Vishing, eller röstnätfiske, är en typ av nätfiskeattack som utförs via telefon eller röstmeddelande – det kan vara ett röstmeddelande, ett videosamtal eller ett telefonsamtal. Det används mot företag och individer för att stjäla data och pengar, eller starta ytterligare bedrägerier.

En persons röst är inte längre pålitlig. Och med AI-röstkloning kan angripare enkelt utge sig för att vara en familjemedlem eller en nära vän, och låta tillräckligt bekanta för att inte väcka några misstankar.

AI-röstkloning gör det viktigare än någonsin för företag att stärka sitt försvar mot vishing-bedrägerier. En övertygande falsk röst kan användas för att utge sig för att vara chefer, anställda, leverantörer eller kunder, vilket ökar risken för bedrägliga betalningar, stöld av inloggningsuppgifter, kontoövertagande, dataintrång och störningar i den interna verksamheten.

Eftersom dessa attacker kan utnyttja normala affärsprocesser och betrodda relationer behöver organisationer verifieringsprocedurer som inte förlitar sig på om en uppringare låter bekant eller övertygande.

Vad är vishing?

Vishing är en typ av nätfiske som utförs via telefon eller röstmeddelanden. Bedragare utger sig för att vara betrodda personer eller organisationer, till exempel banker, arbetsgivare, myndigheter eller familjemedlemmar, för att lura offer att dela känslig information, skicka pengar eller utföra någon annan åtgärd.

Namnet kommer från ”voice” + ”phishing”. Det är nära besläktat med smishing, som använder SMS eller textmeddelanden i stället för röstsamtal för att utföra liknande bedrägerier.

I dag kan vishing även involvera AI-röstkloning, vilket gör att bedragare kan efterlikna en verklig persons röst och få samtalet att låta mer övertygande.

Hur fungerar vishing?

Vishing fungerar vanligtvis genom att kombinera falsk identitet, social engineering och brådska. Det bygger på trycket från en direktsänd konversation för att pressa någon att agera innan de hinner bekräfta en begäran. En uppringare kan låtsas vara från IT och be att bekräfta en inloggning, utge sig för att vara en bankanställd som kontrollerar en misstänkt transaktion, eller utge sig för att vara en chef som brådskande behöver få en betalning godkänd.

Till skillnad från nätfiske e-postmeddelanden finns det kanske ingen misstänkt länk, bilaga eller okänd avsändaradress att granska. Uppringaren kan låta lugn, övertygande eller till och med bekant, särskilt om AI-röstkloning är involverat.

Målet är vanligtvis att övertyga offret om att avslöja inloggningsuppgifter eller engångskoder, godkänna en överföring, återställa kontoåtkomst eller kringgå en normal säkerhetsprocess. I ett företagssammanhang kan det innebära att lura ekonomipersonal att godkänna en betalning, utge sig för att vara IT-support för att samla in inloggningsdetaljer, eller övertyga en anställd att ge en angripare åtkomst till ett företagskonto.

AI gör vishing svårare att upptäcka

Traditionella vishing-bedrägerier avslöjade sig ofta genom dåliga skript, uppenbara hot, bullriga callcentra eller uppringare som helt enkelt inte lät övertygande. Vissa gör det fortfarande. Men företag kan inte längre behandla röstkvalitet, självförtroende eller bekantskap som pålitliga tecken på att ett samtal är äkta.

AI-röstkloning gör det möjligt att efterlikna verkliga personer tillräckligt väl för att skapa trovärdiga begäranden. Angripare kan kombinera en klonad röst med spoofing av nummerpresentation och personliga detaljer som samlats in från LinkedIn, företags webbplatser, offentliga intervjuer, sociala medier eller tidigare dataintrång.

Det gör bekanta röster särskilt riskabla som en tillitssignal. Människor bedömer naturligt uppringare utifrån tonläge, självförtroende, tvekan eller om rösten låter som någon de känner. AI kan återge många av dessa signaler, vilket får en falsk chef, kollega, leverantör eller IT-anställd att låta lugn, stressad, auktoritär eller orolig.

År 2025 varnade FBI(nytt fönster) för att skadliga aktörer använde smishing och AI-genererade röstmeddelanden för att utge sig för att vara högt uppsatta amerikanska tjänstemän, bygga förtroende och försöka få åtkomst till personliga konton.

För företag behöver angripare inte en perfekt efterlikning. De behöver bara ett samtal som är tillräckligt övertygande för att utlösa en åtgärd, till exempel att godkänna en betalning, dela en verifieringskod, återställa ett lösenord eller ändra kontoåtkomst.

Det är därför känsliga begäranden bör verifieras via en annan betrodd kanal, även när uppringaren låter exakt som någon som den anställde känner.

Vanliga exempel på vishing riktade mot företag

Vishing fungerar bäst när begäran känns rimlig. Angripare väljer ofta scenarier som passar in i normala affärsrutiner och lägger sedan till brådska. Här är vanliga exempel på vishing:

Identitetsstöld av IT-support

Ett vanligt scenario är att utge sig för att vara IT-support. En anställd får ett samtal från någon som påstår sig vara från företagets helpdesk, mjukvaruleverantör eller säkerhetsteam. Uppringaren kan säga att det finns ett inloggningsproblem, en brådskande uppdatering, misstänkt aktivitet eller en migrering som kräver att den anställde bekräftar inloggningsuppgifter eller läser upp en engångskod.

Falsk ekonomiidentitet

Att utge sig för att vara ekonomipersonal är ett annat högriskmönster. En uppringare utger sig för att vara vd, finanschef, en högre chef eller en betrodd leverantör som ber om att en betalning ska behandlas snabbt. Pressen kan vinklas som konfidentiell, tidskänslig eller länkad till en affär, faktura, skattefråga eller leverantörsproblem.

Samtal om bankbedrägerier

Samtal om bankbedrägerier är också vanliga. Uppringaren påstår sig vara från företagets bank och varnar för misstänkta transaktioner. Den anställde bes att bekräfta detaljer, godkänna ett säkerhetssteg, flytta pengar eller lämna information som gör det möjligt för angriparen att få åtkomst till kontot senare.

Falsk myndighetsidentitet

Falska myndighetssamtal kan också drabba företag. Samtal som involverar His Majesty’s Revenue and Customs (HMRC), Storbritanniens skatteverksmyndighet, är tillräckligt vanliga för att HMRC tillhandahåller en dedikerad väg för att rapportera misstänkta telefonsamtal(nytt fönster). En uppringare kan nämna skattedeadlines, moms, löner, böter, återbetalningar eller utredningar för att skapa brådska.

Falsk leverantörs- och kundidentitet

Det finns också samtal där någon utger sig för att vara leverantör eller kund. En kriminell kan låtsas vara en leverantör som ändrar betalningsdetaljer, en kund som begär åtkomst till en portal eller en partner som ber om en dokumentlänk. Samtalet behöver inte be om pengar omedelbart. Det kan bara syfta till att samla in information för en senare attack.

Kopplingen till inloggningsuppgifter

Vishing slutar ofta vid inloggningsuppgifter, även när det börjar som en konversation. En angripare kan be direkt om ett lösenord, men många vishing-försök är mer subtila. Uppringaren kan be en anställd bekräfta ett användarnamn, läsa upp en verifieringskod, godkänna en uppmaning om tvåfaktorsautentisering (2FA) eller logga in på en falsk portal medan uppringaren kvarstår på linjen.

När inloggningsuppgifter väl har exponerats beror skadan på vad dessa inloggningsuppgifter kan låsa upp. Ett återanvänt lösenord kan till exempel ge angriparen åtkomst till mer än en tjänst. En delad inloggning kan göra det svårare att veta vem som använde kontot, och ett saknat 2FA-krav kan lämna ett lösenord som det enda hindret. Ett konto med för höga behörigheter kan förvandla ett framgångsrikt samtal till en bredare åtkomst.

God hygien för inloggningsuppgifter är en nödvändig del i att förhindra vishing-attacker. Unika lösenord för varje tjänst begränsar hur långt ett stulet lösenord kan nå. En lösenordshanterare för företag minskar behovet för anställda att komma ihåg eller återanvända lösenord, och en inbyggd lösenordsgenerator⁠ gör det mycket enklare att skapa starka, unika lösenord för varje konto. Säker delning håller inloggningsuppgifter borta från samtal, chattar och dokument. 2FA lägger till ytterligare ett hinder när ett lösenord har avslöjats.

Varför exponerad data gör vishing mer övertygande

Ett vishing-samtal är mer övertygande när angriparen redan vet något om företaget. Den informationen kan komma från offentliga källor: yrkestitlar, leverantörer, chefer, företagsstruktur, pressmeddelanden, inlägg på sociala medier, konferensvideor, poddar eller medarbetarprofiler.

Det kan också komma från läckt eller stulen data, inklusive e-postadresser, telefonnummer, kontodetaljer, exponerade inloggningsuppgifter eller interna dokument.

Vårt Data Breach Observatory⁠ visar hur exponerad data kan skapa risker utöver det ursprungliga intrånget. En kriminell behöver bara ett telefonnummer, en yrkestitel, ett leverantörsnamn och ett gammalt lösenord för att verka trovärdig.

Anställda kan ha återanvänt detaljer på annat håll, leverantörer kan ha avslöjats, eller angripare kan kombinera flera offentliga och läckta källor för att bygga en trovärdig historia. I praktiken bör företag behandla exponerad data som bränsle för framtida bedrägerier. Ju mer en angripare vet, desto mindre slumpartat låter samtalet.

Hur du verifierar ett misstänkt samtal

Om du är misstänksam, avsluta samtalet och verifiera själv om begäran var äkta. Vishing beror på att hålla dig kvar på linjen och uppmuntra dig att svara nu och agera nu. Verifiering fungerar bara när den anställde kan pausa, lämna den pressen och återkomma via en kanal som företaget redan litar på.

För alla begäranden som involverar inloggningsuppgifter, betalningar, 2FA-koder, fjärråtkomst, bankdetaljer, kontoåterställning eller behörighetsändringar, avsluta samtalet och kontrollera begäran separat. Det kan innebära att du ringer tillbaka till personen med hjälp av företagets katalog, kontaktar banken via numret på dess officiella webbplats, öppnar ett internt IT-ärende eller kontrollerar leverantörsdetaljer som redan finns lagrade i företagets register.

Numret för återuppringning ska aldrig komma från uppringaren. Nummerpresentation räcker inte heller, eftersom nummer kan spoofas. Poängen är att återgå till en betrodd källa, snarare än att fortsätta en konversation som angriparen kan styra.

Legitima chefer, leverantörer, banker och IT-team bör förvänta sig verifiering vid känsliga begäranden. En uppringare som blir aggressiv, kräver sekretess eller vägrar återuppringning ger den anställde en anledning att stanna upp, inte en anledning att agera snabbare.

Bygg medvetenhet om vishing kring taktik, inte skript

Utbildning i vishing-medvetenhet bör inte bara lära människor att känna igen en lista över bedrägerifraser. Skript ändras snabbt. Manipulationsmönstren är mer stabila.

Anställda bör lära sig att känna igen taktiken bakom samtalet, inte bara skriptet. De behöver också egna taktiker att falla tillbaka på när de är osäkra:

  • Om en uppringare får dem att känna sig stressade, oroliga eller ansvariga för att åtgärda något omedelbart, är det en taktik, inte ett bevis på brådska. En uppringare kan påstå sig vara en högre chef, en bankbedrägeriutredare, en skattemyndighet, en leverantör eller en medlem i ett säkerhetsteam. Historien kan ändras, men pressen ser ofta likadan ut: agera nu, håll detta konfidentiellt, lita på min auktoritet och kringgå de vanliga kontrollerna.
  • Utbildningen måste också inkludera AI-röstkloning. Meddelandet bör vara tydligt utan att skapa panik: en bekant röst räcker inte för att godkänna en riskfylld åtgärd. Anställda bör läras att de har rätt att pausa. Om en uppringare ber om en betalning, inloggningsuppgifter, kod, ändring av åtkomst eller en brådskande nödlösning är det säkra svaret att avbryta konversationen, be om några minuter och verifiera begäran via ett känt nummer eller en annan betrodd kanal.
  • En säker fras, regel om återuppringning eller ett skriftligt godkännandeflöde är mer tillförlitligt än att försöka bedöma om någon låter ”konstig”. Ingen legitim brådskande begäran bör misslyckas på grund av en kort fördröjning som används för verifiering.

Vad du ska göra efter ett misstänkt vishing-samtal

Ett misstänkt telefonnätfiskebedrägeri bör rapporteras snabbt, även om inga pengar skickades och inget lösenord delades. Tillbud är användbara eftersom de visar vilka anställda, leverantörer eller processer angripare kan vara inriktade på.

Det första steget är att anteckna detaljerna:

  • Tid för samtalet
  • Visat nummer
  • Uppringarens påstående
  • Begärd åtgärd
  • Nämnda namn
  • Involverade system
  • Om någon information delades.

Se till att det nummer som lämnades av uppringaren inte kontaktas igen.

Om inloggningsuppgifter, engångskoder, betalningsdetaljer eller fjärråtkomst delades ska du behandla det som brådskande:

  • Återställ berörda lösenord
  • Återkalla sessioner där det är möjligt
  • Granska kontoaktivitet
  • Kräv 2FA
  • Kontrollera om samma lösenord användes någon annanstans.

Hur Proton Pass for Business hjälper till att minska risken för inloggningsuppgifter

Vishing är en mänsklig attack, men skadan beror ofta på kontroller av inloggningsuppgifter såsom lösenord, delad åtkomst och kontoskydd. En lösenordshanterare för företag som Proton Pass for Business hjälper team att minska risken för att ett framgångsrikt samtal förvandlas till bredare åtkomst.

Anställda kan generera starka, unika lösenord för varje tjänst via Proton Pass inbyggda lösenordsgenerator⁠, lagra dem i krypterade valv, använda autofyll, dela inloggningsuppgifter säkert, hantera passnycklar och använda inbyggd tvåfaktorsautentisering.

Detta är värdefullt för skydd mot vishing, för även om en angripare får ditt lösenord under ett samtal kan de fortfarande inte komma åt kontot utan den andra faktorn. Proton Pass innehåller även Pass Monitor med övervakning av dark web, som varnar dig om din e-post visas i ett känt dataintrång, så att du vet när inloggningsuppgifter redan kan ha avslöjats.

Proton Pass ger också företag en säkrare standard för den dagliga åtkomsten. När anställda har ett godkänt sätt att lagra och dela inloggningsuppgifter bör en uppringare som ber dem att läsa upp ett lösenord eller skicka åtkomst via chatt omedelbart kännas ovanlig.

Gör röstbegäranden verifierbara som standard

Vishing fungerar eftersom rösten känns omedelbar och personlig. En uppringare kan låta självsäker, bekant, hjälpsam eller auktoritär. AI-röstkloning gör den tilliten ännu mindre pålitlig. Företag behöver en verifieringsvana som inte beror på hur övertygande uppringaren låter.

De viktigaste reglerna är enkla: dela inte inloggningsuppgifter i ett samtal, godkänn inte ovanliga betalningar enbart från en telefonbegäran och lita inte på nummerpresentation som ett bevis på identitet. Lägg på, verifiera via en känd kanal och dokumentera allt misstänkt.

För små och medelstora företag kan processen förbli enkel. Känsliga begäranden bör ha en regel om återuppringning, betalningar och ändringar av åtkomst bör kräva bekräftelse via en annan kanal, och anställda bör känna till de taktiker kring auktoritet och brådska som gör vishing övertygande. Inloggningsuppgifter behöver också stanna inom en lösenordshanterare för företag, där lösenord är unika, delas säkert och är enklare att rotera om ett samtal leder till exponering.

Röstnätfiske kommer att fortsätta utvecklas, särskilt när AI gör det billigare och mer övertygande att utge sig för att vara någon annan. Försvaret är att göra varje känslig begäran verifierbar innan någon agerar.

Skydda ditt företags inloggningsuppgifter från röstnätfiske med en lösenordshanterare för företag⁠.