Vishing: o que é e como funcionam os golpes por voz

Você já recebeu uma ligação de alguém dizendo que era do seu banco, da sua operadora de telefone ou de outra empresa conhecida, mas depois descobriu que a chamada era falsa?

Essa ligação pode ser um exemplo de vishing, uma forma de phishing que utiliza a voz para enganar a vítima e induzi-la a fornecer informações ou realizar alguma ação.

No ambiente corporativo, esse tipo de golpe também pode envolver falsos profissionais de TI, fornecedores, executivos ou outros contatos conhecidos.

Neste artigo, vamos explicar como o vishing funciona, quais técnicas são utilizadas nesses ataques, os principais sinais de alerta e como empresas podem preparar seus usuários para identificar golpes por voz.

O que é vishing

O termo vishing combina as palavras voice e phishing. Ele é utilizado para descrever ataques de engenharia social realizados por meio da voz.

Segundo o FBI, o vishing pode acontecer por telefone, mensagens de voz ou chamadas realizadas por VoIP, tecnologia que permite fazer ligações pela internet.

O objetivo varia de acordo com o ataque. O criminoso pode tentar obter informações confidenciais, códigos de autenticação, credenciais, dados bancários ou convencer a vítima a realizar uma transferência, instalar um programa ou liberar algum tipo de acesso.

Assim como em outras formas de phishing, o golpe normalmente tenta reproduzir uma situação plausível.

A diferença é que, no vishing, a vítima precisa tomar decisões durante uma conversa, muitas vezes sem tempo para verificar as informações apresentadas.

Proteja o e-mail corporativo com a HSC Labs

Como funciona um ataque de vishing

Um golpe de vishing pode assumir diferentes formatos, mas geralmente combina informações sobre a vítima, uma identidade convincente e algum motivo para que a solicitação pareça urgente.

O criminoso assume uma identidade

Para iniciar o golpe, o criminoso define por quem quer se passar.

Pode ser um funcionário do banco, alguém da equipe de TI, um fornecedor, um executivo da empresa, uma autoridade ou até uma pessoa conhecida pela vítima.

Quanto mais familiar for a identidade utilizada, maior pode ser a chance de a abordagem gerar confiança.

Informações públicas disponíveis em sites corporativos, redes sociais e outras fontes também podem ajudar a personalizar a conversa.

A vítima recebe a ligação ou mensagem de voz

O contato pode acontecer diretamente por telefone, por chamada em um aplicativo ou até por uma mensagem de áudio.

Em alguns casos, o número exibido parece legítimo. Em outros, o criminoso utiliza informações corretas sobre a vítima, a empresa ou uma situação recente para tornar a abordagem mais plausível.

Conhecer o nome, cargo ou empresa da vítima, porém, não significa que quem está ligando seja realmente quem afirma ser.

É comum que os criminosos obtenham ou comprem informações pessoais justamente para tornar esse tipo de história mais convincente.

A conversa cria urgência ou autoridade

Depois de estabelecer contato, o golpista tenta conduzir a vítima para uma ação.

Um suposto funcionário do banco pode informar que existe uma movimentação suspeita. Um falso profissional de TI pode dizer que precisa resolver um problema na conta. Já alguém se passando por um executivo pode solicitar uma transferência urgente.

O cenário muda, mas a lógica é semelhante: criar uma razão para que a pessoa aja rapidamente, sem seguir os procedimentos habituais de verificação.

O criminoso solicita uma ação

O vishing nem sempre termina com a vítima fornecendo uma senha.

O objetivo pode ser fazer com que ela:

informe um código de autenticação;
forneça dados pessoais ou corporativos;
realize uma transferência;
instale um aplicativo;
conceda acesso remoto ao dispositivo;
clique em um link enviado por outro canal;
altere dados bancários;
aprove uma operação;
transfira a conversa para outro aplicativo.

Por isso, a análise precisa considerar tanto o conteúdo da ligação quanto a ação solicitada.

Qual é a diferença entre vishing, phishing, smishing e quishing?

Todos esses ataques utilizam princípios de engenharia social, mas o canal ou mecanismo empregado muda.

Phishing é o termo mais amplo e costuma ser associado principalmente a mensagens de e-mail e páginas falsas.

No smishing, a abordagem acontece por mensagens de texto, como SMS.

Já o vishing utiliza chamadas ou mensagens de voz para estabelecer contato com a vítima.

No quishing, por sua vez, QR Codes são utilizados para direcionar o usuário a páginas ou outros conteúdos maliciosos.

Na prática, essas técnicas também podem aparecer combinadas. Uma ligação pode, por exemplo, ser seguida pelo envio de um link por mensagem. Da mesma forma, um e-mail pode preparar o usuário para uma chamada posterior.

Por que o vishing pode ser tão convincente

Uma ligação cria uma dinâmica diferente da encontrada em um e-mail.

Ao ler uma mensagem, o usuário pode interromper a interação, verificar o endereço do remetente, pesquisar informações ou consultar outra pessoa antes de responder.

Durante uma chamada, essa pausa pode ser menor.

O criminoso consegue adaptar a conversa às respostas da vítima, criar novos argumentos e reforçar a sensação de urgência.

Além disso, características da própria voz, como tom, segurança e vocabulário, podem ajudar a transmitir autoridade.

Esses elementos fazem parte da engenharia social, que explora contexto, confiança, autoridade e outras características humanas para influenciar decisões.

Por isso, identificar vishing não depende apenas de perceber uma voz estranha ou uma história muito improvável. Golpes mais elaborados podem utilizar informações reais e argumentos compatíveis com a rotina da vítima.

O número exibido na ligação também pode ser falsificado

Outro fator que pode aumentar a credibilidade do vishing é o caller ID spoofing.

Nesse tipo de falsificação, o criminoso manipula as informações exibidas no identificador de chamadas para fazer parecer que a ligação veio de outro número.

O telefone apresentado na tela pode, portanto, aparentar pertencer a uma empresa conhecida, banco ou outra organização.

O FBI inclui números de telefone entre os elementos que podem ser falsificados em ataques de spoofing.

Por isso, o fato de uma chamada apresentar um número conhecido não deve ser utilizado isoladamente como confirmação de identidade.

Em situações sensíveis, a melhor prática é interromper a chamada e realizar a verificação por um canal independente.

IA e clonagem de voz estão ampliando as possibilidades do vishing

A inteligência artificial adicionou novas possibilidades aos ataques baseados em voz.

Ferramentas de síntese podem reproduzir características de fala a partir de gravações existentes e gerar mensagens que imitam uma pessoa específica, o que é um tipo de deepfake.

Isso cria a possibilidade de o criminoso tentar se passar por um executivo, colega de trabalho, fornecedor ou outra pessoa conhecida pela vítima.

Entretanto, o risco não depende apenas de uma clonagem perfeita.

Uma mensagem curta, combinada com informações corretas sobre o contexto, pode ser suficiente para aumentar a credibilidade de uma abordagem.

Por isso, reconhecer uma voz não deve substituir procedimentos de confirmação quando a solicitação envolve dinheiro, credenciais, dados confidenciais ou alterações sensíveis.

Como o vishing pode aparecer no ambiente corporativo

No ambiente empresarial, o vishing pode explorar funções e processos diferentes.

Alguns cenários merecem atenção especial.

Falso suporte de TI

O criminoso entra em contato afirmando que existe um problema na conta, no computador ou em algum sistema corporativo.

Durante a conversa, pode solicitar um código de MFA, pedir a instalação de um software ou convencer o usuário a conceder acesso remoto.

Como equipes de TI realmente entram em contato com usuários para resolver problemas, uma abordagem bem construída pode parecer legítima.

Impersonação de executivo

Nesse cenário, alguém se apresenta como diretor, gestor ou outro profissional com autoridade dentro da empresa.

A ligação pode envolver um pagamento urgente, uma informação confidencial ou uma solicitação fora do fluxo habitual.

Esse tipo de abordagem explora não apenas confiança, mas também a hierarquia da organização.

Falsa central bancária

Outra situação comum envolve ligações que informam supostas movimentações suspeitas ou problemas em uma conta.

O criminoso pode solicitar códigos, transferências, instalação de aplicativos ou outras ações sob o argumento de proteger o dinheiro da vítima.

A urgência provocada pelo risco financeiro é utilizada para reduzir o tempo de análise.

Fornecedor ou parceiro falso

Criminosos também podem se passar por fornecedores para solicitar confirmações, alterações cadastrais ou mudanças relacionadas a pagamentos.

Quando combinada com informações reais sobre uma relação comercial, a ligação pode reforçar outros ataques, inclusive fraudes com fornecedores.

Quais áreas estão mais expostas ao vishing

Qualquer usuário pode receber uma tentativa de vishing. No ambiente corporativo, porém, algumas funções podem oferecer ao criminoso oportunidades mais relevantes.

Financeiro e contas a pagar possuem acesso direto a processos de pagamento, enquanto equipes de TI e help desk podem alterar credenciais, redefinir acessos e prestar suporte a outros usuários.

Executivos, por sua vez, possuem maior autoridade e acesso a dados sensíveis.

O risco, portanto, depende não apenas da probabilidade de receber uma ligação, mas também das ações que cada usuário consegue realizar caso seja convencido.

Quais sinais podem indicar uma tentativa de vishing

Uma ligação suspeita nem sempre apresenta um sinal evidente.

Entretanto, algumas características justificam atenção adicional:

pedido inesperado de senha ou código de autenticação;
solicitação para instalar um aplicativo;
pedido de acesso remoto ao computador ou celular;
pressão para realizar uma transferência imediatamente;
solicitação de informações confidenciais;
orientação para não falar com outras pessoas;
insistência para que a vítima não desligue;
mudança repentina de canal;
pedido fora do processo habitual da empresa;
uso de autoridade para impedir questionamentos;
informações pessoais utilizadas para gerar confiança.

A urgência também é um sinal recorrente em diferentes tipos de fraude. Na prática, golpistas frequentemente pressionam a vítima para agir rapidamente justamente para diminuir a possibilidade de verificação.

Como confirmar se uma ligação é legítima

Quando uma ligação envolve uma solicitação sensível, a confirmação deve acontecer por um canal independente.

Se alguém afirma estar ligando de um banco, por exemplo, o usuário pode encerrar a chamada e utilizar o número disponível no aplicativo, cartão ou site oficial.

Em um ambiente corporativo, uma solicitação atribuída a um executivo ou colega pode ser confirmada diretamente com a pessoa utilizando um contato já conhecido.

O mesmo vale para fornecedores e parceiros.

Além disso, não é recomendável utilizar apenas o telefone fornecido durante a própria ligação suspeita.

O ideal é encerrar chamadas inesperadas e verificar a situação entrando em contato diretamente com a empresa ou instituição por meios oficiais.

Esse procedimento cria uma etapa adicional de validação e reduz a dependência da identidade apresentada durante a chamada.

Como reduzir o risco de vishing nas empresas

A proteção contra vishing depende principalmente de processos de validação e preparo dos usuários.

Defina procedimentos para solicitações sensíveis

Pagamentos, alterações bancárias, redefinições de acesso e outras ações críticas devem seguir processos definidos.

Uma ligação, mesmo aparentemente legítima, não deve ser suficiente para ignorar etapas de aprovação.

Proteja credenciais e códigos de autenticação

Usuários precisam entender que senhas e códigos de MFA são informações sensíveis.

Uma solicitação inesperada desses dados por telefone deve ser tratada como um sinal de alerta.

Prepare as áreas mais expostas

Treinamentos podem considerar os riscos específicos de cada função.

Financeiro pode trabalhar cenários relacionados a pagamentos. TI pode receber situações envolvendo redefinição de senha e acesso remoto. Executivos e seus assistentes podem ser preparados para tentativas de impersonação.

Essa segmentação torna a conscientização mais próxima das situações que cada grupo realmente pode enfrentar.

Facilite o reporte

Também é importante definir como o usuário deve agir ao receber uma ligação suspeita.

O canal para comunicar segurança ou TI precisa ser conhecido e fácil de utilizar.

Dessa forma, uma tentativa de vishing contra uma pessoa também pode servir como alerta para proteger outras possíveis vítimas.

Simulações de vishing ajudam a preparar usuários para golpes por voz

Grande parte dos programas de conscientização em cibersegurança começou historicamente com foco em e-mail e simulações de phishing.

Esse trabalho continua importante, mas os ataques de engenharia social podem chegar por diferentes canais.

Uma simulação de vishing permite observar como usuários reagem quando a tentativa acontece por voz.

É possível avaliar, por exemplo, se a pessoa compartilha informações, segue uma instrução suspeita, interrompe a conversa, confirma a solicitação por outro canal ou reporta a tentativa.

A simulação também ajuda a identificar grupos ou usuários que precisam de orientação adicional.

Dessa forma, o treinamento deixa de considerar apenas conhecimento teórico e passa a observar comportamentos diante de uma situação próxima da realidade.

Simulação de vishing no MindAware

O MindAware, software de gestão de risco humano distribuído pela Oblock, conta com simulações de vishing para ampliar as possibilidades dos programas de conscientização e gestão de risco humano.

Com esse recurso, empresas podem incluir cenários de engenharia social por voz nas campanhas e avaliar como diferentes usuários respondem às abordagens.

Os resultados podem complementar outros indicadores de comportamento, como desempenho em simulações de phishing e participação em treinamentos.

Assim, a organização consegue trabalhar o risco humano considerando diferentes canais utilizados pelos criminosos, e não apenas o e-mail.

Fale com um de nossos especialistas e saiba mais sobre como o MindAware pode apoiar a conscientização e a gestão de risco humano na sua empresa.