Az adathalász csalók találékonysága kimeríthetetlen

Az unokázós csalások idején elég volt az éber nagyitól egy telefon, és máris kiderült a turpisság. Most már az adathalászok nagyon rafináltan igyekeznek álcázni magukat, és valljuk be őszintén, gyakorta sikerrel.

A Nemzetbiztonsági Szakszolgálat bár mindent megtesz, hogy leleplezzék az adatainkra és ezen keresztül a pénzünkre pályázókat, de talán itt az ideje, hogy minél többen megtudjuk, mire nem árt fokozottan odafigyelni, mielőtt gyanútlanul lépre csalnak minket. 

A korábbi években a támadások a szemfüles felhasználók számára könnyebben felismerhető, gyanús jeleket tartalmaztak, napjainkban azonban a támadások komplexek és sokkal inkább célzottak, a csalók jobban kihasználják a napi aktualitásokat, legyen az egy bank technikai leállása vagy egy népszerű online streamingszolgáltató felhasználási feltételeinek változása – mondta lapunknak Simon Edina Tünde, a Nemzetbiztonsági Szakszolgálat szóvivője. A naprakész tartalmú támadással pedig hihetőbbé teszik a csaló üzenetet.

Az elmúlt néhány hétben például újra aktivizálódni látszik a régebben is tapasztalható Facebook-fiók-lopás technikája. A felhasználó kap az egyik ismerősétől egy kétségbeesett Messenger-üzenetet.

Amennyiben az ember jóhiszeműen eleget tesz a kérésnek, perceken belül azt tapaszthatja, hogy kizárták a saját fiókjából. A megadott kód ugyanis valójában a saját profilhoz tartozó biztonsági kód volt, amellyel könnyen feltörhetik a fiókot. Az ismerős, aki látszólag küldte az üzenetet, már áldozatul esett a csalónak, így az ő nevében írhatott megtévesztő üzenetet. Az online bűnöző egyszerűen jelszó-visszaállítást kért az adott profilban megadott telefonszámra, így érkezhetett az SMS.

Megelőzés, megelőzés, megelőzés

Az Identity Theft Resource Center 2022-es felmérése megdöbbentő képet fest a közösségi fiókok elleni támadásokról: 2021-hez képest globálisan 1000 százalékkal nőtt a fiókfeltöréses esetek száma. A megkérdezettek

• Instagram-fiókjának 85 százalékát,
• Facebook-fiókjának egynegyedét törték fel,
• az áldozatok 70 százaléka pedig sosem fér hozzá többé a profiljához.

A támadók ráadásul az esetek többségében hónapokon át használták az áldozat profilját, miközben annak ismerőseit, barátait is megpróbálták átverni.

Ezek döbbenetes számok. A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézethez is gyakran érkezik olyan lakossági bejelentés, amiben a felhasználók kétségbeesve kérnek segítséget, mert valaki kizárta őket a Facebook-fiókjukból.

Sajnos egy ilyen helyzetben a legjobb szándék ellenére sincs érdemi lehetőség a segítségre. Az érintett egyetlen esélye, hogy jelenti a Facebooknak, hogy a fiókját illetéktelenek használják. Azzal azonban érdemes számolni, hogy hetek vagy akár hónapok is eltelhetnek, mire választ kapunk a kérésünkre, és arra sincs garancia, hogy végül visszakapjuk a fiókunkat.

A megoldás az, hogy járjunk mindig egy lépéssel a támadók előtt:

• Minden fontos felhasználói fiókunkhoz használjunk erős (egyedi és minél hosszabb, kis- és nagybetűket, számokat és speciális karaktereket is tartalmazó) jelszavakat, amit sose osszunk meg mással
• Alkalmazzuk a kétfaktoros azonosítást
• Kezeljük gyanakvással a közösségi oldalakon, e-mailben vagy SMS-ben érkező megkereséseket, amelyek valamilyen interakciót, például linkek megnyitását vagy személyes adatok megadását kérik tőlünk
• Kezeljük óvatosan a hirdetéseket

Gyakran az ismerősök jelzik, hogy valami nincs rendben, például olyan Facebook-posztokra, üzenetekre hivatkoznak, amelyeket nem mi küldtünk.

Előfordulhat, hogy kapunk egy zsaroló e-mailt, amiben azt állítja a feladó, hogy hozzáfért a fiókunkhoz. Ez legtöbbször csak blöff, például egy kiszivárgott jelszavunkat küldik el e-mailben. Az ilyen megkeresésekre nem javasolt reagálni, azonban ha hozzáférünk a profilunkhoz, ajánlott lecserélni a jelszót.

Amennyiben már nincs hozzáférésünk a fiókhoz, jelezzük a platform üzemeltetőinek, hogy a fiókot illetéktelen személy használja.

Sokba kerülhet, ami olcsó

Az elmúlt időszakban számos bejelentést kaptunk a használt cikkek piacon jelentkező csalásokkal kapcsolatban. Többféle típussal is találkozhatunk. Az ilyen jellegű megtévesztésekben az a közös, hogy az eladói oldalt célozzák meg, még pedig úgy, hogy a pénz fogadásához valamilyen további teendőt várnak tőlük.

Volt már rá példa, hogy az eladó eleget tett a kérésnek, majd szépen végignézte, ahogyan belépnek a bankfiókjába, még a kétlépcsős azonosítás feloldásában is segédkezett, ezt követően kizárták a saját bankfiókjából. 

A másik tipikus esetben a vevő egy üzenetet vagy egy linket kap, amelyben arról tájékoztatják, hogy a termékét kifizették, neki már csak fogadnia kell az összeget. Ha rákattint a linkre, akkor egy olyan phishing oldalon találja magát, ahol ki kell választania a bankját, és megadni a belépési adatokat. 

Mivel a phishing oldal a valódi banki oldalnak közvetíti az adatokat, megkapja a második fázisú bejelentkezési kódokat, amelyet a phishing oldalon az áldozat begépel. Így az elkövetők már bent is vannak a bankszámláján.

A Nemzetbiztonsági Szakszolgálat (NBSZ) szerint a fenti esetekből levonható tanulság az, hogy a pénz fogadásához soha nem szükséges semmilyen további program. Akinek nem elég az utaláshoz a nevünk és a bankszámlánk száma, azzal ne akarjunk üzletet kötni.

Egyre nehezebb kiszűrni a csalókat

A csalásokat egyre nehezebb kiszűrni, mivel az elkövetők egyre összetettebb és kifinomultabb technikákat használnak, másrészt olyan nagy számban fordulnak elő az online térben, hogy az ember figyelme könnyen elfárad. Az NBSZ azt javasolja, mindenki tartsa szem előtt az alábbi tanácsokat:

• Amennyiben e-mailben érkezik a csaló tartalom, mindig vegyük alaposan szemügyre a küldő e-mail-címét
• Ha többnyire privát e-mail-címet vagy egy hivatalos e-mail-címre megtévesztésig hasonlító (de nem azonos) címet látunk
• Nézzük meg a levél tárgyát! Ha a levél tárgyában nem hivatalos, hanem sürgető vagy éppen fenyegető jellegű (azonnal olvasd el, ez egy fontos üzenet stb.), legyen gyanús számunkra
• Az üzenetben alkalmazott megszólítás szokatlansága
• Túlzottan általános, például nem szerepel benne a címzett neve („Tisztelt Ügyfelünk”)
• Szembeötlő lehet a szöveg nyelvezete is
• Sok esetben magyartalanok és helyesírási hibákat tartalmaznak a csaló üzenetek
• Mindig nézzük meg, milyen oldalra visz az abban található link
• Általában a link csupán látszólag hasonlít az eredeti oldal címére, kattintás után azonban a címsorban teljesen más jelenik meg

Amennyiben telefonra vagy a közösségi média felületén szöveges üzenetben érkezik a csaló tartalom, legyünk gyanakvóak, ha: olyan szolgáltató, bank vagy más hivatalos cég nevében küldték ki, amellyel nem állunk kapcsolatban, vagy bármiféle előzmény nélkül kapunk ajándékot, nyereményt, vagy kérnek tőlünk személyes, esetleg szenzitív adatokat (kódokat, jelszavakat).

 Nem kell mindenre kattintani

A sikeres védekezés egyik módja lehet, ha nem kattintunk kéretlen szöveges üzenetekben érkezett hivatkozásokra, mellékletekre vagy képekre a küldő személyazonosságának ellenőrzése nélkül.

• Az ellenőrzéshez az sem árt, ha rákeresünk a számra az interneten, vagy hasonlítsuk össze a számot az érintett szervezet hivatalos telefonszámával
• Ne hagyjuk, hogy sürgessenek minket
• Realizáljuk a kapott üzenet tartalmát
• Gondoljuk végig higgadtan az üzenet tartalmát, ne cselekedjünk hirtelen felindulásból
• Gondolkozzunk, mielőtt kattintunk
• Kérdezzünk

Nem árt, ha tisztázzuk magunkban, az üzenet mennyire valósághű. Elképzelhető, hogy az adott szolgáltatásnak vagy banknak nem is vagyunk az ügyfelei, vagy egy olyan szolgáltatótól kaptunk sms-t, ahol korábban nem adtuk meg a telefonszámunkat. 

Ami nagyon árulkodó lehet, hogy ha nem is rendeltünk semmit, akkor mégis hogyan érkezhetne csomagunk? Az ehhez hasonló kérdéseket cselekvés előtt érdemes átgondolni.

Amennyiben nem tudjuk eldönteni egy üzenet valóságtartalmát, vegyük fel a kapcsolatot a küldővel. Keressük fel például a szolgáltatónk, a bankunk vagy a hivatkozott csomagküldő szolgálat hivatalos honlapját, esetleg hívjuk fel őket a hivatalos telefonszámukon. Amennyiben egy közösségi oldalon privát üzenetet kapunk egy ismeretlentől, hagyjuk figyelmen kívül. Azonban, ha egy ismerőstől, kérdezzünk vissza, hívjuk fel a linkre kattintás előtt, így győződhetünk meg a megkeresés igazságtartalmáról.

Ha megtörtént a baj

Amennyiben adathalász támadás célpontjává váltunk, jelezzük ismerőseinknek, ezzel segítve az ő online biztonságukat. Ha az adathalász üzenetre kattintva megadtuk banki adatainkat, haladéktalanul vegyük fel a kapcsolatot a számlavezető bankunkkal, és tegyünk feljelentést a rendőrségen! Az egymás iránti felelősség fontos, így annak érdekében, hogy másokat is megóvjon, jelentsük a csirt@nki.gov.hu e-mail-címre küldött levélben is.

Az NBSZ szerint a technológia rohamos fejlődése miatt számítani kell ezen a területen is változásra. A deepfake megjelenése és népszerűségének fokozódása minden bizonnyal új szintre hozza majd az ember elleni támadásokat. Nemcsak az átverések hitelességének javulására, hanem a támadások számának megnövekedésére is érdemes számítani. Már most is látható az a trend, hogy a csalók nem technikailag támadják a rendszereket, hanem a leggyengébb elemét, az embert próbálják meg kijátszani. Ez a trend a jövőben várhatóan még inkább felerősödik majd.

(Borítókép: Thomas Trutschel / Photothek / Getty Images)