT lub bankier dzwoni do Pana/Pani, a na ekranie widnieje znajomy numer: jak rozpoznać vishing i jak reagować.

W 30 sekund

Gdzie to się zdarza
Przez telefon, czasem równocześnie z SMS-em, zarówno wśród pracowników, jak i w pomocy technicznej IT4.
Czego chce atakujący
Hasła, kodu uwierzytelniającego albo zainstalowania narzędzia, które da mu kontrolę nad komputerem34.
Odruch
Sprawdzić tożsamość dzwoniącego w organizacji, którą rzekomo reprezentuje1.
Jeśli już do tego doszło
Natychmiast powiadomić osoby odpowiedzialne w organizacji, w tym administratorów sieci, i zmienić ujawnione hasła1.

O co chodzi

Vishing (voice phishing) to phishing prowadzony głosem. Atakujący dzwoni, podając się za osobę godną zaufania, aby uzyskać od ofiary informację lub skłonić ją do określonego działania. CISA opisuje go jako podejście z zakresu socjotechniki, które opiera się na komunikacji głosowej1.

Dla pracownika typowy scenariusz to telefon od osoby, która podaje się za prawdziwego pracownika działu IT3.

Pytania wprost

Czy numer wyświetlony na ekranie dowodzi, kto dzwoni?

Nie. Oszuści mogą sfałszować swój numer, podszywając się pod zaufany podmiot, na przykład partnera biznesowego lub wsparcie techniczne2. CISA wyjaśnia, że telefonia internetowa (VoIP) pozwala łatwo sfałszować tożsamość dzwoniącego i że wykorzystuje to nieuzasadnione zaufanie do bezpieczeństwa usług telefonicznych1.

Pod kogo podszywa się atakujący?

Cytowane tu źródła wymieniają partnera biznesowego, członka wsparcia technicznego2, prawdziwego pracownika działu IT3 oraz, w niektórych przypadkach, pracownika, który dzwoni do pomocy technicznej zamiast prawdziwego właściciela konta4. Microsoft opisuje też atakujących, którzy podają się za nowo zatrudnionych pracowników6.

Co chce uzyskać?

Według MITRE może nakłonić ofiarę do otwarcia złośliwego adresu, pobrania złośliwego oprogramowania lub zainstalowania narzędzi do zdalnego zarządzania, z których potem skorzysta atakujący3. Może też próbować zdobyć dane uwierzytelniające do uwierzytelniania wieloskładnikowego albo doprowadzić do zatwierdzenia żądań uwierzytelnienia3. Jedna z grup opisanych przez CISA przekonała pracowników, by przekazali jej swoje hasło jednorazowe (OTP), czyli kod uwierzytelniający4.

Czy należy zachować ostrożność wobec telefonów po otrzymaniu wiadomości?

Tak. Wiadomość phishingowa może prosić o oddzwonienie pod wskazany numer: MITRE używa określenia „callback phishing” i podaje, że atakujący próbuje wówczas zebrać poufne informacje2.

Co zrobić w razie podejrzanego telefonu?

CISA radzi zachować ostrożność wobec niezamówionych telefonów od osób, które pytają o pracowników lub o informacje wewnętrzne, oraz sprawdzić tożsamość dzwoniącego bezpośrednio w organizacji, którą rzekomo reprezentuje1. Dodaje, by nie podawać informacji osobistych ani dotyczących organizacji, chyba że ma się pewność, że dana osoba ma prawo je uzyskać1.

1W skórze atakującego1 min

Zaczyna od zdobycia informacji. W komunikacie CISA o grupie Scattered Spider atakujący szuka najpierw na portalach zawodowych roli, jaką wybrana osoba pełni w firmie4. Następnie zbiera nazwy użytkowników, hasła i dane osobowe4. Jego telefony, często kilka pod rząd, służą najpierw do poznania procedury resetowania hasła, a potem do zebrania informacji dotyczących konkretnego pracownika4. Te rozmowy opierają się na danych osobowych pochodzących z mediów społecznościowych, ze źródeł otwartych, z komercyjnych narzędzi wywiadowczych i z wycieków baz danych4.

Microsoft opisuje tę samą metodę: napastnik bada organizację, naśladuje ton i słownictwo osoby, pod którą się podszywa, i zna wystarczająco dużo danych osobowych, by przekonać administratora do zresetowania hasła lub metody uwierzytelniania6. Ten napastnik zwykle obiera za cel administratorów technicznych, takich jak pracownicy wsparcia i help desku6.

Atakujący nie musi sam dzwonić. Według MITRE telefony mogą wykonywać sam atakujący, call center wynajęte na tę okazję albo zautomatyzowane nagrania2. W rzadkich przypadkach Microsoft widział, jak atakujący uciekali się do zastraszania, podając adres domowy, imiona bliskich i grożąc przemocą fizyczną6.

2Co widać na ekranie1 min

Widzi Pan/Pani numer, który wydaje się znajomy, albo nazwę, która wydaje się znajoma. Pośpiech lub alarm należą do scenariusza: MITRE zauważa, że atakujący przedstawia się jako zaufane źródło i wywołuje poczucie pilności3.

Dalszy ciąg bywa różny. Rozmówca może poprosić o jednorazowy kod uwierzytelniający (OTP)4. Może też poprosić o zatwierdzenie powiadomienia uwierzytelniającego na telefonie: CISA opisuje powiadomienia wysyłane wielokrotnie, aż pracownik naciśnie „Akceptuj” (zmęczenie MFA)4. Innym razem prowadzi do fałszywego portalu logowania albo prosi o uruchomienie narzędzia do zdalnego przejęcia kontroli54. SMS może zawierać odnośnik do fałszywego portalu, który imituje uwierzytelnianie w firmie6.

3Pod maskąZespoły IT1 min

Narzędzia do zdalnego przejęcia kontroli to legalne oprogramowanie. Microsoft zauważa, że narzędzia do zdalnej administracji, wykorzystane niezgodnie z przeznaczeniem przez opisywanego napastnika, mają normalne zastosowania i że ich użycie trzeba monitorować w środowisku6. MITRE podaje przykłady, takie jak AnyDesk8. MITRE wyjaśnia, że takie narzędzia można zainstalować, a po przejęciu systemu użyć do nawiązania interaktywnej sesji zdalnego pulpitu8.

Inny mechanizm to przejęcie samego numeru. CISA podaje, że Scattered Spider przekonał operatorów telefonii do przeniesienia numeru użytkownika na kartę SIM będącą w jego posiadaniu (SIM swap), co daje kontrolę nad telefonem i żądaniami uwierzytelnienia4. Microsoft opisuje też ustawienie przekierowania połączeń na numer pracownika, po którym następuje samodzielny reset hasła6.

Po stronie obrony MITRE proponuje monitorowanie wykazów połączeń urządzeń służbowych i zestawianie ich ze zdarzeniami następującymi po rozmowie, takimi jak instalacja narzędzia do zdalnego zarządzania3. CISA zaleca uwierzytelnianie wieloskładnikowe odporne na phishing we wszystkich usługach, w miarę możliwości, oraz dalsze szkolenia dotyczące vishingu4.

4Analizy incydentówPrawdziwe przypadki1 min

Scattered Spider, od czerwca do grudnia 2022 roku

MITRE wiąże z kampanią C0027, trwającą od czerwca do grudnia 2022 roku, telefony i SMS-y, w których atakujący podawał się za pracownika działu IT5. Ofiary kierowano na stronę wyłudzającą dane logowania albo nakłaniano do uruchomienia komercyjnych narzędzi do zdalnego zarządzania5. Po wejściu do środka grupa przeszukiwała zasoby dokumentacji ofiar w poszukiwaniu instrukcji wsparcia oraz przewodników rejestracji w VPN i w uwierzytelnianiu wieloskładnikowym5.

Octo Tempest, 2022 i 2023 rok

Microsoft opisuje we wpisie z 25 października 2023 roku grupę zaobserwowaną na początku 2022 roku, która celowała najpierw w operatorów telefonii komórkowej i firmy outsourcingowe, aby wywołać przeniesienia numerów6. W 2022 roku odsprzedawała SIM swapy innym przestępcom i przejmowała konta zamożnych osób, by kraść ich kryptowaluty6. Microsoft zauważa, że dzwoniła też do pomocy technicznej organizacji, by uzyskać reset hasła lub dodanie czynnika uwierzytelniania6.

Aktualizacja komunikatu CISA, lipiec 2025 roku

Komunikat AA23-320A, opublikowany 16 listopada 2023 roku, został zaktualizowany 29 lipca 2025 roku o bardziej rozbudowane techniki socjotechniczne4. Jedna z nich polega na podszyciu się pod pracownika, by uzyskać od wsparcia informacje wrażliwe, reset hasła i przeniesienie uwierzytelniania wieloskładnikowego na urządzenie kontrolowane przez atakującego4.

5Co Pan/Pani robi1 min

Proszę sprawdzić tożsamość dzwoniącego bezpośrednio w organizacji, którą rzekomo reprezentuje1. W przypadku prośby otrzymanej e-mailem CISA zaleca, by nie korzystać z danych kontaktowych ze strony powiązanej z prośbą, lecz poszukać ich we wcześniejszej korespondencji1. NCSC radzi potwierdzić ważną prośbę otrzymaną e-mailem drugim kanałem komunikacji, na przykład telefonem lub osobiście7.

CISA opisuje grupę, która uzyskała od pracowników hasła jednorazowe4. Jeśli już doszło do ujawnienia, proszę bez zwłoki zgłosić to osobom odpowiedzialnym w organizacji: będą mogły monitorować nietypową aktywność1.

Karta

Identyfikator
CP-008
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Rozpoznawanie phishingu (detect_phishing)
Odruch Brain
cr-019
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
  1. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/004/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (dostęp 3 listopada 2026)
  4. CISA, „Scattered Spider | CISA”, 16 listopada 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (dostęp 3 listopada 2026)
  6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog”, 25 października 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (dostęp 3 listopada 2026)
  7. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1219/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Vishing, oszustwo przez telefon”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie/

BibTeX 
@misc{brain_cp008_pl_2026,
  author = {Brain},
  title = {Vishing, oszustwo przez telefon},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0