Ці поняття часто опиняються в одному контексті, але для кібербезпеки різниця між ними принципова.
Йдеться не про різні варіанти однієї атаки, а про окремі механізми з різними каналами комунікації, психологічними тригерами та способами перевірки.
Працівник, який добре розпізнає підозрілий електронний лист, все одно може погодити платіж після дзвінка зі знайомим клонованим голосом. А відеодзвінок із синтетичним обличчям керівника може обійти саме той механізм перевірки, який зазвичай рекомендують у разі підозрілого запиту.
Тому важливо розуміти не лише різницю між цими типами атак, а й те, що кожен із них вимагає окремої практики підготовки.
Що відрізняє фішинг, вішинг і діпфейки
Фішинг базується на письмовій комунікації. Найчастіше це електронна пошта, де зловмисник підробляє особу відправника, щоб змусити отримувача перейти за посиланням, передати облікові дані або погодити платіж.
Вішинг використовує голосову комунікацію. Під час телефонного дзвінка зловмисник видає себе за іншу особу та створює тиск у реальному часі.
Атака з діпфейком використовує згенерований AI голос або відео для імітації конкретної людини, найчастіше керівника або іншої відомої співробітнику особи.
Ключова відмінність проста: фішинг і вішинг описують канал атаки, а діпфейк описує те, що саме підробляє зловмисник.
| Фішинг | Вішинг | Атака з діпфейком | |
| Канал | Електронна пошта, чати, корпоративні платформи | Телефонний дзвінок | Відеодзвінок або голосовий дзвінок із клонованим голосом |
| Що підробляють | Відправника, документ або вебсторінку | Ідентифікатор абонента та особу співрозмовника | Обличчя або голос конкретної людини |
| Типовий запит | Перейти за посиланням, ввести облікові дані, відкрити вкладення | Назвати код, підтвердити MFA, встановити засіб віддаленого доступу | Підтвердити платіж, надати доступ, погодити транзакцію |
| Чому працює | Масовість, правдоподібність, звичні робочі сценарії | Терміновість і тиск у реальному часі | Візуальне та голосове впізнавання знайомої людини |
| Що допомагає зупинити атаку | Перевірка відправника та адреси ресурсу | Завершення дзвінка та повторний виклик за відомим номером | Підтвердження через незалежний канал, який не контролює ініціатор запиту |
Як AI змінив сучасний фішинг
Фішинг працює через текстові канали, найчастіше через електронну пошту. Зловмисник маскує повідомлення під лист від знайомої компанії, колеги, керівника чи іншого довіреного відправника, щоб переконати отримувача перейти за посиланням, передати облікові дані або погодити платіж.
Фішингові атаки залишаються масовими, але самі повідомлення помітно змінилися. Багато ознак, за якими раніше можна було швидко розпізнати підозрілий лист, уже не працюють так надійно.
Генеративний AI дозволяє створювати грамотно написані й природні повідомлення без типових помилок, дивних формулювань і шаблонних звертань. Водночас значно простіше стало адаптувати лист під конкретну людину.
Для цього зловмиснику може вистачити інформації з відкритих джерел: над якими проєктами працює компанія, з якими постачальниками співпрацює, хто кому підпорядковується та які робочі процеси можна використати як правдоподібний привід для контакту.
Особливо важливими стали два сценарії:
- Розмовні атаки. Замість одного листа зі шкідливим вмістом зловмисник починає звичайне листування, поступово формує довіру і лише після кількох повідомлень переходить до основного запиту. Перший лист може взагалі не містити нічого підозрілого.
- Багатоетапні сценарії без посилання. Наприклад, під час ClickFix користувачу пропонують самостійно вставити команду або виконати нібито виправлення. У такому випадку немає ані вкладення, яке можна просканувати, ані URL, який можна заблокувати. Сам користувач фактично стає механізмом доставки.
Тому симуляції, побудовані лише навколо одного фішингового листа зі сторінкою для введення облікових даних, уже не повністю відображають сучасні сценарії атак.
Чому вішинг стає дедалі небезпечнішим
Вішинг, або голосовий фішинг, є атакою соціальної інженерії через телефонний дзвінок.
Зловмисник може видавати себе за постачальника, співробітника IT-відділу, фінансової служби або керівника. Мета полягає в тому, щоб змусити співрозмовника передати облікові дані, підтвердити MFA, надати віддалений доступ або виконати іншу дію.
Для цього не обов’язково використовувати шкідливе програмне забезпечення. Іноді достатньо переконливого сценарію та кількох хвилин психологічного тиску.
Масштаб проблеми добре видно у звітах за 2025-2026 роки. CrowdStrike зазначає, що обсяг вішингових атак у першій половині 2025 року вже перевищив показник за весь 2024 рік, а до кінця року компанія очікувала приблизно двократне зростання цього вектора.
У M-Trends 2026 вішинг посів друге місце серед початкових векторів проникнення з часткою 11%, поступившись лише експлуатації вразливостей. Для порівняння, частка традиційного email-фішингу у 2025 році знизилася до 6%.
Verizon також фіксує зсув у бік голосових і мобільних сценаріїв: під час симуляцій соціальної інженерії успішність взаємодії через голосові та текстові мобільні канали була приблизно на 40% вищою, ніж через електронну пошту.
Причина багато в чому полягає у самому форматі. Електронний лист залишає час подумати, перевірити адресу та перечитати повідомлення. Телефонна розмова змушує реагувати одразу, а тиск у реальному часі значно ускладнює перевірку.
Найпоширеніші прийоми залишаються досить простими:
- Підміна номера, щоб дзвінок виглядав як виклик від банку, постачальника або внутрішнього номера компанії.
- Штучна терміновість, наприклад повідомлення про компрометацію облікового запису, проблему з платежем або інцидент безпеки, який нібито потребує негайних дій.
- Імітація служби підтримки, коли зловмисник телефонує IT-службі від імені співробітника та просить скинути MFA або, навпаки, телефонує працівнику від імені IT і просить надати віддалений доступ.
- Сценарії на основі OSINT, побудовані з інформації з LinkedIn, новин, пресрелізів та організаційної структури компанії.
Особливу проблему створює швидкість. Від першої успішної розмови до спроби отримати доступ до даних можуть пройти лічені хвилини.
Чим діпфейк відрізняється від звичайного вішингу
Атака з діпфейком використовує згенероване AI аудіо або відео для імітації конкретної людини.
У цьому й полягає головна межа.
Під час звичайного вішингу зловмисник може представитися «співробітником IT». Під час атаки з діпфейком він може говорити голосом конкретного CFO або з’явитися на відео з обличчям керівника.
У першому випадку потрібно повірити незнайомій людині, яка посилається на свій авторитет. У другому спрацьовує впізнавання знайомого голосу або обличчя.
Діпфейк при цьому не є окремим каналом атаки. Це додаткова можливість, яку можна накласти на вже знайомі сценарії.
Клонований голос робить вішинговий дзвінок переконливішим. Синтетичне відео може обійти стандартну пораду «підключити людину до відеодзвінка та перевірити особу».
Особливо небезпечним є те, наскільки доступною стала сама технологія. Для створення переконливого голосу вже може бути достатньо короткого фрагмента публічного запису.
У результаті інтерв’ю керівника, виступ на конференції або подкаст можуть стати матеріалом для підготовки майбутньої атаки.
Як проходить атака через відеодзвінок із діпфейком
Під час такої атаки зловмисник замінює власне відео синтетичним зображенням людини, яку знає користувач та використовує її авторитет для просування термінового запиту.
Типовий сценарій складається з кількох етапів:
- Збір інформації. Зловмисник знаходить публічні відео та аудіозаписи керівника, наприклад у соціальних мережах, на вебінарах або конференціях, і готує цифрову копію.
- Запрошення. Через фішинговий лист або запрошення в календарі створюється привід приєднатися до термінового дзвінка.
- Відеодзвінок. На екрані з’являється синтетична версія керівника, яка озвучує необхідний запит. Додаткові інструкції можуть передаватися через чат або під виглядом технічної проблеми.
- Основна дія. Після дзвінка працівнику можуть запропонувати провести платіж, перейти на сторінку для введення облікових даних або виконати іншу дію.
Одним із найвідоміших прикладів став інцидент у Гонконзі, коли працівник фінансового відділу погодив переказ приблизно 25 мільйонів доларів після відеоконференції, учасники якої були створені за допомогою діпфейків.
При цьому навчити працівників безпомилково розпізнавати такі відео лише за зовнішніми ознаками практично неможливо.
Певні перевірки, наприклад прохання повернути голову або провести рукою перед обличчям, поки що можуть створювати проблеми для окремих систем генерації. Але такі методи варто сприймати лише як додатковий привід для перевірки, а не як доказ справжності відео.
Надійнішою залишається процедура.
Жоден голос чи відео не повинні самі по собі бути достатньою підставою для надання доступу або проведення фінансової операції. Критичні запити необхідно підтверджувати через незалежний канал, який не обирає ініціатор дзвінка.
Саме тому мета симуляцій діпфейків полягає не в тому, щоб навчити працівника помічати візуальні дефекти. Набагато важливіше заздалегідь сформувати звичку перевіряти запит до того, як спрацюють терміновість, авторитет або психологічний тиск.
Які сценарії варто тестувати
Питання про те, який із цих напрямів потрібно тестувати першим, не зовсім коректне. Реальна атака може використовувати всі три канали в межах одного сценарію.
Цільовий фішинг-лист створює контекст. Голосовий дзвінок посилює тиск. Відеодзвінок із діпфейком може обійти додаткову перевірку, яка мала б зупинити атаку.
Тому навчання лише на електронній пошті залишає без перевірки поведінку працівників у двох інших каналах.
Практичний підхід може виглядати так:
| Пріоритет | Що тестувати | Навіщо |
| Базовий | Фішингові листи, зокрема розмовні та багатоетапні сценарії | Наймасовіший канал і часта початкова точка складніших атак |
| Високий | Вішинг для різних категорій працівників, а не лише керівництва | Телефонний канал створює сильний тиск і швидко переводить атаку до активної фази |
| Стратегічний | Відеодзвінки з діпфейками та імітацією керівників | Такі сценарії можуть обходити стандартний механізм перевірки через голос або відео |
Висновок
Фішинг, вішинг і діпфейки не варто розглядати як три назви однієї загрози.
Фішинг використовує письмову комунікацію. Вішинг переносить соціальну інженерію у телефонну розмову, де тиск відбувається в реальному часі. Діпфейки додають ще один рівень, дозволяючи імітувати голос або зовнішність конкретної людини та використовувати вже сформовану до неї довіру.
Особливу проблему створює те, що ці механізми дедалі частіше працюють разом. Лист може створити привід для розмови, дзвінок посилити довіру, а відеодзвінок із синтетичним керівником переконати виконати фінальний запит.
Тому підготовка лише до одного каналу залишає суттєву частину ризику без перевірки.
Сучасна програма навчання має охоплювати текстові, голосові та відеосценарії, а основним захисним рефлексом повинна залишатися незалежна перевірка. Навіть знайомий голос або обличчя більше не можуть вважатися достатнім підтвердженням особи.
Технології атак змінюються швидше, ніж встигають сформуватися нові звички. Саме тому ефективне навчання має відтворювати не окремий тип фішингу, а повний сценарій, у якому зловмисник може переходити між електронною поштою, телефоном і відеозв’язком залежно від того, який канал дає найбільше шансів на успіх.
