Ne dőlj be nekik, ne kattints!

Te már kaptál olyan SMS-t, ami nyilvánvalóan adathalász támadás volt? A leggyakoribb ebből a típusból az, amikor a szöveges üzenet címzettjei egy kitalált nyereményjáték nyerteseként vannak megjelölve. A fiktív játék fiktív nyereményéhez egy linkre kattintva lehet hozzájutni, sőt a csalók arra is kérik SMS-ben a címzettet, hogy telepítsen egy alkalmazást. A SMS-ben kapott link hamis és kártékony, aminek segítségével a csalók valójában a kártya adatokat, pin kódokat, személyes információkat próbálnak megszerezni tőlünk, vagy megpróbálják észrevétlenül átvenni az irányítást a készülékeink felett. Ne dőlj be nekik, ne kattints!

Hogy mire is érdemes pontosan figyelni, arról dr. Bencsik Balázs, a Szabályozott Tevékenységek Felügyeleti Hatóságának (SZTFH) kiberbiztonsági tanúsítási igazgatója beszélt lapunknak.

dr. Bencsik Balázs a Szabályozott Tevékenységek Felügyeleti Hatóságának kiberbiztonsági tanúsítási igazgatója Forrás: SZTFH

Mennyire gyakori formája ez a visszaélésnek, gyakran próbálnak meg így csalásokat elkövetni?

Mi az SZTFH-nál azt látjuk – ez amúgy összhangban van a globális trendekkel is -, hogy az adathalász támadás az egyik, ha nem a leggyakoribb támadási forma szerte a világon, gyakorlatilag évről-évre nő a visszaélések száma. A kiberbűnözők egyre ügyesebbek, módszereiket pedig az e-mailen túl már kiterjesztették – többek között – az SMS-ekre is.

Fontos, hogy ezek az átverések a legtöbb esetben nem célzottak, hanem sokkal inkább a nagy számok törvénye alapján működnek: minél több emberhez eljuttatni egy-egy ilyen csaló SMS-t, és valaki majd csak bedől. Így manapság aligha van olyan személy, aki legalább egyszer ne találkozott volna ilyen jellegű szöveges üzenettel a mobilján. De hiába a magas szám, azért lehet még mindig relatív sok áldozat, mert a csalók a pszichológiai manipuláció eszközével élnek, azaz érzelmileg befolyásolnak minket egy-egy ilyen támadás során.

Ha valaki ilyen SMS üzentet kap, rögtön felismerhető, hogy adathalász támadásról van szó?

A kiberbűnözőknek van egy olyan tulajdonsága, hogy rettentően jól alkalmazkodnak minden szituációhoz, és azonnal felveszik a ritmust. Ez a gyakorlatban azt jelenti, hogy mindig az éppen aktuális trendnek, helyzetnek megfelelően, vagy inkább azokra hivatkozva próbálják meg elkövetni a csalásokat, amik már egész jó minőségben vannak jelen a kibertérben. Egy-egy ilyen online átverési kísérletet egyre nehezebb észrevenni, akkor is, ha minden esetben vannak árulkodó jelek vagy közös pontok. Ilyen lehet a sürgető hangnem, a túlzóan kecsegető ajánlat (pl. valamilyen akció), vagy éppen ellenkezőleg a fenyegető felhívás (hátralék befizetés, felhasználói profillal kapcsolatos információk), illetve az, hogy mindenképpen rá akarják valamire venni a leendő áldozatot. Ez, ha SMS-ekről beszélünk, akkor általában egy linkre való rákkattintást és a linken személyes és / vagy banki adatok megadását, esetleg egy applikáció letöltését jelenti. Ezek közül már csak ha kettő is megjelenik együttesen, érdemes gyanakodni.

Mi történik akkor, ha valaki ilyen SMS-t kapott és rákattintott a szöveges üzenetben lévő linkre?

A hivatalosnak látszó üzenetekben a csalók olyan linkeket rejtenek el, amelyek pl. a banki oldalakhoz, futárszolgálatok oldalaihoz megtévesztésig hasonlító weboldalra irányítanak át adathalászat céljából, vagy ennek segítségével rosszindulatú szoftvert telepíthetnek az eszközre
A legtöbb esetben önmagában a linkre való kattintással még nem történik meg az adathalászat, hiszen az igazi nagy dolgok csak ezután történnek a hamis weboldalon, ahova a link mutatott. Mindazonáltal léteznek már olyan bonyolultabb vírusok, amelyeket úgy terveztek meg, hogy a hozzájuk tartozó link megnyitásával egyidejűleg azonnal képesek feltelepülni az áldozat készülékére. Nagyon fontos, hogy ezeket a módszereket megismertessük az emberekkel, így az SZTFH a kiberbiztonsági tudatosításra is kiemelt hangsúlyt fektet, és örömmel csatlakozik az ilyen jellegű missziókhoz.

Tudna mondani esetleg példákat az SMS-ben történő csalásokra?

Sokan emlékezhetnek rá, hogy a COVID ideje alatt rengetegen kényszerből kezdték el használni a különféle digitális szolgáltatásokat, és nagyon sokan álltak át az online vásárlásra. Tömegével rendeltünk bármit is az internetről, amire a kiberbűnözők nagyon hamar rájöttek, és elkezdtek - a globális szinten is legnagyobb - futárszolgálatok nevében csaló SMS-eket küldözgetni a felhasználóknak. Az üzenet szövegezése az volt, hogy „Csomagja érkezett, a nyomon követéshez kattintson az alábbi linkre...", vagy valami nagyon hasonló. Na most ezen időszak során 5-ből 4 ember biztos várt valamilyen csomagot, így egész nagy arányban remélhettek kattintást a bűnözők. Ennek a csalásnak az volt a lényege, hogy a felhasználó rákattintott az SMS-ben érkezett linkre, és az látszólag egy futárcég weboldalára vezetett, de valójában ez egy lemásolt adathalász oldal volt, ami a megtévesztésig hasonlított az eredetire. Ezen a hamis oldalon pedig - a pszichológiai manipuláció eszközeit alkalmazva – egy alkalmazás letöltésére akarták rávenni az embert, ami egy előre megfertőzött, pénzügyi adatokat begyűjtő applikáció volt. Ez egy viszonylag bonyolultabb csalási módszer volt, azért a legtöbb adathalász kísérlet ennél sokkal egyszerűbb. Akár említhetném is az egyik legnépszerűbb streamingszolgáltató nevével visszaélő SMS-eket, amelyekben általában azt állítják a csalók, hogy a felhasználó előfizetése lejárt, amit a linkre kattintva lehet megújítani. Ha az ember a linkre kattint, és a hamis weboldalon megadja a felhasználó azonosítóit, begépeli a személyes és bankkártya adatait, akkor összességében rendkívül nagy bajba kerülhet. De beszélhetnénk akár a fiktív nyereményjátékokról is. Ilyenkor a csalók SMS-ben értesítik a leendő áldozatot, hogy nyertek egy szerencsejátékon, és ahhoz, hogy hozzájusson az illető a nyereményéhez, kattintani kell az üzenetben megadott linkre. Ugye ez is pszichológiai manipuláció, amihez gyakran párosul a már említett sürgető hangnem is. Ezt követően a linkre kattintva, a hamis weboldalon az előbb elmondottakhoz hasonló módszert alkalmaznak a csalók, abból a célból, hogy személyes és pénzügyi adatokat nyerjenek ki a játékosoktól, felhasználóktól.

Mit tudunk tenni, hogyan lehet megelőzni azt, hogy valaki áldozattá váljon?

Az utolsó példánál maradva, a hivatalos és engedéllyel rendelkező szerencsejáték szervezők soha nem indítanak üzenetben nyereményjátékot, nem adják ki a nyertesek adatait, nem kérnek be sem kártya- sem pedig egyéb személyes adatokat, és nem kérik - SMS-ben sem -, a belépési azonosítók megváltoztatását! Fontos szem előtt tartani, ha nem regisztráltunk egy játékra, akkor nem is nyerhettünk rajta. Ha ilyen, vagy ehhez hasonló SMS-t kapunk, akkor a legjobb, ha tudomást sem veszünk róla, és nem kattintunk a linkre. Ha valaki mégis úgy érzi, hogy a túlzott óvatossággal lemaradhat valamiről, akkor lehetősége van leellenőrizni az üzenet és a küldő valódiságát is, az ellenőrzéshez keressen rá a telefonszámra az interneten (ha csalásról van szó, valószínűleg nem mi leszünk az elsők, akit megpróbáltak átverni), vagy hasonlítsuk össze a számot az érintett szervezet hivatalos telefonszámával! Itt szeretném kiemelni, hogy ha ismerős számról érkezik az SMS, az sem garancia arra, hogy megbízható. Lehetséges, hogy egy ismerősünk már áldozatul esett a csalóknak, így fel tudják használni az ő telefonszámát és adatait, ez történt az említett csomagküldős átverések során is. De talán mindezek mellett a legeslegfontosabb, hogy soha ne válaszoljunk olyan SMS-re, amely a PIN-kódunkat, az online banki jelszavunkat vagy bármilyen más biztonsági azonosítónkat kéri, és ezeket soha semmilyen körülmények között ne adjuk meg egy-egy ilyen kérésre. Ilyet egyetlen hivatalos szervezet, cég sem kér és nem is kérhet tőlünk! Aki ennél részletesebben szeretne tájékozódni ebben a témában, annak javaslom felkeresni az SZTFH Minden Kiberül podcastjét, amit kifejezetten azzal a céllal hívtunk életre, hogy az online teret használóknak, a hallgatóknak – sok esetben ismertebb vendégeinkkel közösen - beszámoljunk a legújabb átverésekről és kézzel fogható, jól alkalmazható tanácsokkal is szolgáljunk nekik a védekezéshez. A podcast minden népszerű podcast platformon elérhető, illetve annak gyűjtőoldalán is.

Amennyiben a fentiek ellenére mégis kiadtuk pénzügyi adatainkat, azonnal vegyük fel a kapcsolatot a bankunkkal, és tegyünk feljelentést a rendőrségen!