Adathalászat: így ismerd fel a csaló üzeneteket és hívásokat, mielőtt kárt okoznak

A fiókok feltörésének legnagyobb része nem technikai bravúr. Senki nem töri fel a bankodat vagy a levelezőszolgáltatódat azért, hogy éppen a te fiókodhoz jusson hozzá. Sokkal egyszerűbb megkérni téged, hogy add oda a kulcsot, csak éppen úgy, hogy közben azt hidd, a bankoddal, a futárcéggel vagy egy ismerősöddel beszélsz. Ezt hívják adathalászatnak.

Ez a cikk a Digitális önvédelem sorozat harmadik része. Az első két részben a jelszókezelőről és a passkey-ről volt szó, vagyis azokról az eszközökről, amelyek technikailag védenek. Most arról lesz szó, ami ellen egyetlen eszköz sem véd tökéletesen: a megtévesztésről. Megmutatjuk a leggyakoribb csalástípusokat, a jeleket, amelyekről felismerheted őket, és azt, mit tegyél, ha mégis megtörtént a baj.

Mi az adathalászat, és miért működik?

Az adathalászat (phishing) olyan megtévesztés, amelynek célja, hogy te magad add meg a belépési adataidat, a bankkártyád számát vagy egy jóváhagyó kódot, illetve hogy te magad indíts el egy utalást. A támadó egy megbízható szereplőnek adja ki magát: banknak, hatóságnak, futárszolgálatnak, közműszolgáltatónak, a munkahelyed informatikusának vagy egy családtagodnak.

A módszer azért hatékony, mert nem a tudásodat, hanem a figyelmedet támadja. A csalók három érzelemre építenek:

• Sürgetés. „A fiókját 24 órán belül zároljuk.” „Most azonnal cselekednie kell.” A cél, hogy ne legyen időd gondolkodni.
• Félelem. „Gyanús tranzakciót észleltünk.” „Eljárás indult ön ellen.” Aki megijed, az hajlamos azt tenni, amit mondanak neki.
• Nyereség vagy kíváncsiság. „Visszatérítés jár önnek.” „Csomagja érkezett.” „Nézd, mit találtam rólad.”

Fontos megérteni: az adathalászatnak nem csak a figyelmetlen vagy a technikában járatlan emberek dőlnek be. Egy jól időzített, hihető üzenet bárkit megfoghat, főleg fáradtan, sietve vagy éppen akkor, amikor tényleg csomagot vár. Ezért nem az a cél, hogy soha ne hibázz, hanem hogy legyenek olyan szokásaid, amelyek a hibát is kivédik.

A leggyakoribb csalástípusok

Hamis e-mail

A klasszikus forma: egy ismert cég nevében érkező levél, amely egy linkre kattintva belépést, adategyeztetést vagy fizetést kér. A link egy megtévesztően hasonló, de hamis oldalra visz, ahol a beírt adataid a csalókhoz kerülnek.

SMS és üzenetküldő alkalmazások

Az SMS-ben érkező adathalászatot smishingnek is hívják. Tipikus példa a futárcég nevében küldött üzenet egy „ki nem fizetett vámról” vagy „sikertelen kézbesítésről”, vagy a bank nevében érkező figyelmeztetés. Telefonon nehezebb észrevenni a csalást, mert a kis képernyőn a link címe gyakran nem látszik teljesen.

Telefonos csalás

A hívó a bankod biztonsági osztályának, a rendőrségnek vagy egy technikai ügyfélszolgálatnak adja ki magát. Gyakran azt állítja, hogy éppen most próbálnak pénzt levenni a számládról, és a „megmentéséhez” egy biztonsági számlára kell utalnod, kódot kell bediktálnod, vagy távoli elérést biztosító programot kell telepítened. A hívószám is hamisítható, tehát az, hogy a kijelzőn a bankod száma jelenik meg, semmit nem bizonyít.

Hamis webáruházak és hirdetések

Valószerűtlenül olcsó termékeket kínáló oldalak, amelyek a fizetés után nem küldenek semmit, vagy a megadott kártyaadatokkal élnek vissza. Közösségi oldalak hirdetéseiben és keresőhirdetésekben is megjelennek.

Célzott támadás és „főnökcsalás”

A célzott adathalászat (spear phishing) személyre szabott: a támadó ismeri a nevedet, a munkahelyedet, a kollégáidat. Cégeknél gyakori a vezető nevében küldött sürgős utalási kérés vagy a megváltozott bankszámlaszámot közlő „beszállítói” levél.

Ismerős nevében érkező kérés

Egy feltört közösségi fiókból vagy hamis profilról érkező üzenet: „Bajban vagyok, tudnál gyorsan pénzt küldeni?”, „Elküldenéd a kódot, amit most kaptál SMS-ben?”. Az a kód jellemzően a te fiókodhoz tartozik, és aki megkapja, átveszi fölötte az irányítást.

QR-kódos csalás

A QR-kód ugyanolyan link, mint bármelyik másik, csak nem látod előre, hova visz. Parkolóórára, étlapra vagy hirdetésre ragasztott hamis kódokkal, illetve e-mailben küldött kódokkal is próbálkoznak.

Miről ismerheted fel a hamis üzenetet?

Nincs egyetlen biztos jel, de néhány kérdés szinte mindig segít.

• Vártad ezt az üzenetet? Ha nem rendeltél semmit, nem jön csomagod. Ha nem kezdeményeztél jelszó-visszaállítást, a visszaállító levél gyanús.
• Sürget vagy fenyeget? A valódi szolgáltatók ritkán adnak órákban mért határidőt, és nem fenyegetnek azonnali zárolással egy linkre kattintás hiányában.
• Olyat kér, amit egy valódi szolgáltató soha? Jelszót, PIN-kódot, teljes kártyaszámot biztonsági kóddal, SMS-ben kapott jóváhagyó kódot. A bankod ezeket soha nem kéri el telefonon, e-mailben vagy üzenetben.
• Honnan jött valójában? A megjelenített név bármi lehet. A tényleges e-mail-címet nézd meg, és azon belül is a kukac utáni részt.
• Szokatlan a fizetési mód? Ajándékkártya, kriptovaluta, utalás egy magánszemély számlájára vagy külföldi számlára: ezek mind intő jelek.

A helyesírási hibák és a furcsa megfogalmazás régen megbízható jelek voltak. Ma már nem azok: a gépi fordítás és a szöveggeneráló eszközök miatt a csaló üzenetek gyakran hibátlan magyarsággal, a megszokott arculattal érkeznek. Az, hogy egy levél jól néz ki és jól van megírva, semmit nem bizonyít.

Hogyan ellenőrizd a linket?

A link szövege és a link célja két külön dolog. Egy gombon vagy kék szövegen bármi állhat, a lényeg az, hova mutat valójában.

• Számítógépen vidd az egeret a link fölé kattintás nélkül: a böngésző vagy a levelezőprogram megmutatja a tényleges címet.
• Telefonon tartsd nyomva a linket, amíg megjelenik az előnézet a teljes címmel.

A címben a domain a döntő: az a rész, amely közvetlenül az első perjel előtt áll. A bank.hu.ugyfel-belepes.com cím nem a bank oldala, hanem az ugyfel-belepes.com egy aloldala. A csalók gyakran használnak hasonló kinézetű karaktereket, elírásokat vagy kötőjeles változatokat is.

A lakat ikon és a https a címsorban csak azt jelenti, hogy a kapcsolat titkosított. Azt nem igazolja, hogy az oldal az, aminek mondja magát: a csaló oldalak túlnyomó többsége is https-t használ.

A legbiztosabb módszer, hogy egyáltalán nem a kapott linkre kattintasz. Ha a bankod, a szolgáltatód vagy egy webáruház nevében kapsz üzenetet, nyisd meg az alkalmazásukat, vagy írd be te magad a címüket a böngészőbe, és ott nézd meg, van-e teendőd. Ha a levél valódi volt, ott is látni fogod.

Ha bizonytalan vagy egy címben, a VirusTotal több tucat biztonsági szolgáltató adatbázisában nézi meg, ismert-e kártékonyként. A böngészők beépített védelme, például a Google Biztonságos Böngészés, szintén figyelmeztet az ismert adathalász oldalakra, de egy friss csaló oldal napokig is kimaradhat ezekből a listákból, ezért a figyelmeztetés hiánya nem jelent biztonságot.

Telefonos csalások: az egyetlen szabály

A telefonos csalás azért veszélyes, mert élő emberrel beszélsz, aki reagál, megnyugtat, sürget, és közben profi módon vezet végig egy forgatókönyvön. Gyakran hetekig gyakorolt szöveggel dolgoznak, és meggyőző háttérzajjal, „továbbkapcsolással” teszik hihetővé a helyzetet.

Egyetlen szabályt érdemes megjegyezni: ha valaki pénzügyi vagy biztonsági ügyben felhív, tedd le, és te hívd vissza a szolgáltatót a hivatalos számán. A számot a bankkártyád hátoldaláról, a szerződésedről vagy a szolgáltató honlapjáról nézd ki, ne abból az üzenetből vagy hívásból, amelyet kaptál. Egy valódi ügyintéző ezt soha nem veszi rossz néven.

Néhány dolog, amit a bankod soha nem kér:

• hogy utald át a pénzed egy „biztonsági” vagy „technikai” számlára;
• hogy diktáld be a netbanki jelszavad, a kártyád PIN-kódját vagy az SMS-ben kapott kódot;
• hogy telepíts távoli elérést biztosító programot a gépedre vagy a telefonodra;
• hogy ne beszélj a hívásról a családtagjaidnak vagy a bankfiók dolgozóinak.

A magyar bankok, a Magyar Nemzeti Bank és a hatóságok közös tájékoztató oldala, a KiberPajzs részletesen bemutatja az itthon leggyakoribb csalási forgatókönyveket. A Nemzeti Kibervédelmi Intézet honlapján pedig az aktuális riasztások és figyelmeztetések olvashatók.

Technikai védelem: ami akkor is megfog, ha hibázol

A figyelem fontos, de nem lehet rá építeni. A jó hír az, hogy vannak eszközök, amelyek akkor is megvédenek, ha egyszer rossz helyre kattintasz.

• Jelszókezelő. A mentett jelszót csak azon a címen tölti ki, amelyhez tartozik. Ha egy belépési oldalon nem ajánl fel semmit, állj meg, és nézd meg a címsort.
• Passkey. A passkey kriptográfiailag a valódi oldal címéhez kötött, ezért egy hamis oldal nem tudja megszerezni. Ez az egyetlen széles körben elérhető belépési mód, amely a működéséből adódóan ellenáll az adathalászatnak.
• Kétlépcsős azonosítás. Ha a jelszavad kikerül, a második lépcső megállíthatja a támadót. Az SMS-ben és alkalmazásban kapott kódot viszont egy ügyes hamis oldal ugyanúgy elkérheti, ezért a kódot soha ne add meg olyan oldalon, amelyre linkről érkeztél, és soha ne diktáld be senkinek.
• Frissítések. A böngésző és az operációs rendszer frissítései zárják be azokat a réseket, amelyeken keresztül egy kártékony oldal vagy csatolmány kárt tehet. Ha még Windows 10-et használsz, érdemes elolvasnod, mik a lehetőségeid a támogatás vége után.
• Banki limitek és értesítések. Állíts be alacsony napi utalási és kártyahasználati limitet, és kérj azonnali értesítést minden tranzakcióról. A limitet az alkalmazásban egy perc alatt megemelheted, ha tényleg szükség van rá, egy csalónak viszont komoly akadály.
• Külön kártya az online vásárláshoz. Egy virtuális vagy feltölthető kártyán csak annyi pénz van, amennyit rátettél.

Az e-mail-szolgáltatók szűrői a csaló levelek nagy részét kiszűrik, mielőtt látnád őket. A szűrők tanulnak a bejelentésekből, ezért a gyanús levelet ne csak töröld, hanem jelöld meg adathalászként: a Gmail súgója leírja, hogyan teheted ezt meg.

Mit tegyél, ha már megadtad az adataidat?

Az első és legfontosabb: ne szégyelld, és ne várj. Az idő itt tényleg számít, a gyors reakcióval a kár sokszor megelőzhető vagy csökkenthető.

Ha jelszót adtál meg

1. Azonnal változtasd meg a jelszót az érintett fiókban, a valódi oldalon vagy alkalmazásban.
2. Ha ugyanezt a jelszót máshol is használtad, ott is cseréld le.
3. A fiók beállításaiban jelentkeztess ki minden eszközt és munkamenetet.
4. Nézd át a fiók beállításait: van-e ismeretlen továbbítási szabály a levelezésben, új helyreállítási e-mail-cím vagy telefonszám, ismeretlen csatlakoztatott alkalmazás.
5. Kapcsold be a kétlépcsős azonosítást, ha eddig nem volt.

Ha bankkártya- vagy netbanki adatot adtál meg, vagy utaltál

1. Azonnal hívd a bankodat a kártyád hátoldalán lévő számon, és tiltasd le a kártyát, illetve a netbanki hozzáférést. A legtöbb banki alkalmazásban a kártya azonnal zárolható.
2. Jelezd, ha jóvá nem hagyott tranzakciót látsz, és kérd a visszahívását.
3. Tegyél feljelentést a rendőrségen. A police.hu oldalon tájékozódhatsz az online ügyintézés lehetőségeiről.
4. Őrizd meg a bizonyítékokat: az üzeneteket, a hívás időpontját, a hívószámot, a képernyőfotókat.

Ha programot telepítettél a csaló kérésére

Válaszd le az eszközt az internetről, és egy másik, tiszta eszközről változtasd meg a legfontosabb jelszavaidat. A távoli elérést biztosító programot távolítsd el, és futtass teljes víruskeresést. Ha nem vagy biztos a dolgodban, kérj szakértő segítséget, mert a legbiztosabb megoldás ilyenkor a rendszer újratelepítése. Ezért is fontos, hogy legyen friss biztonsági mentésed: erről szól a sorozat negyedik része.

Csatolmányok és letöltések

Nem minden csalás kér adatot. Egy részük azt szeretné elérni, hogy megnyiss egy fájlt vagy telepíts valamit. A „számla”, a „fuvarlevél” vagy az „önéletrajz” néven érkező csatolmány kártevőt is tartalmazhat, különösen, ha tömörített fájl, futtatható állomány, vagy olyan dokumentum, amely megnyitáskor a makrók engedélyezését kéri.

• Váratlan csatolmányt ne nyiss meg, még ismerős feladótól sem. Kérdezz rá egy másik csatornán, hogy tényleg ő küldte-e.
• Dokumentumban soha ne engedélyezd a makrókat vagy a „tartalom engedélyezését” csak azért, mert a fájl ezt kéri.
• Alkalmazást csak a hivatalos áruházból vagy a gyártó saját oldaláról telepíts, ne egy üzenetben kapott linkről.
• Ha egy weboldal azt állítja, hogy a géped fertőzött, és azonnal hívnod kell egy számot vagy le kell töltened egy „tisztítót”, zárd be a böngészőlapot: ez maga a csalás.

Beszélj róla a családban

A csalók szívesen célozzák azokat, akik kevésbé mozognak otthonosan az online világban: az idősebb családtagokat és a fiatalabb kamaszokat. Néhány egyszerű megállapodás sokat ér.

• Családi jelszó. Egyezzetek meg egy szóban, amelyet csak ti ismertek. Ha valaki „bajba jutott unokaként” vagy „gyerekként” pénzt kér telefonon vagy üzenetben, ezt kell megmondania.
• Visszahívás. Ha egy ismerős új számról vagy szokatlan módon kér pénzt, hívd fel a régi, ismert számán.
• Nincs titok. Ha valaki azt kéri, hogy ne szólj senkinek, az önmagában elég ok a gyanúra.
• Egy megbízható ember. Legyen valaki a családban, akit bárki felhívhat, mielőtt egy gyanús üzenetre reagál.

Az Europol megelőzési útmutatói közérthető anyagokat kínálnak a leggyakoribb online csalásokról, amelyeket érdemes a családtagokkal is megosztani.

Gyakori kérdések

Baj, ha csak rákattintottam a linkre, de nem írtam be semmit?

Naprakész böngészővel és rendszerrel a puszta kattintás ritkán okoz kárt. Zárd be az oldalt, ne tölts le és ne engedélyezz semmit. Ha letöltődött valami, ne nyisd meg, és töröld.

Kaptam egy kódot SMS-ben, amit nem én kértem. Mit jelent?

Valaki megpróbált belépni a fiókodba, vagy regisztrálni a számoddal. A kódot ne add oda senkinek. Ha a kód egy meglévő fiókodhoz tartozik, érdemes ott jelszót cserélned.

Megbízhatok a hívószám-kijelzésben?

Nem. A megjelenő hívószám hamisítható, ezért az sem garancia, ha a bankod valódi száma látszik a kijelzőn.

Érdemes válaszolnom a csaló üzenetre?

Nem. A válasz csak azt igazolja vissza, hogy a címed vagy a számod él. Jelentsd adathalászként, tiltsd le a feladót, és töröld.

Hol jelenthetem be a csalást?

A pénzügyi csalást a bankodnál és a rendőrségen, az adathalász levelet a levelezőszolgáltatódnál, a hamis oldalt a böngésződ bejelentő funkciójával.

Összefoglalva

Az adathalászat nem a technikát, hanem a figyelmet támadja: sürget, megijeszt, vagy nyereménnyel kecsegtet, hogy gondolkodás nélkül cselekedj. A védekezés ezért szokásokon múlik. Ne a kapott linken lépj be, hanem magad nyisd meg az oldalt vagy az alkalmazást. Pénzügyi ügyben érkező hívásnál tedd le, és hívd vissza a szolgáltatót a hivatalos számán. Jóváhagyó kódot, jelszót és PIN-kódot soha ne adj meg senkinek.

A szokások mellé tedd oda a technikai védelmet: jelszókezelő, passkey, kétlépcsős azonosítás, alacsony banki limitek. Ezek akkor is megfognak, ha egyszer hibázol. Ha pedig megtörtént a baj, cselekedj azonnal, és ne szégyelld: a csalók profik, és bárkit megtéveszthetnek. További gyakorlati útmutatókat a Biztonság rovatban találsz.