Te is majdnem az adathalászok áldozata lettél? Van egy rossz hírünk: egyre profibbak lesznek a módszerek

Már legalább három éve folyamatosan találkozom olyan történetekkel, hogy különböző apróhirdető oldalakon aktív személyeket főként csalók keresnek fel, akik pénzt akarnak kicsikarni az áldozatok bankszámlájáról. Egy rögtönzött facebookos közvéleménykutatásom után kiderült, hogy 2023-ban több év után is szinte ugyanazokkal a módszerekkel próbálkoznak a kiberbűnözők, és sok személy esetében épp az utolsó percben sikerült menteni a menthetőt, általában a banki applikációk kétlépcsős rendszerének, a megerősítő üzeneteknek köszönhetően.

Pedig a hatóságok egy ideje látványosan ráálltak a tudatosító kampányok szórására: tömegközlekedési járatokon, újságokban, társadalmi hirdetésekben hívják fel a lakosság figyelmét arra, hogy gyanús linkekre ne kattintsanak, a bankkártya-adatokat pedig csak és kizárólag fizetés esetén, 100%-ban megbízható oldalaknak adják meg. Több alanyunk viszont arról számolt be, tisztában van a kiberbűnözés veszélyeivel, a tipikus jelekkel, mégis figyelmetlenségből, kapkodásból, vagy az eladás miatti örömnek köszönhetően majdnem sikerrel jártak a csalók.

„Tavaly novemberben nálam is volt ilyen OLX-es csalás. Egy eladó ruhámra kérdeztek rá, és nagyon sürgetően kérték a válaszokat. Épp egy előadáson voltam, sötétben, közben válaszolgattam, és mivel nem használtam még soha az OLX felületét fizetésre, csőbe húztak. Egy olyan e-mail címről küldtek levelet, ami nem OLX-es, de ez nem tűnt fel, mert a név és a dizájn teljesen hasonló volt. Azt is megkérdezték ezen az e-mailben küldött felületen, hogy mennyi pénz van a kártyán és a biztonsági kódot is kérték, ez vált gyanússá, de közben sürgetett WhatsAppon a vásárló nő, hogy gyorsan-gyorsan intézzük el, mert neki most van ideje. S ahogy megadtam azt a háromjegyű kódot, másodperceken belül elkezdtek vásárolgatni a kártyámról különböző helyekről, 200 eurós és 100 eurós tételben. Az volt a szerencsém, hogy applikációból jóvá kellett hagynom a vásárlást. A nehézség az volt, hogy olyan gyorsan pörögtek a vásárlások, hogy egyszerűen paráztam, nehogy a letiltás helyett véletlenül a jóváhagyás gombot nyomjam meg. A vége az lett, hogy szinte használhatatlanná vált az applikáció, kérnem kellett új kártyát, a potenciális vásárlónak pedig megírtam, hogy ha még egyszer írni mer, jelentem a rendőrségen” – számol be a történtekről Edit.

Anna is hasonlóképpen, az utolsó pillanatban menekült meg attól, hogy körülbelül 1800 lejtől fosszák meg.

„Az OLX-en hirdettem egy általam restaurált kis bútort. Mikor írtak a WhatsAppon nagyon megörültem, mert igencsak túlárazottan kínáltam a termékem. Eléggé hihetően érdeklődtek. Nekem ez volt a második hirdetésem, az elsőt nem is sikerült eladnom, tehát fogalmam sem volt, hogyan működik a kifizetés. A vicc éppen az, hogy ezt el is mondtam nekik, természetesen ők azonnal jöttek a megoldással. Tökéletes célpont voltam, naiv és tájékozatlan. A WhatsAppon lekérték az e-mail címem, itt küldtek egy linket, amelyen keresztül már a kártyaadatokat kérték. Én pedig bódulatomban – jelzem, egy nagyon rossz hetem is volt – megadtam nekik, de jött az értesítés a banki alkalmazásnál, hogy hagyjam jóvá a 365 svájci frankos kifizetést. Hiába volt több felkiáltójel, csak ekkor jöttem rá, hogy piszkosul átvertek. Nem hagytam jóvá a kifizetést, le is tiltottam a számot, ekkor pedig egy másik telefonszámról kezdtek írni, hogy fejezzem be a tranzakciót, hogy kapjam meg a pénzem. Ezután felhívtam a bankot, zároltam a kártyám” – mesélte alanyunk, aki saját bevallása szerint még mindig értetlenül áll a történet előtt, nem érti, hogyan dőlt be az egyértelmű jelek ellenére is. Szerinte ha egy másik napon történik mindez, valószínűleg nem az utolsó előtti pillanatban veszi észre a turpisságot.

A közösségi médián, általunk közzétett információkkal is segítjük a kiberbűnözést

A phishing – ahogy az angol kifejezés is utalja, egyfajta adathalászatot jelent. A támadó a horgászhoz hasonlóan bedobja a csalit és várja, hogy valahol, valaki ráharapjon. A csali az esetek többségében egy kecsegtető ajánlat, egy kíváncsiságra sarkalló információ ígérete vagy zsarolás, ijesztés is lehet. Az áldozat ahogy rákattint egy linkre – ami vagy egy fertőzött oldalra vezet, vagy valamilyen, hivatalos weboldal klónjára, ezen keresztül pedig érzékeny információk kiadását érik el, többnyire bankkártya-adatokat, vagy egyéb fiókok felhasználónevét, jelszavát kérik. Létezik emellett úgynevezett spearphishing nevű módszer is, ami az előző példákkal ellentétben egy bizonyos kiszemelt személy ellen irányul. Ezt általában megelőzi egy bizonyos szintű adatgyűjtés a célszemélyről, amelyet a közösségi médián posztolt információk segítségével raknak össze. Ezeknek az információknak a segítségével olyan hihetőnek tűnő üzeneteket generálnak különböző mesterséges intelligenciát használó szoftverekkel, hogy az áldozatoknak fel sem tűnik az átverés – magyarázta megkeresésünkre Zágoni Attila, kibernetikai biztonsági szakértő.

„Tegyük fel, hogy egy multinacionális cég alkalmazottja vagy. Érkezik egy e-mail, amelyben a kollégád feleleveníti, mit csináltatok közösen a múlt héten, miközben a segítségedet kéri, mert elfelejtett egy belépési kódot. Te pedig megadod neki, mert fel sem tűnik, hogy ezt az üzenetet valójában más küldte. Ebben a pillanatban a tudtodon kívül olyan információt adsz ki, amellyel a hackerek óriási károkat okozhatnak a cégnek. Éppen ezért nagyon meg kell válogatni, mit posztolunk magunkról” – hívta fel a figyelmet a szakember, kiemelve a mesterséges intelligencia által generált szövegek hihetőségét, a technológia fejlődésének szerepét.

Hozzátette: kiváltképp a személyi igazolványról készült fotók közzététele veszélyes, főleg abban az esetben, amikor jól kivehető a kép, a név és a lakcím. Elmondása szerint ezek az adatok már bőven elegendőek ahhoz, hogy kiberbűnözők jogosulatlanul felhasználják az identitást.

„Ha egy elhagyott személyi igazolványt találunk az úton, semmiképp ne tegyük ki a Facebookra, hanem vigyük be a legközelebbi rendőrségre” – emelte ki.

Az OLX-es hirdetőket és potenciális áldozatokat automatizált szoftverek választják ki, a beszélgetés is botokkal indul

Mint a szakember elmagyarázta, az OLX-ről az információkat egy nyitott API-nek (application programming interface) köszönhetően automatizált módon, rövid idő alatt ki lehet nyerni és elég komoly adatbázisokat készítenek. „Ezt úgy kell elképzelni, mint egy konnektort, amellyel összekötsz egy rendszert bizonyos eszközökkel. Ezen keresztül többfajta automatizációs folyamatot készíthetsz, például ki tudsz nyerni listákat az azonos típusú hirdetésekről, azonos árkategóriák és zónák szerint felosztva. Ahogy megfigyeltem, az OLX-nél viszonylag könnyen hozzáférnek a telefonszámokhoz. Az ilyen adathalász botok ellen alkalmazzák a különböző capture módszereket, a »nem vagyok robot« kipipálását, vagy azt, hogy a képeken be kell jelölni, hol található a jelzőlámpa. Ezzel a módszerrel egyértelműen lassítani lehet, hogy csalók kezébe kerüljenek érzékeny személyes információk” – véli a szakember.

„Nem úgy kell elképzelni, hogy egy sötét szobában csuklyát viselő, gyanús alakok írogatnak nekünk. Ez úgy működik, hogy kinyernek egy listát, amelyen akár több száz, több ezer hirdetés is szerepel és az automatizált rendszeren keresztül a több ezer telefonszámnak egy WhatsApp business-fiókon keresztül küldenek előre megfogalmazott, automatikus üzeneteket. Többé kevésbé ugyanazokat a kérdéseket küldik a potenciális áldozatoknak: megvan-e még a termék, milyen állapotban van, stb. Egy bottal való beszélgetés jele lehet, hogy a termék nevét pontosan ugyanúgy fogja említeni a szövegeiben, ahogy az áldozat feltette a hirdetést. Ha abban szerepel valamilyen helyesírási hiba, akkor az »érdeklődő« is úgy fogja írni. De figyelmeztető jel lehet, hogy az illető helyesen alkalmazza az ékezeteket és a speciális jeleket, de a mondatszerkezet már kissé furának tűnik. Ez a fordító programok jellegzetessége. Habár manapság, a mesterséges intelligencia fejlődésével már ezeket a nyelvhelyességi problémákat is egyre hatékonyabban kiküszöbölik” – tette hozzá a szakember.

Több alanyunk által küldött képernyőmentésen az is látszik, amikor a csalók átváltanak a WhatsApp business-fiókról normál fiókra. A szakember magyarázata szerint ilyenkor veszi át egy fizikai személy a beszélgetést, akinek az a feladata, hogy meggyőzze az áldozatot. Amikor kapás van, megszerzik a kártyaadatokat, azonnal akcióba lendülnek és nem túl magas összegeket kezdenek átutalni a kártyáról. Egyszer-kétszer hajtanak végre támadást, mert tudják, hogy az áldozat észbe kap és tiltani fogja az adott számlaszámot.

Mit tegyünk, ha csőbe húztak?

Zágoni Attila szerint a kiberbűnözés exponenciálisan nő, évről évre meredeken emelkedik a károk összege. A becslések szerint 2023-ban a számítógépes csalás által okozott anyagi kár globális szinten eléri Románia GDP-jének a hússzorosát is. Mint kifejtette, a hatóságok lehetőségei igencsak korlátozottak az ilyen jogtalan haszonszerzések esetében, nincs hozzáférésük az oroszországi, mongol és észak-koreai domainen foglalt weboldalakhoz, legfeljebb szolgáltatói szinten kérhetik azoknak a zárolását.

Ha megtörtént a baj, nagyjából ezt az eljárást kell követni:

• azonnal értesíteni a bankot, hogy tiltsák le a kártyát;
• a banknál kell igényelni egy jelentést, miszerint az adott tranzakció nem egy általad jóváhagyott tranzakció;
• azzal a papírral el kell menni a rendőrségre, és panaszt kell tenni;
• a rendőrségi jegyzőkönyv másolatával vissza kell menni a bankhoz, hogy zárolják a tranzakciót.

A csalók általában külföldi tranzakciókat hajtanak végre, így ha gyorsan lépünk, a bank vissza tudja utalni nekünk a pénzt, lévén, külföldre 24 óra múlva, adott esetben 48 óra múlva hagyják jóvá az utalást.

A legjobb védekezés a megelőzés!

Ha internetes apróhirdetési oldalakat használunk, a következőket ellenőrizzük:

• bármilyen weboldallal történő interakció során bizonyosodjunk meg felőle, hogy nem egy közismert cég neve alatt futó klónról van szó. Az url-cím, az észrevétlen elírások (pl. O helyett 0), a helyesírási hibák árulkodóak, ugyanúgy a gyanús e-mail címek esetében is. Példa: olx.ro helyett olx-romania.shop
• ha egy potenciális vásárló nem az apróhirdetési oldal hivatalos üzenőfalán keres meg, hanem külső alkalmazásokon, legyünk elővigyázatosak, a WhatsApp business-fiók erősen árulkodó jel;
• bankkártya-adatokat sosem adunk vevőnek, legfeljeb az IBAN-számot
• ugyancsak gyakoriak kezdenek lenni azok a hirdetések, ahol meglepően kedvezményes áron árulnak márkás termékeket. Ezeket a típusú hirdetéseket is kezeljük kellő óvatossággal.