Vishing ist der telefonische Zweig des Phishing, zusammengesetzt aus Voice und Phishing. Angerufen wird unter einer gefälschten Nummer, wobei sich Anrufer als Bank, Behörde, Support-Mitarbeiter oder eigene IT-Abteilung ausgeben und zur Herausgabe von Zugangsdaten, zur Freigabe einer Zahlung oder zur Installation einer Fernwartungssoftware drängen.
Die Wirkung beruht auf Unmittelbarkeit, denn im Gespräch fehlt die Bedenkzeit, die eine E-Mail lässt, und Zeitdruck lässt sich direkt aufbauen. Verschärft wird die Lage durch Stimmklone: Mit wenigen Sekunden Tonmaterial aus einem Video lässt sich eine bekannte Stimme nachbilden, weshalb das Wiedererkennen der Stimme kein Nachweis mehr ist. Verbreitet ist die Kombination mit anderen Kanälen, etwa eine SMS mit angeblichem Verdachtsfall und ein Anruf kurz darauf, der die Geschichte bestätigt.
Die einzig verlässliche Gegenmaßnahme ist der Rückruf über eine selbst herausgesuchte, bekannte Nummer; seriöse Stellen fragen weder Passwörter noch Einmalcodes ab und drängen nicht auf sofortiges Handeln.