Вишинг: что это за мошенничество по телефону и как не попасться

Определение

Вишинг — голосовой фишинг: название собрано из английских voice и phishing. Мошенник звонит сам или заставляет позвонить ему, представляется сотрудником банка, оператора связи, налоговой или правоохранительных органов и добивается одного: чтобы вы сами назвали код, перевели деньги или впустили его в телефон. Взлома нет, все действия выполняет владелец счёта.

Это вид социальной инженерии, но канал другой, чем у смишинга: вместо SMS со ссылкой — живой голос. Собеседника можно торопить и перебивать, не давая времени подумать. Банк России описывает и связку каналов: первый контакт — SMS или сообщение в мессенджере с номером «ведомства», а звонок по этому номеру ведёт к мошенникам.

Как строится разговор

У звонка три части: легенда, срочность, просьба.

• Легенда. «Служба безопасности банка» сообщает о подозрительной операции, «оператор связи» — о проблеме с вашим номером, «сотрудник финансовой разведки» — об утечке данных. В схеме «замены счёта», которую Банк России описал в июле 2026 года, жертву убеждают, что сведения утекли с прежнего места работы.
• Срочность. Решать нужно сейчас, иначе деньги спишут или заведут дело. Просят никому не рассказывать.
• Просьба. Назвать код из SMS, перевести деньги на «безопасный счёт», снять наличные и внести их через банкомат на чужие реквизиты.

Код из SMS — не формальность: по описанию Банка России, с его помощью мошенники меняют номер для уведомлений мобильного банка или входят на Госуслуги. «Специальных» и «безопасных» счетов, в том числе в Центробанке, не существует.

Вишинг и QR-код

У голосового обмана есть QR-вариант. Собеседник просит открыть вход в мессенджер или сервис и «для проверки безопасности» отсканировать код с чужого экрана. Тогда ваш аккаунт привязывается к его устройству — механизм разобран в термине перехват сессии по QR.

Правило одно: QR входа показывает то устройство, которое входит, и вам. Просьба отсканировать чужой код по телефону — признак обмана, кем бы ни представился звонящий.

Как распознать звонок и что делать

Признаки, на которых держатся советы Банка России:

• просят код из SMS, CVV/CVC, ПИН-код или данные карты: настоящий сотрудник банка их не запрашивает, а ПИН не знает даже банк;
• пишут или звонят в мессенджере от имени Банка России, полиции или госорганов;
• торопят и убеждают, что об операции никто не узнает;
• предлагают «безопасный» счёт или внесение наличных через банкомат.

1. Прервите разговор.
2. Перезвоните сами по номеру с карты или с официального сайта банка. Номер на экране ничего не доказывает: его можно подменить через IP-телефонию.
3. Если деньги ушли, позвоните в банк и заблокируйте карту. Об операции без согласия сообщите незамедлительно, не позднее дня, следующего за днём уведомления о ней (ч. 11 ст. 9 161-ФЗ), и подайте заявление в полицию.

Как банк пытается остановить такой платёж до списания — в термине антифрод. Но Банк России напоминает: если клиент сам перевёл деньги мошенникам или передал им данные, банк не обязан возвращать сумму.

Частые вопросы