Csaló SMS: mit tegyen, ha rákattintott a linkre?

„Csomagja átvételre vár, kattintson ide.” „A NAV adóvisszatérítést utal, erősítse meg az adatait.” „Bankkártyáját zároltuk.” Az SMS rövid, sürgető, és a link mögött gyakran hamis oldal vár. Ha Ön már rákattintott, vagy esetleg adatot is megadott, nem kell pánikba esnie: néhány lépéssel csökkentheti a kárt.

Az útmutató a Kiberpajzs, a Magyar Posta, a NAV, az MNB, a rendőrség és az NKI hivatalos oldalaira épül. Általános tájékoztatás, nem személyre szabott jogi tanács.

Mit tegyen, ha rákattintott a csaló SMS linkjére?

Attól függ, meddig jutott.

Csak megnyitotta a linket. A Magyar Posta tanácsa szerint ha már rákattintott, ne folytassa a műveletet, és zárja be az oldalt. Ne adjon meg rajta semmit, és ne töltsön le róla alkalmazást.

Megadta a banki vagy kártyaadatait.

1. Hívja telefonon a számlavezető bankját, és kérje a belépési adatok, illetve a kártya letiltását. A számot a bank hivatalos honlapján keresse meg. A Kiberpajzs oldala szerint ez az első lépés.
2. Ellenőrizze a számlaforgalmat, és a bankjánál beállított értesítési telefonszámot és e-mail-címet. Az MNB szerint ezeket a visszaélők megváltoztathatták.
3. Változtassa meg a belépési adatait biztonságos eszközről, és fontolja meg a kártya felfüggesztését vagy letiltását.
4. Tegyen bejelentést a rendőrségen. Az MNB szerint feljelentést akkor is érdemes tenni, ha kár nem keletkezett.

Megadott jelszót. Változtassa meg, és ha máshol is ugyanazt használta, ott is.

Telepített egy alkalmazást. Az MNB szerint futtasson vírusellenőrzést, és keressen ismeretlen alkalmazásokat vagy távoli hozzáférést biztosító programokat. Az idegen programokat távolítsa el, és szükség esetén kérjen informatikus segítséget.

Ne töröljön és ne módosítson adatokat az eszközön, és ne kezdjen saját nyomozásba, mert azok bizonyítékként szolgálhatnak.

Hogyan ismerheti fel a csaló SMS-t?

A Kiberpajzs szerint a smishing, vagyis a hamis banki SMS jelei:

• sürgetés, határidő vagy fenyegető hangnem;
• link, melléklet vagy kép megnyitására, alkalmazás telepítésére vagy visszahívásra szólít fel;
• fiók ellenőrzésével, frissítésével vagy újraaktiválásával kapcsolatos indok;
• PIN-kódot, online banki jelszót vagy más biztonsági azonosítót kér;
• ismerős számról érkezik. Ez önmagában nem jelent biztonságot, mert a csalók ismerősök telefonszámát és adatait is használhatják.

A csalás három lépésben épül fel: megbízható szolgáltatónak álcázott, sürgető üzenet érkezik; arra kéri, hogy nyisson meg egy linket, telepítsen alkalmazást vagy hívjon fel egy számot; a link hamis weboldalra visz, a telefonszámon pedig csaló jelentkezik, aki a cég munkatársának adja ki magát.

Az SMS-ek nem csak bankokat utánoznak. A Kiberpajzs szerint a csalók közmű-, telekommunikációs, kábeltelevíziós vagy csomagküldő/futárszolgálatnak, illetve online piactérnek is kiadhatják magukat. Gyakori ürügyek az adategyeztetés, a fizetési késedelem vagy hátralék befizetésére szóló felszólítás és a csomag átvételi határidejének hosszabbítása.

Csomagértesítő SMS: mire figyel a Posta?

A Magyar Posta 2025. szeptember 29-i tájékoztatása szerint a csalók a Posta nevében e-mailben, SMS-ben, telefonon vagy közösségi médiában keresik meg az embereket. Csomag átvételéhez kérnek címet vagy elérhetőséget, vagy vámdíj, illetve kézbesítési díj befizetését. A linkek gyakran „Kattints ide” vagy „Fizessen online” feliratúak, és adathalász oldalra vagy kártékony szoftver telepítésére vezethetnek.

A Posta tanácsai:

• ne kattintson a linkekre, és ne adjon meg semmilyen adatot;
• webshop-rendelés kiszállításához a Posta nem kér címet telefonon vagy e-mailben, ezt a webshop kéri a rendeléskor;
• ellenőrizze a feladó teljes e-mail-címét vagy telefonszámát: a hivatalos Posta-címek nem „.com” végződésűek, és a Posta soha nem küld értesítést külföldi számról;
• vámdíj-értesítést a Posta csak nemzetközi küldeménynél küld, mindig a hivatalos vám-oldalra mutató linkkel;
• a nyomkövetéshez a posta.hu oldalon adja meg a küldeménykódot;
• a figyelmeztető jelek: sürgető vagy fenyegető hangnem, helyesírási hibák, személyes vagy bankkártyaadatok kérése, titkolózás és a „vámmentesség” ígérete.

Ha Ön csomagot vár, a státuszt mindig a szállító hivatalos oldalán vagy alkalmazásában nézze meg, ne az SMS linkjén.

NAV-nak álcázott SMS

A NAV 2026. február 5-i tájékoztatása szerint a NAV nevében, a hivatal színeivel és arculati elemeivel készült e-mailek és SMS-ek adóvisszatérítést ígérnek, a tartozás azonnali kifizetésére szólítanak fel, vagy azt állítják, hogy a számlát zárolták. A feladó e-mail-címe vagy a megadott honlap gyakran nem egyezik a nav.gov.hu címmel.

A NAV szerint a hivatal nem küld e-mailben vagy SMS-ben tájékoztatást adótartozásról, annak rendezéséről vagy adóvisszatérítésről. Akik DÁP-os vagy Ügyfélkapu+-os regisztrációval rendelkeznek, a tárhelyükre kapnak üzenetet, a nem regisztráltakat pedig postai levélben értesítik. Ha bizonytalan, az üzenet tartalmát hivatalos csatornán, például a NAV tárhelyén ellenőrizze, és ne az üzenetben megadott elérhetőségeken. A NAV egy korábbi, 2025. márciusi tájékoztatója szerint a hivatalos oldal a nav.gov.hu, és a NAV nem kér bizalmas adatot (például jelszót, belépési vagy bankkártyaadatot) SMS-ben vagy e-mailben.

Hogyan védekezzen megelőzésül?

A Kiberpajzs smishingről szóló oldala ezeket javasolja:

1. Ne kattintson kéretlen üzenetekben kapott linkekre, mellékletekre vagy képekre, amíg nem ellenőrizte a küldőt.
2. Ellenőrizze a küldőt. Keresse rá a számot az interneten, vagy vesse össze a bank hivatalos telefonszámával.
3. Ne siessen. Szánjon időt az ellenőrzésre, akármennyi idő is megy el vele.
4. Soha ne válaszoljon olyan SMS-re, amely PIN-kódot, online banki jelszót vagy más biztonsági azonosítót kér.
5. A szolgáltatót saját forrásból keresse meg, például a könyvjelzőbe mentett hivatalos oldalon, és ne a hívó vagy az üzenet által megadott számot használja.
6. Csak hivatalos alkalmazásboltból telepítsen alkalmazást, és ne telepítsen távoli hozzáférést biztosító programot senki kérésére.

Ha a csalók telefonon is jelentkeznek, lásd a hamis banki hívásról (vishing) szóló cikket. Ha már megadta a banki adatait, a bank és a hozzáférések teendőit az adathalászat utáni lépések írják le. A hatóságok nevében küldött üzenetekről a NAV, Ügyfélkapu és Posta nevében érkező hamis üzenetekről szóló cikkben olvashat. A szélesebb körű áttekintést a csalásról szóló útmutató adja.

További alapszabályokat az adathalászatról szóló útmutatónkban talál.

Szeretné látni, mi látható Önről nyilvánosan, például egy gyanús SMS után? A csalók néha már nyilvános adatokat használnak, hogy az üzenet hihetőbbnek tűnjön. A Remove Me ingyenes elemzést készít regisztráció nélkül. Nyilvánosan elérhető forrásokban, ismert adatszivárgásokban (a Have I Been Pwned szolgáltatáson keresztül) és az adatkereskedői nyilvántartásban keres. Az e-mailben kapott hatjegyű kód nyitja meg a jelentést. A Remove Me egyelőre nem küld törlési kérelmeket az Ön nevében. Indítsa el az ingyenes elemzést.

Hova jelentse?

• Számlavezető bank: ha banki adatot adott meg, az első lépés.
• Rendőrség: a rendőrség oldala szerint feljelentést szóban, írásban, ügyfélkapun vagy az e-Papír űrlapon (epapir.gov.hu) lehet tenni, a rendőrség pedig három munkanapon belül vizsgálja meg, hogy elrendelje-e a nyomozást. Azonnali veszély esetén a 112 hívható.
• Fogyasztóvédelmi hatóság: a Posta szerint kár esetén lehetőleg még a kézbesítés napján jelentse; az NKFH (Nemzeti Kereskedelmi és Fogyasztóvédelmi Hatóság) a jogsértő weboldalak listáját is közzéteszi (nkfh.gov.hu/jogserto-weboldalak).
• NKI: informatikai biztonsági incidens a nap 24 órájában bejelenthető az incidens.nki.gov.hu oldalon, a CSIRT@nki.gov.hu címen vagy telefonon. Anonim bejelentéshez a hacker@nki.gov.hu cím áll rendelkezésre.
• Áldozatsegítő forródrót: a Posta szerint 0–24 órában lehet tanácsot kérni a 06 80 225 225 számon.

Források

• Kiberpajzs: Hamis banki SMS (smishing)
• Kiberpajzs: Nem banki szolgáltatók nevével történő visszaélés (SMS)
• Magyar Posta: Adathalász levelek és SMS-ek a Magyar Posta nevében
• NAV: Ne legyen adathalászok áldozata
• NAV: Hamis üzenetek a NAV nevében
• MNB: Teendők adathalász csalás esetén
• Rendőrség: Mit tegyek?
• NKI: Kapcsolat és incidensbejelentés