Vishing
El vishing es ingeniería social hecha por llamada de voz: el atacante telefonea a un objetivo y usa un pretexto para conseguir credenciales, un código de un solo uso o una acción como el restablecimiento de una cuenta. Es el canal donde la voz sintética ha cambiado las cuentas, porque una suplantación convincente ya no necesita a alguien con talento al teléfono.
El objetivo de más valor rara vez es el empleado individual. Es el servicio de soporte, porque el servicio de soporte existe para ayudar a quien se ha quedado fuera y se mide por lo rápido que lo hace. Quien llame y sepa dar los datos que pide la verificación de identidad, que muchas veces son los datos publicados en una red profesional, puede conseguir un cambio de contraseña o volver a dar de alta un segundo factor. Esto último es como se derrota un despliegue de autenticación multifactor sin tocar un solo control técnico.
La clonación de voz ha quitado los problemas de acento y de aplomo que antes limitaban esto, y se combina con la presión: una llamada que dice venir de alguien de la dirección, en un momento en el que comprobarlo resulta incómodo, pidiendo algo que quien la recibe tiene autoridad para hacer.
El control que funciona es de procedimiento y no técnico. La verificación de identidad para acciones privilegiadas tiene que usar algo que quien llama no pueda consultar, el restablecimiento de un factor de autenticación tiene que ser una devolución de llamada a un número conocido o un paso en persona, y el personal necesita permiso explícito para cortar una llamada y verificar. Cuando probamos este canal, ese permiso es lo que estamos midiendo, y el informe nombra el proceso y no a la persona que respondió. Forma parte de las pruebas de ingeniería social y de las pruebas de ingeniería social que incluyen el teléfono como canal.