Adathalászat: így ismerje fel a csaló üzeneteket

Csomagértesítő SMS érkezik, hogy a küldeményt csak egy kis díj befizetése után kézbesítik. Vagy e-mail a „bankjától”, hogy a fiókját lezárják, ha nem erősíti meg az adatait. Az üzenetek különbözőnek látszanak, de ugyanazt akarják: gyors reakciót, és olyan adatot, amelyet Ön egyébként nem adna ki. Ez az adathalászat, angolul phishing.

Ez az útmutató megmutatja, mit jelent az adathalászat, milyen formái vannak, miről ismerhető fel, mit tegyen azonnal, és kinek jelentse. A leírás a Magyar Nemzeti Bank (MNB) és a Kiberpajzs program, a Nemzeti Kiberbiztonsági Intézet (NKI), a rendőrség és a Magyar Posta hivatalos oldalaira épül. Általános tájékoztatás, nem személyre szabott jogi tanács.

Mi az adathalászat?

Az adathalászat olyan csalás, amelyben a csaló megbízható szervezetnek adja ki magát, és személyes, pénzügyi vagy biztonsági adatokat próbál megszerezni. A Kiberpajzs a phishinget adathalász banki e-mailként írja le, amely a címzettet jelszava vagy azonosítói megadására próbálja rávenni. Az MNB oldala szerint a megtévesztésen alapuló csalások régóta léteznek, a digitalizáció pedig csak új lehetőségeket adott az elkövetőknek. Míg a „nigériai” csalás eredetileg levélben működött, ma a legtöbb ilyen bűncselekmény online zajlik.

A módszer a csatornától függően más nevet kap:

• Phishing: adathalász e-mail, amely linket vagy mellékletet tartalmaz.
• Smishing: adathalász SMS. A Kiberpajzs szerint a csalók bankot, kártyakibocsátót, futárszolgálatot, közműszolgáltatót vagy más szolgáltatót képviselnek.
• Vishing: telefonos csalás, amelyben a hívó például banki alkalmazottnak adja ki magát.
• Hamis weboldal: a link olyan oldalra visz, amely szinte teljesen hasonlít a valódira, de az ott megadott adatokat a csalók kapják.

Nem a nevekre kell emlékeznie, hanem a mintára: váratlan megkeresés, sürgetés, és kérés, amelyet egyébként nem teljesítene.

Hogyan ismerheti fel az adathalász üzenetet?

Egyetlen jel sem bizonyít semmit. Nézze meg többet együtt. A Kiberpajzs és az MNB oldalai ezeket a jeleket emelik ki.

• Sürgetés és fenyegetés. Az adathalász e-mailek gyakran sürgetők, és büntetéssel fenyegetnek, ha nem válaszol. A smishingnél is jellemző a határidő és a fenyegető hangnem.
• Link, melléklet vagy alkalmazás. Az üzenet arra kéri, hogy nyisson meg egy linket, telepítsen alkalmazást, vagy hívjon fel egy számot. Az indok például fiókellenőrzés, frissítés vagy újraaktiválás.
• Bizalmas adat kérése. A banki oldal szerint a bank nem kér bizalmas adatot e-mailben. Az SMS-ben kért PIN-kódra vagy online banki jelszóra soha ne válaszoljon.
• Szokatlan melléklet. A Kiberpajzs példája a .zip fájl.
• Apró eltérés a feladó címében. Például a nulla és a nagy „O” betű összekeverése. Érdemes összevetni a bank korábbi, hiteles üzeneteivel.
• Nyelvi hibák. A furcsa fogalmazás, a helyesírási hibák és az értelmetlen részek is jelek lehetnek, de ezek hiánya nem bizonyítja, hogy az üzenet valódi.
• Felugró ablak. A meghamisított banki oldalaknál a Kiberpajzs szerint a valódi bankok nem használnak olyan felugró ablakot, amely banki adatokat kér.
• Ismerős szám. Az SMS ismerős számról is érkezhet, de ez nem jelent biztonságot, mert a csalók ismerősök telefonszámát és adatait is használhatják.

A jó fogalmazás nem bizonyíték

Sokan a nyelvtani hibákat keresik. Ez nem elég. A csalók a valódi bankok logóját, kinézetét és stílusát másolják, néha korábbi levélváltások részleteit is felhasználják. A kérdés tehát ne az legyen, hogy jól van-e megírva az üzenet, hanem az, hogy mit kér Öntől.

Mobilon nehezebb észrevenni

A Kiberpajzs figyelmeztet, hogy mobil eszközön nehezebb felismerni a csalást, mert a hivatkozások nem nézhetők meg előre, és a kis kijelzőn kevesebb részlet látszik. A meghamisított banki oldalak leírása szerint a link hosszan nyomva tartva megtekinthető. Ha a cím gyanús, ne nyissa meg.

A hivatkozás és a küldő ellenőrzése

A legbiztonságosabb módszer az, ha az üzenet linkjét egyáltalán nem használja.

1. Gépelje be a címet kézzel. A Kiberpajzs szerint a bank weboldalának címét gépelje be, vagy használja a mentett, hivatalos oldalt. A banki bejelentkezési címet a böngésző könyvjelzőjében is elmentheti, és csak onnan léphet be.
2. Használja a bank mobilalkalmazását, ha van ilyen. A figyelmeztetéseket a bank az online banki felületen vagy a banki alkalmazásban küldi.
3. Nézze meg a link valódi címét. Számítógépen vigye az egeret a link fölé: a link szövege más címre mutathat, mint amit a mutató mutat. Mobilon nyomja hosszan a linket.
4. Ellenőrizze a küldőt más úton. SMS esetén a Kiberpajzs azt javasolja, hogy keresse rá a számot az interneten, vagy vesse össze a szervezet hivatalos telefonszámával.
5. Ne a hívó vagy az üzenet által megadott számot használja. Ha vissza kell hívnia valakit, a számot a szervezet hivatalos weboldaláról keresse ki.
6. Tartsa naprakészen a böngészőt, a vírusirtót és az operációs rendszert.

A Magyar Posta oldalán is ugyanez a gyakorlat szerepel: a hivatalos Posta-címek nem „.com” végződésűek, és a Posta nem küld értesítést külföldi számról. A hivatalos oldalon a küldeménykódot beírva követheti a csomagját. A link fölé vitt egérrel ellenőrizze, hogy a posta.hu tartományra mutat-e.

A leggyakoribb helyzetek

Hamis banki SMS vagy e-mail. A csalók a bank nevében fiókellenőrzést, frissítést vagy újraaktiválást kérnek. A link a hamis banki oldalra visz, amely bejelentkezést vagy adatmegadást kér. A megadott adatokkal a csalók hozzáférnek a számlához. Részletek: csaló SMS: mit tegyen, ha rákattintott.

Hamis banki telefonhívás. A vishing esetében a csaló banki alkalmazottnak adja ki magát, és azt állítja, hogy az Ön számláján hiba történt, vagy csalásgyanú merült fel. A Kiberpajzs szerint a kijelzett szám sem garancia a hitelességre, és az sem bizonyít semmit, hogy a hívó ismeri az Ön adatait. Lépések: hamis banki hívás (vishing): mit tegyen?.

Csomag- és szolgáltatói üzenet. A Magyar Posta tájékoztatása szerint a csalók csomag átvételéhez kérnek címet vagy elérhetőséget, vagy vámdíj, illetve kézbesítési díj befizetését. A Posta nem kér címet telefonon vagy e-mailben webshop-rendelés kiszállításához: ezt a webshop kéri a rendeléskor. A Kiberpajzs szerint a közmű-, telekommunikációs, kábeltelevíziós és futárszolgálatok, valamint az online piacterek nevével is visszaélnek.

Online piactér. Eladóként is célpont lehet. A Kiberpajzs szerint a „vevő” távoli hozzáférést biztosító program telepítését kérheti (például AnyDesk vagy TeamViewer), vagy linkre kattintatja az eladót, hogy „fogadja” az összeget. Eladóként nem kell se utalnia, se programot telepítenie: csak pénzt fogad.

Hamis jóváhagyási kérés. A csaló megszerzi a jelszavát, belépést vagy utalást kezdeményez, és Ön a telefonján jóváhagyja a második lépést. A Kiberpajzs fő szabálya: soha ne hagyjon jóvá ismeretlen kérést. Jóváhagyás előtt nézze meg a műveletet, az összeget és a címzettet.

Lándzsás adathalászat. A Kiberpajzs szerint ez célzott csalás, amelyben a támadók nyilvánosan elérhető adatokból részletes profilt készítenek a leendő áldozatról, és személyre szabott üzenetet írnak, például a célszemély nevét vagy munkahelyét használva. Gyakorisága növekszik, mert a csalók egyre több személyes adathoz jutnak közösségi médiából és más online felületekről.

Mit tegyen, ha gyanús üzenetet kap?

Haladjon sorrendben. Az első lépések nem kerülnek pénzbe, és csak néhány másodpercet vesznek igénybe.

1. Ne kattintson a linkre, és ne nyissa meg a mellékletet. A Kiberpajzs és a bank is ezt javasolja a kéretlen levelekre. A gyanús e-mailre ne válaszoljon.
2. Ne adjon meg semmilyen adatot. PIN-kódot, CVV-kódot, online banki jelszót és egyszer használható kódot a bank soha nem kér.
3. Ellenőrizze az üzenetet másik úton. Nyissa meg a szolgáltató hivatalos oldalát vagy alkalmazását, ahol a bankjának vagy szolgáltatójának tényleges üzenetei megtalálhatók. Telefonon a hivatalos számot hívja.
4. Jelentse a bankjának. A Kiberpajzs szerint a gyanús levelet jelentse a bankjának. Ha kétsége van, hívja fel a bankot a hivatalos számon.
5. Tegye félre, ha jelentés várható. Ha már reagált az üzenetre, ne törölje: bizonyíték lehet a feljelentésnél.
6. Ne siessen. A smishing leírása szerint szánjon időt az ellenőrzésre, akármennyi idő is megy el vele.

Ezekhez nem kell műszaki tudás. Akkor is működnek, ha a csalás gondosan készült.

Szeretné látni, mi látható Önről nyilvánosan, például egy gyanús üzenet után? A csalók néha már nyilvános adatokat használnak, hogy az üzenet hihetőbbnek tűnjön. A Remove Me ingyenes elemzést készít regisztráció nélkül. Nyilvánosan elérhető forrásokban, ismert adatszivárgásokban (a Have I Been Pwned szolgáltatáson keresztül) és az adatkereskedői nyilvántartásban keres. Az e-mailben kapott hatjegyű kód nyitja meg a jelentést. A Remove Me egyelőre nem küld törlési kérelmeket az Ön nevében. Indítsa el az ingyenes elemzést.

Mit tegyen, ha rákattintott vagy megadta az adatait?

Ez bárkivel előfordulhat, és nincs ok szégyenkezni. Az, hogy mit tegyen, attól függ, mit adott meg.

Megnyitotta a linket, de nem adott meg semmit. A Magyar Posta tanácsa szerint zárja be az oldalt, és ne folytassa a műveletet. Ne adjon meg rajta adatot, és ne töltsön le róla alkalmazást.

Megadta a banki vagy kártyaadatait. Az MNB lépéseit érdemes sorrendben követni:

1. Cselekedjen azonnal. A banki oldal szerint ez akkor is érvényes, ha csak gyanú van, és a csalás ténye még nem bizonyított.
2. Értesítse a bankját vagy szolgáltatóját. A Kiberpajzs szerint telefonon hívja a számlavezető bankját, a számot a bank hivatalos honlapján keresse meg. Ne hívja vissza azt a számot, amelyről az állítólagos bankos hívta.
3. Ellenőrizze a számlaforgalmat és a tranzakciós előzményeket.
4. Nézze meg, hogy a bankjánál rögzített telefonszám és e-mail-cím nem változott-e. A Kiberpajzs szerint ezeket a visszaélők megváltoztathatták.
5. Ellenőrizze a bankoláshoz használt eszközöket. Futtasson vírusellenőrzést, és keressen ismeretlen alkalmazásokat vagy távoli hozzáférést biztosító programokat (például AnyDesk). Az idegen programokat távolítsa el, szükség esetén kérjen informatikus segítséget.
6. Változtassa meg a banki belépési adatait biztonságos eszközről vagy csatornáról. Az MNB példája a telebank. Ha idegen szoftver került az eszközre, az azon használt jelszavakat is cserélje le.
7. Mérlegelje a bankkártya felfüggesztését vagy letiltását. A Kiberpajzs szerint ez a mobilbanki alkalmazásban is elvégezhető.

Megadta a jelszavát. Változtassa meg, és ha ugyanazt használta máshol is, ott is. A lándzsás adathalászatról szóló oldal erős jelszót és többfaktoros azonosítást javasol.

Ne töröljön, ne nyomozzon

Az MNB és a Kiberpajzs egyaránt figyelmeztet: ne kezdjen saját nyomozásba, és ne törölje vagy módosítsa az eszköz adatait, mert azok bizonyítékként szolgálhatnak. Ha a nyomozóhatóság munkáját szeretné segíteni, ne használja tovább az eszközt, és válassza le minden hálózatról.

Mit ne tegyen egy gyanús üzenet után?

A sietség a csalók legfőbb szövetségese, ezért a „ne” lista legalább olyan fontos, mint a teendők.

• Ne hívja vissza a számot, amelyről a „bankja” hívta. A Kiberpajzs szerint az ellenőrzéshez ne a hívó által megadott számot használja, mert az hamis lehet.
• Ne telepítsen programot mások kérésére. A vishing leírása szerint a „vírusvédelmi” vagy más „biztonsági” programok gyakran távoli hozzáférést adnak a csalónak.
• Ne utaljon pénzt telefonos kérésre. A bank ilyet nem kér.
• Ne hagyjon jóvá olyan kérést, amelyet nem Ön indított. Ez a hamis tranzakció-jóváhagyásokról szóló oldal legfontosabb szabálya.
• Ne bízzon abban, hogy a hívó ismeri az adatait. A csaló a közösségi médiából vagy más forrásból is szerezhet információt.
• Ne titkolózzon. Ha egy ajánlat „csak Önnek” szól, és azt kérik, hogy ne beszéljen róla senkinek, az a Kiberpajzs szerint a hamis befektetési ajánlatok egyik jele. Beszélje meg valakivel, akiben megbízik.

Munkahelyi adathalászat

A Kiberpajzs két munkahelyi csalástípust külön említ: a hamis vezetői utasítást e-mailben vagy telefonon, valamint a hamis ügyfelet vagy beszállítót. Az MNB oldala szerint ilyenkor a csalók általában nem a dolgozót akarják megkárosítani, hanem a munkahelyi adatokhoz férnek hozzá rajta keresztül. Ha a munkahelyén szokatlan fizetési vagy adatkérés érkezik, a kérést mindig ellenőrizze másik úton, például a küldő ismert számán vagy egy kollégától. A munkahelyi szabályokat és a saját cég belső bejelentési rendjét tartsa be.

A Kiberpajzs a csalástípusok között felsorolja a hamis wifi-hálózatot (evil twin), a rosszindulatú kód telepítését, a QR-kódos csalást és a közösségi médiában történő hamis ügyintézést (angler phishing) is. Ezeknek a részleteit itt nem ismertetjük, de a lista jól mutatja: az adathalászat nem csak e-mailből és SMS-ből áll, ezért a „ne kattintson, ne adjon meg adatot, ellenőrizze másik úton” alapszabály minden csatornán érvényes.

Hova jelentse az adathalászatot?

A sorrend számít. A Kiberpajzs szerint a számlavezető bank az első lépés, mert a bank köteles kivizsgálni az esetet. Ha Ön jóváhagyta a tranzakciót, vagy súlyos gondatlanság történt, a bank mentesülhet a kártérítés alól, ezért érdemes minél hamarabb jelezni.

1. A számlavezető bank. A számot a bank hivatalos honlapján keresse meg.
2. A rendőrség. Az MNB szerint haladéktalanul tegyen személyes feljelentést a lakhelye szerint illetékes rendőrkapitányságon, és ha lehet, vigye magával az érintett eszközt és a bizonyítékokat. Feljelentést akkor is érdemes tenni, ha kár nem keletkezett. A Kiberpajzs szerint a bankkal való egyeztetés után a 112 is hívható. A rendőrség oldala szerint feljelentést szóban, írásban, ügyfélkapun vagy az e-Papír űrlapon (epapir.gov.hu) is lehet tenni, és a rendőrség a beérkezéstől számított három munkanapon belül vizsgálja meg, hogy elrendelje-e a nyomozást. A Telefontanú anonim vonala a +36-80/555-111 zöld szám, de ez bejelentésnek számít, nem feljelentésnek.
3. A Nemzeti Kiberbiztonsági Intézet (NKI). Az MNB oldala szerint az incidens az NKI-nak is bejelenthető. A nki.gov.hu kapcsolati oldalán az incidensbejelentés a nap 24 órájában elérhető: telefonon a +36 (1) 336 4833 és a +36 (30) 344 0704 számon, az incidens.nki.gov.hu űrlapon, vagy a CSIRT@nki.gov.hu címen. Anonim bejelentéshez a hacker@nki.gov.hu cím áll rendelkezésre.
4. Internetes forródrótok. Az MNB a biztonsagosinternet.hu és az internethotline.hu oldalt is felsorolja.
5. Áldozatsegítés. A Magyar Posta tájékoztatása szerint az áldozatsegítő forródrótnál 0–24 órában lehet tanácsot kérni a 06 80 225 225 számon.

Ha a csalás a Magyar Posta nevében történt, a Posta szerint kár esetén lehetőleg még a kézbesítés napján jelentse a fogyasztóvédelmi hatóságnál. Az NKFH (Nemzeti Kereskedelmi és Fogyasztóvédelmi Hatóság) a jogsértő weboldalak listáját is közzéteszi (nkfh.gov.hu/jogserto-weboldalak).

Hogyan csökkentheti a célzott támadások esélyét?

A lándzsás adathalászat azért veszélyes, mert a csalók valódi adatokat használnak. A Kiberpajzs védekezési javaslatai ezért a nyilvánosan látható információkra vonatkoznak:

• Nézze át a közösségi médiás profiljait a csalók szemszögéből. Törölje a visszaélésre alkalmas adatokat: pontos születési dátum, telefonszám, személyes e-mail-cím, lakcím, banki adatok, gyermekei adatai, érzékeny munkahelyi információk.
• Állítsa privátra a profilt, és csak megbízható ismerősöknek engedélyezze a megtekintést.
• Korlátozza a posztok láthatóságát, és kerülje a helymegosztást.
• Utazás előtt ne tegye közzé a repülőjegyeket, a szállásfoglalási adatokat és a részletes útitervet.
• Használjon erős jelszót és többfaktoros azonosítást.
• Gondolja meg, milyen fotókat és információkat oszt meg. A csalók ezekből hamis személyazonosságot hozhatnak létre.

Az adathalászatnál tágabb képet a csalásról szóló útmutató ad, a hamis hívószámokról pedig a hívószám-hamisításról szóló cikk szól. Ha a személyes adatai már kiszivárogtak, a mit tegyen adatszivárgás esetén útmutató segít a következő lépésekben. Ha pedig a visszaélés a személyazonosságát érinti, lásd a személyazonosság-lopásról szóló cikket.

A bank teendői és az Ön teendői

Hasznos egyszerű szabályt megjegyezni. A bankok az online banki felületen vagy a mobilalkalmazásban kommunikálnak, bizalmas adatot nem kérnek e-mailben, SMS-ben vagy telefonon, pénz átutalását sem kérik telefonon. Aki PIN-kódot, CVV-kódot, online banki jelszót vagy egyszer használható kódot kér, az nem a bank. Mindegy, mennyire meggyőzően beszél, és mennyi adatot ismer Önről.

A bank további védelmi eszközöket is kínálhat. A Kiberpajzs a hamis webáruházakról szóló oldalán biztonsági tranzakciófigyelési szolgáltatást, napi és tranzakciós limitet említ, amelyeket a bankjánál kérhet vagy állíthat be. Hogy ezek az Ön bankjánál pontosan hogyan érhetők el, azt a bank oldalán vagy az ügyfélszolgálaton tudhatja meg.

Ha bizonytalan, az MNB ügyfélszolgálata e-mailben is elérhető az ugyfelszolgalat@mnb.hu címen.

Források

• MNB: Teendők adathalász csalás esetén
• MNB: Az adathalász csalások legjellemzőbb típusai
• Kiberpajzs: Csalástípusok
• Kiberpajzs: Adathalász banki e-mail (phishing)
• Kiberpajzs: Hamis banki SMS (smishing)
• Kiberpajzs: Hamis banki telefonhívás (vishing)
• Kiberpajzs: Meghamisított banki oldalak
• Kiberpajzs: Lándzsás adathalászat
• Kiberpajzs: Bejelentést szeretnék tenni
• Kiberpajzs: Visszaélés áldozata lettem
• NKI: Kapcsolat és incidensbejelentés
• Rendőrség: Mit tegyek?
• Magyar Posta: Adathalász levelek és SMS-ek a Magyar Posta nevében