Vishing หรือการฟิชชิ่งทางเสียง คือประเภทหนึ่งของ การโจมตีแบบฟิชชิ่ง ที่ดำเนินการผ่านทางโทรศัพท์หรือข้อความเสียง – อาจเป็นข้อความเสียง วิดีโอคอล หรือการโทรศัพท์ โดยนำมาใช้กับธุรกิจและบุคคลเพื่อขโมยข้อมูลและเงิน หรือเริ่มการหลอกลวงอื่นๆ

เสียงของคนไม่น่าเชื่อถืออีกต่อไป และด้วยการเลียนแบบเสียงด้วย AI ผู้โจมตีสามารถปลอมตัวเป็นสมาชิกในครอบครัวหรือเพื่อนสนิทได้อย่างง่ายดาย โดยมีเสียงที่คุ้นเคยพอที่จะไม่ก่อให้เกิดความสงสัยใดๆ

การเลียนแบบเสียงด้วย AI ทำให้ธุรกิจต่างๆ มีความจำเป็นอย่างยิ่งในการยกระดับการป้องกันการหลอกลวงแบบ vishing เสียงปลอมที่แนบเนียนสามารถนำมาใช้ปลอมตัวเป็นผู้บริหาร พนักงาน ซัพพลายเออร์ หรือลูกค้า ซึ่งเพิ่มความเสี่ยงของการชำระเงินทุจริต การขโมยข้อมูลยืนยันตัวตน การยึดครองบัญชี การละเมิดข้อมูล และการรบกวนการดำเนินงานภายใน

เนื่องจากการโจมตีเหล่านี้สามารถฉวยโอกาสจากกระบวนการทางธุรกิจปกติและความสัมพันธ์ที่เชื่อถือได้ องค์กรจึงต้องมีขั้นตอนการตรวจสอบที่ไม่พึ่งพาเพียงแค่ว่าผู้โทรมีเสียงที่คุ้นเคยหรือน่าเชื่อถือหรือไม่

Vishing คืออะไร?

Vishing คือประเภทหนึ่งของ ฟิชชิ่ง ที่ดำเนินการทางโทรศัพท์หรือผ่านข้อความเสียง มิจฉาชีพจะปลอมตัวเป็นบุคคลหรือองค์กรที่เชื่อถือได้ เช่น ธนาคาร นายจ้าง หน่วยงานรัฐบาล หรือสมาชิกในครอบครัว เพื่อหลอกลวงให้เหยื่อแชร์ข้อมูลที่ละเอียดอ่อน ส่งเงิน หรือดำเนินการบางอย่าง

ชื่อนี้มาจาก “voice” + “phishing” ซึ่งมีความเกี่ยวข้องอย่างใกล้ชิดกับ smishing ที่ใช้ SMS หรือข้อความตัวอักษรแทนการโทรด้วยเสียงเพื่อหลอกลวงในลักษณะคล้ายกัน

ในปัจจุบัน vishing ยังอาจเกี่ยวข้องกับการเลียนแบบเสียงด้วย AI ซึ่งช่วยให้มิจฉาชีพเลียนแบบเสียงของบุคคลจริงและทำให้สายโทรศัพท์ฟังดูน่าเชื่อถือยิ่งขึ้น

Vishing ทำงานอย่างไร?

โดยทั่วไป Vishing ทำงานโดยการผสมผสานการแอบอ้างตัวตน วิศวกรรมสังคม และความเร่งด่วน โดยอาศัยแรงกดดันจากการสนทนาสดเพื่อผลักดันให้ดำเนินการก่อนที่จะมีเวลาตรวจสอบคำขอ ผู้โทรอาจแสร้งทำเป็นมาจากฝ่าย IT และขอให้ยืนยันการเข้าสู่ระบบ แอบอ้างเป็นพนักงานธนาคารที่ตรวจสอบรายการที่น่าสงสัย หรือปลอมตัวเป็นผู้บริหารระดับสูงที่ต้องการอนุมัติการชำระเงินอย่างเร่งด่วน

ต่างจากอีเมลฟิชชิ่ง ตรงที่อาจไม่มีลิงก์ ไฟล์แนบ หรือที่อยู่ผู้ส่งที่ไม่คุ้นเคยให้ตรวจสอบ ผู้โทรอาจมีน้ำเสียงสงบ น่าเชื่อถือ หรือแม้แต่คุ้นเคย โดยเฉพาะอย่างยิ่งหากมีการใช้การเลียนแบบเสียงด้วย AI

เป้าหมายมักเป็นการโน้มน้าวให้เหยื่อเปิดเผยข้อมูลยืนยันตัวตนหรือรหัสผ่านครั้งเดียว อนุมัติการโอนเงิน รีเซ็ตการเข้าถึงบัญชี หรือข้ามกระบวนการรักษาความปลอดภัยปกติ ในบริบทของธุรกิจ อาจหมายถึงการหลอกลวงเจ้าหน้าที่การเงินให้อนุมัติการชำระเงิน การแอบอ้างเป็นฝ่ายสนับสนุน IT เพื่อเก็บรวบรวมรายละเอียดการเข้าสู่ระบบ หรือโน้มน้าวพนักงานให้สิทธิ์ผู้โจมตีเข้าถึงบัญชีของบริษัท

AI ทำให้ vishing ตรวจจับได้ยากขึ้น

การหลอกลวงแบบ vishing แบบดั้งเดิมมักเปิดเผยตัวเองผ่านสคริปต์ที่ไม่ดี การข่มขู่ที่ชัดเจน คอลเซ็นเตอร์ที่มีเสียงรบกวน หรือผู้โทรที่ฟังดูไม่น่าเชื่อถือ บางสายยังคงเป็นเช่นนั้น แต่ธุรกิจไม่สามารถใช้น้ำเสียง ความมั่นใจ หรือความคุ้นเคยเป็นสัญญาณที่น่าเชื่อถือได้อีกต่อไปว่าสายนั้นเป็นสายจริง

การเลียนแบบเสียงด้วย AI ทำให้สามารถเลียนแบบบุคคลจริงได้ใกล้เคียงพอที่จะสร้างคำขอที่น่าเชื่อถือ ผู้โจมตีสามารถรวมเสียงที่เลียนแบบเข้ากับการปลอมแปลงหมายเลขโทรเข้าและรายละเอียดส่วนบุคคลที่รวบรวมจาก LinkedIn เว็บไซต์บริษัท บทสัมภาษณ์สาธารณะ โซเชียลมีเดีย หรือการละเมิดข้อมูลในอดีต

นั่นทำให้เสียงที่คุ้นเคยมีความเสี่ยงเป็นพิเศษหากใช้เป็นสัญญาณความไว้วางใจ โดยธรรมชาติแล้ว ผู้คนจะตัดสินผู้โทรจากน้ำเสียง ความมั่นใจ ความลังเล หรือเสียงที่ฟังดูเหมือนคนที่รู้จัก AI สามารถเลียนแบบสัญญาณเหล่านั้นได้มากมาย ทำให้ผู้บริหาร เพื่อนร่วมงาน ผู้ขาย หรือพนักงาน IT ที่ถูกปลอมตัวฟังดูสงบ เร่งรีบ มีอำนาจ หรือกังวลใจ

ในปี 2025 FBI ได้เตือน(หน้าต่างใหม่)ว่าผู้ประสงค์ร้ายกำลังใช้ smishing และข้อความเสียงที่สร้างโดย AI เพื่อปลอมตัวเป็นเจ้าหน้าที่ระดับสูงของสหรัฐฯ สร้างความไว้วางใจ และพยายามเข้าถึงบัญชีส่วนตัว

สำหรับธุรกิจ ผู้โจมตีไม่จำเป็นต้องเลียนแบบได้อย่างสมบูรณ์แบบ เพียงแค่ต้องทำให้สายโทรศัพท์น่าเชื่อถือพอที่จะกระตุ้นให้เกิดการดำเนินการ เช่น การอนุมัติการชำระเงิน การแชร์รหัสยืนยัน การรีเซ็ตรหัสผ่าน หรือการเปลี่ยนการเข้าถึงบัญชี

นั่นคือเหตุผลที่คำขอที่ละเอียดอ่อนควรได้รับการตรวจสอบผ่านช่องทางอื่นที่เชื่อถือได้ แม้ว่าผู้โทรจะมีเสียงเหมือนคนที่พนักงานรู้จักอย่างสมบูรณ์ก็ตาม

ตัวอย่าง vishing ทั่วไปที่พุ่งเป้าไปที่ธุรกิจ

Vishing ได้ผลดีที่สุดเมื่อคำขอดูสมเหตุสมผล ผู้โจมทีมักจะเลือกสถานการณ์ที่สอดคล้องกับกิจวัตรทางธุรกิจปกติ แล้วเพิ่มความเร่งด่วน นี่คือตัวอย่าง vishing ที่พบบ่อย:

การปลอมตัวเป็นฝ่ายสนับสนุน IT

สถานการณ์ทั่วไปประการหนึ่งคือการแอบอ้างเป็นฝ่ายสนับสนุน IT พนักงานได้รับสายจากคนที่อ้างว่ามาจากระบบช่วยเหลือของบริษัท ผู้ให้บริการซอฟต์แวร์ หรือทีมรักษาความปลอดภัย ผู้โทรอาจบอกว่ามีปัญหาการเข้าสู่ระบบ การอัปเดตเร่งด่วน กิจกรรมที่น่าสงสัย หรือการย้ายข้อมูลที่กำหนดให้พนักงานต้องยืนยันข้อมูลยืนยันตัวตนหรืออ่านรหัสผ่านครั้งเดียวออกเสียง

การปลอมตัวเป็นฝ่ายการเงิน

การปลอมตัวเป็นฝ่ายการเงินเป็นอีกหนึ่งรูปแบบที่มีความเสี่ยงสูง ผู้โทรจะทำเป็น CEO, CFO ผู้จัดการระดับสูง หรือซัพพลายเออร์ที่เชื่อถือได้ เพื่อขอให้ดำเนินการชำระเงินอย่างรวดเร็ว แรงกดดันอาจถูกกำหนดเป็นเรื่องลับ มีเงื่อนไขด้านเวลา หรือเชื่อมโยงกับข้อตกลง ใบแจ้งหนี้ ปัญหาภาษี หรือปัญหาของผู้ขาย

สายโทรศัพท์หลอกลวงจากธนาคาร

สายโทรศัพท์หลอกลวงจากธนาคารก็พบบ่อยเช่นกัน ผู้โทรอ้างว่ามาจากธนาคารของบริษัทและเตือนเกี่ยวกับรายการที่น่าสงสัย พนักงานจะถูกขอให้ยืนยันรายละเอียด อนุมัติขั้นตอนความปลอดภัย โอนเงิน หรือให้ข้อมูลที่ช่วยให้ผู้โจมตีเข้าถึงบัญชีได้ในภายหลัง

การปลอมตัวเป็นหน่วยงานรัฐบาล

การปลอมตัวเป็นหน่วยงานรัฐบาลก็สามารถส่งผลกระทบต่อธุรกิจได้เช่นกัน สายที่อ้างถึง HM Revenue and Customs (HMRC) ซึ่งเป็นหน่วยงานจัดเก็บภาษีของสหราชอาณาจักรนั้นพบบ่อยมากจน HMRC มีช่องทางเฉพาะสำหรับรายงานสายโทรศัพท์ที่น่าสงสัย(หน้าต่างใหม่) ผู้โทรอาจกล่าวถึงกำหนดเวลาเสียภาษี ภาษีมูลค่าเพิ่ม บัญชีเงินเดือน ค่าปรับ การคืนเงิน หรือการสอบสวนเพื่อสร้างความเร่งด่วน

การปลอมตัวเป็นซัพพลายเออร์และลูกค้า

นอกจากนี้ยังมีสายที่ปลอมตัวเป็นซัพพลายเออร์และลูกค้า อาชญากรอาจแสร้งทำเป็นผู้ขายที่ขอเปลี่ยนรายละเอียดการชำระเงิน ลูกค้าที่ขอเข้าถึงพอร์ตัล หรือพาร์ทเนอร์ที่ขอลิงก์เอกสาร สายโทรศัพท์อาจไม่ได้ขอเงินในทันที แต่อาจมุ่งเป้าไปที่การเก็บรวบรวมข้อมูลสำหรับการโจมตีในภายหลังเท่านั้น

ความเชื่อมโยงกับข้อมูลยืนยันตัวตน

Vishing มักจะจบลงที่ข้อมูลยืนยันตัวตน แม้ว่าจะเริ่มต้นด้วยการสนทนาก็ตาม ผู้โจมตีอาจขอรหัสผ่านโดยตรง แต่ความพยายามทำ vishing หลายครั้งก็แนบเนียนกว่านั้น ผู้โทรอาจขอให้พนักงานยืนยันชื่อผู้ใช้ อ่านรหัสยืนยัน อนุมัติการแจ้งเตือนการยืนยันตัวตนผ่านสองขั้นตอน (2FA) หรือเข้าสู่ระบบพอร์ตัลปลอมในขณะที่ผู้โทรยังถือสายอยู่

เมื่อข้อมูลยืนยันตัวตนรั่วไหล ความเสียหายจะขึ้นอยู่กับสิ่งที่จะถูกปลดล็อกด้วยข้อมูลเหล่านั้น เช่น รหัสผ่านที่ใช้ซ้ำอาจทำให้ผู้โจมตีเข้าถึงบริการได้มากกว่าหนึ่งรายการ การแชร์การเข้าสู่ระบบอาจทำให้ยากต่อการรู้ว่าใครใช้บัญชี และการขาดข้อกำหนด 2FA อาจทำให้รหัสผ่านเป็นปราการเดียวที่เหลืออยู่ บัญชีที่ได้รับสิทธิ์มากเกินไปสามารถเปลี่ยนสายโทรศัพท์ที่สำเร็จเพียงสายเดียวให้กลายเป็นการเข้าถึงที่กว้างขึ้นได้

สุขอนามัยของข้อมูลยืนยันตัวตนเป็นส่วนสำคัญในการป้องกันการโจมตีแบบ vishing รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบริการจะจำกัดขอบเขตการใช้งานของรหัสผ่านที่ถูกขโมย โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจจะช่วยลดความจำเป็นที่พนักงานต้องจำหรือใช้รหัสผ่านซ้ำ และโปรแกรมสร้างรหัสผ่านในตัว⁠ยังช่วยให้สร้างรหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับทุกบัญชีได้ง่ายขึ้นมาก การแชร์ที่ปลอดภัยช่วยเก็บข้อมูลยืนยันตัวตนให้อยู่ห่างจากการโทร แชท และเอกสารต่างๆ ส่วน 2FA จะช่วยเพิ่มเกราะป้องกันอีกชั้นเมื่อรหัสผ่านถูกโจมตี

ทำไมข้อมูลที่รั่วไหลจึงทำให้ vishing น่าเชื่อถือยิ่งขึ้น

สายโทรศัพท์ vishing จะน่าเชื่อถือยิ่งขึ้นเมื่อผู้โจมตีรู้อะไรบางอย่างเกี่ยวกับธุรกิจอยู่แล้ว ข้อมูลนั้นอาจมาจากแหล่งข้อมูลสาธารณะ: ตำแหน่งงาน ซัพพลายเออร์ ผู้บริหาร โครงสร้างบริษัท ข่าวแจก โพสต์บนโซเชียลมีเดีย วิดีโอการประชุม พอดแคสต์ หรือโปรไฟล์ของพนักงาน

นอกจากนี้ยังอาจมาจากข้อมูลที่รั่วไหลหรือถูกขโมย รวมถึงที่อยู่อีเมล หมายเลขโทรศัพท์ รายละเอียดบัญชี ข้อมูลยืนยันตัวตนที่เปิดเผย หรือเอกสารภายใน

Data Breach Observatory⁠ ของเราแสดงให้เห็นว่าข้อมูลที่เปิดเผยสามารถสร้างความเสี่ยงที่มากกว่าการละเมิดข้อมูลเดิมได้อย่างไร อาชญากรต้องการเพียงหมายเลขโทรศัพท์ ตำแหน่งงาน ชื่อผู้ขาย และรหัสผ่านเก่าเพื่อดูน่าเชื่อถือ

พนักงานอาจนำรายละเอียดไปใช้ซ้ำที่อื่น ซัพพลายเออร์อาจถูกโจมตี หรือผู้โจมตีอาจนำแหล่งข้อมูลสาธารณะและข้อมูลที่รั่วไหลหลายแห่งมาผสมผสานกันเพื่อสร้างเรื่องราวที่น่าเชื่อถือ ในทางปฏิบัติ ธุรกิจควรมองว่าข้อมูลที่เปิดเผยเป็นเชื้อเพลิงสำหรับการหลอกลวงในอนาคต ยิ่งผู้โจมตีรู้มากเท่าไร สายโทรศัพท์ก็จะยิ่งฟังดูไม่เหมือนการสุ่มมากขึ้นเท่านั้น

วิธีตรวจสอบสายโทรศัพท์ที่น่าสงสัย

หากสงสัย ให้วางสายแล้วตรวจสอบด้วยตนเองว่าคำขอนั้นเป็นจริงหรือไม่ Vishing ขึ้นอยู่กับการดึงให้ถือสายไว้ กระตุ้นให้ตอบและดำเนินการในทันที การตรวจสอบจะเกิดขึ้นได้ก็ต่อเมื่อพนักงานสามารถหยุดชั่วคราว ละทิ้งแรงกดดันนั้น และติดต่อกลับผ่านช่องทางที่ธุรกิจเชื่อถืออยู่แล้ว

สำหรับคำขอใดๆ ที่เกี่ยวข้องกับข้อมูลยืนยันตัวตน การชำระเงิน รหัส 2FA การเข้าถึงจากระยะไกล รายละเอียดธนาคาร การกู้คืนบัญชี หรือการเปลี่ยนแปลงสิทธิ์ ให้วางสายและตรวจสอบคำขอนั้นแยกต่างหาก นั่นอาจหมายถึงการโทรกลับหาบุคคลนั้นโดยใช้สมุดโทรศัพท์ของบริษัท การติดต่อธนาคารผ่านหมายเลขบนเว็บไซต์ทางการ การเปิดตั๋ว IT ภายใน หรือการตรวจสอบรายละเอียดซัพพลายเออร์ที่จัดเก็บไว้ในบันทึกของบริษัทแล้ว

หมายเลขโทรกลับไม่ควรมาจากผู้โทร และการระบุตัวตนผู้โทรก็ไม่เพียงพอเช่นกัน เนื่องจากหมายเลขสามารถปลอมแปลงได้ ประเด็นสำคัญคือการกลับไปที่แหล่งที่มาที่เชื่อถือได้ แทนที่จะคุยต่อในบทสนทนาที่ผู้โจมตีอาจกำลังควบคุมอยู่

ผู้บริหาร ซัพพลายเออร์ ธนาคาร และทีม IT ที่ถูกต้องตามกฎหมายควรคาดหวังให้มีการตรวจสอบสำหรับคำขอที่ละเอียดอ่อน ผู้โทรที่มีพฤติกรรมก้าวร้าว เรียกร้องให้เก็บเป็นความลับ หรือปฏิเสธการโทรกลับ กำลังให้เหตุผลแก่พนักงานที่จะหยุด ไม่ใช่เหตุผลที่จะดำเนินการเร็วขึ้น

สร้างความตระหนักรู้เกี่ยวกับ vishing โดยมุ่งเน้นที่กลยุทธ์ ไม่ใช่สคริปต์

การฝึกอบรมสร้างความตระหนักรู้สำหรับ vishing ไม่ควรมุ่งสอนให้ผู้คนจดจำเพียงรายการวลีหลอกลวง สคริปต์เปลี่ยนแปลงอย่างรวดเร็ว แต่มุมมองและรูปแบบการชักจูงมีความแน่นอนมากกว่า

พนักงานควรรู้จักกลยุทธ์เบื้องหลังสายโทรศัพท์ ไม่ใช่แค่สคริปต์ และยังต้องมีกลยุทธ์ของตนเองเพื่อนำมาใช้เมื่อไม่แน่ใจ:

  • หากผู้โทรทำให้รู้สึกเร่งรีบ วิตกกังวล หรือต้องรับผิดชอบในการแก้ไขบางสิ่งทันที นั่นคือกลยุทธ์ ไม่ใช่หลักฐานของความเร่งด่วน ผู้โทรอาจอ้างว่าเป็นผู้บริหารระดับสูง ผู้ตรวจสอบการทุจริตของธนาคาร เจ้าหน้าที่ภาษี ซัพพลายเออร์ หรือสมาชิกทีมรักษาความปลอดภัย เรื่องราวอาจเปลี่ยนไปได้ แต่แรงกดดันมักจะคล้ายกัน: ดำเนินการทันที เก็บเรื่องนี้เป็นความลับ เชื่อถือในอำนาจของฉัน และข้ามการตรวจสอบปกติ
  • การฝึกอบรมจำเป็นต้องรวมเรื่องการเลียนแบบเสียงด้วย AI ข้อความควรถ่ายทอดอย่างชัดเจนโดยไม่สร้างความตื่นตระหนก: เสียงที่คุ้นเคยไม่เพียงพอที่จะอนุมัติการดำเนินการที่มีความเสี่ยง พนักงานควรถ่ายทอดให้ทราบว่ามีสิทธิ์ที่จะหยุดชั่วคราว หากผู้โทรขอการชำระเงิน ข้อมูลยืนยันตัวตน รหัส การเปลี่ยนการเข้าถึง หรือวิธีการแก้ไขชั่วคราวที่เร่งด่วน การตอบสนองที่ปลอดภัยคือการหยุดบทสนทนา ขอเวลาสักครู่ และตรวจสอบคำขอผ่านหมายเลขที่รู้จักหรือช่องทางอื่นที่เชื่อถือได้
  • วลีที่ปลอดภัย กฎการโทรกลับ หรือเวิร์กโฟลว์การอนุมัติเป็นลายลักษณ์อักษร มีความน่าเชื่อถือมากกว่าการพยายามตัดสินว่าเสียงใครบางคนดู “ผิดปกติ” หรือไม่ ไม่มีคำขอเร่งด่วนที่ถูกต้องตามกฎหมายรายการใดควรล้มเหลวเพียงเพราะความล่าช้าเล็กน้อยที่ใช้สำหรับการตรวจสอบ

สิ่งที่ควรทำหลังจากสงสัยว่าได้รับสาย vishing

ควรรายงานการหลอกลวงแบบฟิชชิ่งทางโทรศัพท์ที่สงสัยอย่างรวดเร็ว แม้ว่าจะไม่มีการส่งเงินและไม่มีการแชร์รหัสผ่านก็ตาม เหตุการณ์เกือบเกิดเหตุมีประโยชน์เนื่องจากแสดงให้เห็นว่าผู้โจมตีอาจกำลังพุ่งเป้าไปที่พนักงาน ซัพพลายเออร์ หรือกระบวนการใด

ขั้นตอนแรกคือการบันทึกรายละเอียด:

  • เวลาที่โทร
  • หมายเลขที่แสดง
  • ข้ออ้างของผู้โทร
  • การดำเนินการที่ร้องขอ
  • ชื่อที่เอ่ยถึง
  • ระบบที่เกี่ยวข้อง
  • มีการแชร์ข้อมูลใดๆ หรือไม่

ตรวจสอบให้แน่ใจว่าไม่ได้ติดต่อกลับไปยังหมายเลขที่ผู้โทรระบุไว้

หากมีการแชร์ข้อมูลยืนยันตัวตน รหัสผ่านครั้งเดียว รายละเอียดการชำระเงิน หรือการเข้าถึงจากระยะไกล ให้จัดการเป็นเรื่องเร่งด่วน:

  • รีเซ็ตรหัสผ่านที่ได้รับผลกระทบ
  • ยกเลิกเซสชันหากเป็นไปได้
  • ตรวจสอบกิจกรรมบัญชี
  • บังคับใช้ 2FA
  • ตรวจสอบว่ามีการใช้รหัสผ่านเดียวกันนี้ในที่อื่นอีกหรือไม่

Proton Pass for Business ช่วยลดความเสี่ยงด้านข้อมูลยืนยันตัวตนได้อย่างไร

Vishing เป็นการโจมตีตัวบุคคล แต่มักสร้างความเสียหายโดยขึ้นอยู่กับการควบคุมข้อมูลยืนยันตัวตน เช่น รหัสผ่าน การแชร์การเข้าถึง และการปกป้องบัญชี โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ อย่าง Proton Pass for Business จะช่วยให้ทีมลดความเสี่ยงที่สายโทรศัพท์ที่สำเร็จสายเดียวจะขยายไปสู่การเข้าถึงที่กว้างขึ้น

พนักงานสามารถสร้างรหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับทุกบริการผ่านโปรแกรมสร้างรหัสผ่านในตัวของ Proton Pass⁠ จัดเก็บไว้ในห้องนิรภัยที่เข้ารหัส ใช้การป้อนอัตโนมัติ แชร์ข้อมูลยืนยันตัวตนได้อย่างปลอดภัย จัดการพาสคีย์ และใช้งานการยืนยันตัวตนผ่านสองขั้นตอนในตัว

สิ่งนี้มีประโยชน์สำหรับการป้องกัน vishing เนื่องจากแม้ว่าผู้โจมตีจะได้รหัสผ่านไปในระหว่างการโทร ก็ยังคงไม่สามารถเข้าสู่บัญชีได้หากไม่มีปัจจัยที่สอง Proton Pass ยังมาพร้อม Pass Monitor ที่มีการตรวจสอบดาร์กเว็บ ซึ่งจะแจ้งเตือนหากอีเมลปรากฏในการละเมิดข้อมูลที่ทราบ เพื่อให้ทราบว่าเมื่อใดที่ข้อมูลยืนยันตัวตนอาจถูกโจมตีแล้ว

Proton Pass ยังทำให้ธุรกิจมีค่าเริ่มต้นที่ปลอดภัยยิ่งขึ้นสำหรับการเข้าถึงในแต่ละวัน เมื่อพนักงานมีวิธีที่ได้รับอนุมัติในการจัดเก็บและแชร์ข้อมูลยืนยันตัวตน ผู้โทรที่ขอให้อ่านรหัสผ่านออกเสียงหรือส่งสิทธิ์การเข้าถึงผ่านแชทจะทำให้รู้สึกผิดปกติทันที

กำหนดให้คำขอทางเสียงสามารถตรวจสอบได้ตามค่าเริ่มต้น

Vishing ได้ผลดีเพราะเสียงให้ความรู้สึกฉับไวและเป็นกันเอง ผู้โทรอาจฟังดูมั่นใจ คุ้นเคย เต็มใจช่วยเหลือ หรือทรงอำนาจ การเลียนแบบเสียงด้วย AI ยิ่งทำให้ความไว้วางใจนั้นน่าเชื่อถือน้อยลงไปอีก ธุรกิจจำเป็นต้องมีนิสัยการตรวจสอบที่ไม่พึ่งพาความน่าเชื่อถือของน้ำเสียงของผู้โทร

กฎที่สำคัญที่สุดนั้นง่ายดาย: ห้ามแชร์ข้อมูลยืนยันตัวตนในระหว่างการโทร ห้ามอนุมัติการชำระเงินที่ไม่ปกติจากคำขอทางโทรศัพท์เพียงอย่างเดียว และอย่าไว้วางใจการระบุตัวตนผู้โทรว่าเป็นหลักฐานยืนยันตัวตน ให้วางสาย ตรวจสอบผ่านช่องทางที่รู้จัก และบันทึกสิ่งที่น่าสงสัยไว้

สำหรับ SMB กระบวนการนี้สามารถรักษาความเรียบง่ายไว้ได้ คำขอที่ละเอียดอ่อนควรมีกฎการโทรกลับ การชำระเงินและการเปลี่ยนแปลงการเข้าถึงควรต้องมีการยืนยันผ่านช่องทางอื่น และพนักงานควรทราบถึงกลยุทธ์การอ้างอำนาจและความเร่งด่วนที่ทำให้ vishing น้าเชื่อถือ นอกจากนี้ ข้อมูลยืนยันตัวตนยังต้องจัดเก็บไว้ในโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ โดยรหัสผ่านจะไม่ซ้ำกัน มีการแชร์อย่างปลอดภัย และเปลี่ยนใหม่ได้ง่ายขึ้นหากสายโทรศัพท์นำไปสู่การรั่วไหล

การฟิชชิ่งทางเสียงจะยังคงพัฒนาต่อไป โดยเฉพาะอย่างยิ่งเมื่อ AI ทำให้การปลอมตัวมีต้นทุนต่ำลงและแนบเนียนยิ่งขึ้น การป้องกันคือการทำให้คำขอที่ละเอียดอ่อนทุกรายการสามารถตรวจสอบได้ก่อนที่จะมีการดำเนินการใดๆ

ปกป้องข้อมูลยืนยันตัวตนของธุรกิจจากการฟิชชิ่งทางเสียงด้วยโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ⁠