A cikk elkészítésében szakmai partnerünk az ESET biztonsági megoldások hazai forgalmazója, a Sicontact Kft.
Sajnos pár éve egyre erőteljesebben terjed az az átverési forma, amelynek során a csalók telefonon hívogatják az embereket és különböző Magyarországon tevékenykedő bankok alkalmazottjaiként mutatkoznak be. A hanghíváson keresztül végzett adathalászat külön nevet is kapott, ez a Voice over Phishing, röviden vishing. A bankok alaphelyzetben elég jól védettek, ezért a csalók igyekeznek a könnyebb utat választani, ez pedig a leggyengébb láncszem, azaz maga a gyanútlan felhasználó. A hagyományos adathalász csatornák mellett a vishing támadások száma kiugró mértékben emelkedett, például egy 2023-as statisztika ebben 363 százalékos emelkedést regisztrált.
Hogyan zajlanak a hamis hívások?
A magát a bankunk ügyintézőjeként bemutatkozó illető (pl. Nagy Dominika) arról tájékoztat minket, hogy bajban vagyunk, mert illetéktelenek megszerezték a személyes és banki adatainkat, valamint vásárlásokat kezdeményeztek a számlánk terhére. Rögtön fel is ajánlja a segítségét, hogy blokkolja ezeket az állítólagos vásárlásokat, ehhez mindössze egyeztetésre kéri be az összes személyes, valamint minden banki adatunkat, kártyaszámunkat, lejárati dátumot, PIN kódunkat, 3 jegyű CVV biztonsági kódunkat is. A telefonáló sok esetben érezhető akcentussal, vagy tájszólással beszél, és egy sablon szöveget hadar el gépiesen. Más esetben profibb megvalósítással is találkozhatunk, de ezekben az esetekben is hamar kilóg a lóláb, hiszen érezhetően más az egész kommunikációs stílus, mint amit egy tényleges banki ügyintézés során megszokhattunk.
A bekért adatokat arra hivatkozva kérik el, hogy a letiltással megvédjék az ügyfél bankszámláját, ami persze nem igaz, hiszen a valódi ok, hogy gyorsan leüríthessék róla a pénzünket. Időnként az is megtörténik, hogy a pénzösszeg állítólagos megóvása érdekében bediktálnak egy ismeretlen, úgynevezett „biztonsági számlaszámot”, és azt kérik, ideiglenesen utaljuk gyorsan át oda a pénzünket, ahol majd ők biztonságba helyezik, amíg a felderítés zajlik. Szoktak kérni egy negyedóra türelmet, hogy addig semmiképpen ne lépjünk be a banki alkalmazásba, mert az állítólag „technikai zavart” okozna. Ám éppen ezalatt lopják el a pénzt.
Mi történik egy valós helyzetben, amikor a bankunk gyanús tevékenységet észlel?
Hasonló esetben, amikor a bank gyanús tevékenységet észlel a számlánkkal, bankkártyánkkal kapcsolatban, általában azonnal blokkolják a tevékenységet és le is tiltják pl. a számlához kapcsolódó, internetes fizetésre használt virtuális bankkártyánkat. Ezek után veszik csak fel a kapcsolatot az ügyféllel és közlik a további teendőket, anélkül, hogy bármilyen belépési jelszót, PIN-kódot, vagy más biztonsági kódot kérnének.
Milyen károkat okozhatnak még a csalók?
Az a forgatókönyv is előfordulhat, hogy a megijesztett áldozattal feltelepíttetnek a mobilra, tabletre, számítógépre vírusirtónak hazudva egy olyan távmenedzsment szoftvert (pl. AnyDesk, Teamviewer), amelynek segítségével a bűnözők teljes távoli eléréshez jutnak, és onnan minden szükséges személyes és banki adatot, aláírási címpéldányt, beszkennelt igazolvány fotókat, hivatalos iratokat is el tudnak lopni. Sajnos ilyen konkrét magyarországi esetekről is olvashattunk már jó pár beszámolót.
Pár éve még az ilyen magyarországi károk többségét a hitelintézetek viselték, a felhasználókra eső rész 2019-ben még „csak” 8% volt. 2022-ben a keletkezett 1 Mrd forintos kár fele már az ügyfeleket terhelte, míg 2023 első negyedévében már 83%-ban az ügyfelek kára volt az ilyen incidens. Az indoklás szerint mivel ők hibáztak, ők adták meg illetéktelennek az adataikat, így itt a banknak már nincsen felelőssége. Ezt a leckét sajnos mindenkinek muszáj megtanulnia.
A banki hívások mellett a support jellegű csalások is gyakoriak
Ez azt jelenti, amikor valamilyen ismert, gyakran technológiai cég nevével élnek vissza – például a Microsoft vagy a LinkedIn. A hamis support hívások leggyakoribb célja további érzékeny személyes, vagy bizalmas cégadatok megszerzése, akár szóban, akár távoli kémprogram telepítés segítségével.
Folyamatosan nő a telefonos adathalászat mértéke, és sajnos az is rossz hír, hogy technikailag bármilyen, akár igazi banki hívószámot is lehet ehhez hamisítani a Phone spoofing (vagy caller ID spoofing) módszerrel. Tovább súlyosbítja a helyzetet, hogy ilyenkor nem egyszerűen csak egy-egy véletlenszerű telefonhívásról van szó, hanem iparszerűen hamis call centereket üzemeltetnek a nemzetközi bűnbandák. Ebben a konstrukcióban a csoport tagjai tömeges átverési „munkájuk” után nem csak alapfizetést kapnak, de a teljesítményük után hatalmas prémiumokban is részesülnek.
Hogyan védekezzünk, mivel előzhetjük meg az ilyen átveréseket?
Először is fontos tudni, hogy a bankok sohasem kérik el tőlünk a banki adatainkat, kártyaszámunkat, lejárati dátumot, PIN kódunkat, 3 jegyű CVV biztonsági kódunkat, internetes banki belépési név-jelszó párosunkat telefonon keresztül, ilyet csak adathalász támadók tesznek. Hasznos, ha beállítunk limiteket a bankkártyáinknál, amelyek a naponta történő terhelések maximális értékhatárát korlátozzák. Baj esetén azonnal keressük a bankunkat és kérjük a kártyánk letiltását.
Ismeretlen hívásoknál mindig gyanakodjunk, és ellenőrizzük le a hívó felet. Ha gyanúsnak érezzük, vagy bármi bizonytalanság felmerül: életszerűtlen a történet, fura a telefonáló, azonnal bontsuk a vonalat és mi magunk hívjuk fel a bankunkat a hivatalos telefonszámon. Legyünk gyanakvóak, ne kapkodjunk, sose hagyjuk magunkat sürgetni, és ha nem értjük a szituációt, bátran lépjünk ki belőle, tegyük le a kagylót. A támadások ilyen formái ugyanis sajnos egyre többször fognak kopogtatni mindannyiunknál. Az ORFK emellett azt kéri, minden áldozat tegyen feljelentést, mert ez segíti a jövőbeni hasonló bűncselekmények megelőzését.
A csalás új formája: deepvoice
Végül érdemes megemlíteni azt a csalási formát is, ahol hangklónozással (pl. ElevenLabs deepvoice) valakinek a hangját lemásolják, és ekkor bármely családtagunk, ismerősünk, kollégánk, vállalati főnökünk hangján kérhetnek tőlünk azonnali pénzátutalást, ismeretlen program telepítését, bizalmas dokumentum átadását. Az ilyen típusú átveréseknek egyaránt célpontjai a vállalati alkalmazottak illetve a hétköznapi átlagfelhasználók. Sajnos egyre több ilyen incidensről számolnak be a biztonsági szakemberek, így nagyon fontos az éberség és a tudatosság.
Erről, és még sok más IT biztonsággal kapcsolatos témáról rendszeresen szó esik az ESET „Hackfelmetszők – Veled is megtörténhet!” című kiberbiztonsági podcastjának havonta megjelenő adásaiban.
