Adathalászok hálójában

Mindenki kapott már olyan levelet, ami ismeretlen feladótól érkezett és „hunglish”, azaz magyarral keveredő angol vagy más nyelven írták. Sokszor ártalmatlan reklámokról van szó, de akadnak olyan üzenetek, amik hihetőnek tűnnek, pedig a feladó korántsem az, akinek mondja magát.
2019. október

Jobb esetben a levelező fiókunk automatikusan a spam mappába dobja az ilyeneket, de néhány mindig átcsúszik az egyre fejlettebb szűrőkön. Akkor mégis honnan ismerjem fel a veszélyes tartalmat? Íme néhány tipp!

SPAN VAGY SPAM? VAGY ADATHALÁSZAT? EZ ITT A KÉRDÉS!

Gyakran használjuk a spam kifejezést, de vajon tudjuk, hogy mit jelent pontosan? Eredetileg a szót az Egyesült Államokban használták a húskonzervekre – a „Spiced Pork And Ham” rövidítéseként, a magyar megfelelője a löncshús. Elsőként a híres angol komikuscsapat, a Monty Python sorozatának egyik jelenetében használták a spam kifejezést úgy, mint „kéretlenül ránk erőltetett dolog”.

A 21. században már azokat a kéretlen tartalmakat értjük alatta, amiket általában e-mail formájában kapunk, de ezek lehetnek sms-ek vagy Facebook-üzenetek is. A benne írtak szintén sokfélék lehetnek: (olcsón) kínálnak egy terméket, csodás nyereményt ígérnek, a szegényeknek gyűjtenek, vagy figyelmeztetnek bennünket, hogy lejárt a jelszavunk. Amikor már nem csak kéretlen reklámleveleket kapunk vagy nyereményekkel kecsegtetnek, hanem valamilyen módon adatot kell megadnunk (személyeseket vagy pénzügyi adatokat), akkor már adathalászatról beszélünk.

DE MINEK KELL PONT AZ ÉN E-MAIL CÍMEM?

Nos, több okból is. Kezdő hackerek számára remek gyakorlás feltörni egy rendszert. Egy másik esetben kifejezetten azért gyűjtenek össze e-mail címeket, mert spamelni akarnak, ilyenkor pedig szükségük van valódi e-mail címekre. Harmadik esetben külső fél megbízásából gyűjthetnek különböző szempont szerinti címeket – ilyenek lehetnek a minitesztek a szokásaidról, közvéleménykutatások nyereménnyel a végén. Ezek általában egy majdani reklámlevél- vagy telefonhívás-dömping előzményei, de a kérdőívek végén ott kell lennie, hogy engedélyezed a reklámküldeményeket. Hacsak nem vagy valóban kíváncsi az ajánlatokra, akkor ezt a négyzetet inkább ne pipáld ki.

Amikor egy spamet vagy adathalász e-mailt elküldenek, nem csak neked küldik, hanem többezer, akár többszázezer címre, tehát legtöbbször nincs célcsoport, nincs életkorhoz kötve. Akinek van e-mail címe, az kaphat spamet és adathalász levelet. Ezek nem névre szólóak, természetesen lehet olyan, hogy megszemélyesítik, de csak azért írják be a nevét, mert olyan adatbázisból jutottak hozzá, amely tárolt nevet.

AZ ADATHALÁSZAT UGYANOLYAN BŰN, MINT ELLOPNI VALAKI AUTÓJÁT!

Az adathalászat az internetes bűnözők egy olyan módszere, amely során megtévesztéssel a felhasználók valamely személyes vagy pénzügyi adatát próbálják megszerezni. Ez előfordulhat számítógépnél az interneten keresztül, de létezik telefonos adathalászat is, vagy sms formájában is megpróbálhatnak adatot szerezni tőlünk. Az a cél, hogy valamilyen személyes vagy pénzügyi adatot megszerezzenek, amivel utána vissza tudnak élni, anyagi előnyt tudnak maguknak biztosítani – magyarázta a DUE Tallózónak dr. Szabó Henrik címzetes rendőr alezredes, az ORFK Bűnmegelőzési Osztályának munkatársa.

Ironikus, hogy gyakran az adathalászok állítólagos csalókra hivatkozva kérik tőlünk személyes adatainkat. Ebből még egy vígjáték is készült, Személyiségtolvaj /Identity Thief címmel. A történet arra épít, hogy egy férfit, akit Sandy-nek hívnak, felhívják a bankjától, hogy csalók akarják ellopni az adatait, ezért erősítse meg azokat telefonon keresztül. Persze a vonal túlsó végén nem igazi ügyintéző, hanem egy vérbeli csaló, Diana (Melissa McCarthy) van, akinek így sikerül ellopnia a férfi személyiségét. A kimeríthetetlen pénzkeret lehetővé teszi Diana számára, hogy megvegye, amire csak kedve szottyan. Egy a bökkenő: a kártya, amit a vásárlási ámokfutáshoz használ, Sandy nevére szól, aki egy számlakezelő, és az Államok túlsó felén lakik. Az igazi Sandy-nek egy hete van, hogy levadássza a szélhámost, mielőtt a világa összeomlik, így délre indul, hogy kérdőre vonja a nőt, akinek szabad belépőkártyája van az ő életébe. Próbálkozik vesztegetéssel, hízelgéssel, veszekedéssel, de kénytelen rádöbbenni, milyen kemény meló visszaszerezni a saját személyiségét. Bár maga a film nagyon szórakoztató, nem lenne jó belecsöppeni hasonló helyzetbe a valóságban.

ADATHALÁSZOK ELLEN

Az adathalászat egyik formája, amikor levélben, sms-ben, üzenetben, például Messengeren kapsz egy linket, amire kattintva eljutsz az adathalász oldalra, amely igazinak tűnik.

A legfontosabb, hogy mindig vizsgáljuk meg az url-jét az oldalaknak, amiken járunk. Ez annyit tesz, hogy nézd meg alaposan a webcímet, a böngésző címsorában megjelenő szöveget az alábbiak szerint:

• A domain nevek mindig az adott céghez (például bankhoz) tartoznak, így azt más nem tudja használni. Ezért az adathalászok egy ehhez a megtévesztésig hasonló domain névvel dolgoznak – lehet, hogy csak egyetlen betűvel vagy egy ponttal tér el a valóditól.

• Ugyanez a helyzet a megjelenéssel: lehet, hogy első ránézésre ugyanolyannak látszik az eredeti és az adathalász oldal, de az utóbbi például korlátozott funkciókkal bír – nem lehet mindent megtenni, megnézni rajta, amit az eredetin igen.

• Ha bizonytalan vagy, hogy jó helyen jársz-e, menj fel direktben az adott weboldalra, úgy pontosan össze tudod hasonlítani a webcímeket és a megjelenést is. Ha nem egyezik a kettő, zárd is be a gyanús oldalt.

• Célszerű a hivatalos weboldalak, mint szolgáltatók, bankok, illetve a gyakrabban vásárlásra is használt oldalaid címét begépelni, vagy korábban elmentett, kedvencek között tárolt linkről megnyitni, ahelyett, hogy a levélben kapott linkre kattintanál.

• A https:// kezdetű weboldalak szintén biztonságot nyújthatnak, de dr. Szabó Henrik elmondása szerint sajnos már találkoztak olyan adathalász oldallal, amelynek megvolt

ez a biztonsági tanúsítványa, így ezeket is érdemes már körültekintően kezelni. Az adathalászat másik formája, amikor nem kell semmilyen weboldalra felmenned, egyszerűen csak hivatalosnak/komolynak tűnő levélben, üzenetben, telefonhívással személyes vagy pénzügyi adatokat kérnek el tőled.

• Az alap, hogy bank sohasem kér be bankkártya adatokat, vagy PIN-kódot ilyen formában, kizárólag a saját, biztonságos felületein és eszközein.

• De ha például a mobilszolgáltatód nevében (azzal visszaélve, téged megtévesztve) küldenek egy számlalevelet, amelyet itt és most egy kattintással, bankkártyával fizess ki, akkor már nem valós banki oldalon történik a tranzakció, hanem az adathalász oldalon. Ott rögzítik a kártya adatokat, és máshol tudnak vele fizetni, vagy akár el tudják adni az így megszerzett adatokat.

• Előfordulnak még banki adathalász e-mailek, amikor kifejezetten egy bank nevében küldenek ki levelet, és azt kérik, hogy lépjenek be a bank oldalára, ami szintén nem az eredeti banki oldal, hanem egy ahhoz megtévesztésig hasonló, és szintén a banki belépéshez szükséges adatokat próbálják megszerezni. Ezek birtokában már nyilvánvalóan könnyedén hozzáférhetnének a számládhoz. Itt a korábban felsorolt ellenőrzéseken kívül segítenek, segíthetnek a bankok biztonsági rendszerei: a többszörös azonosítás. Ilyen lehet a telefonodra érkező megerősítő üzenet vagy jelkód, a szintén telefonon alkalmazható ujjlenyomatos jóváhagyás. Mindezt a mobilod hiányában nem tudják a csalók sem megtenni.

• Vannak a felhasználói fiókokhoz kapcsolódó adathalász levelek, például levelezési rendszerhez vagy közösségi oldalhoz való hozzáféréseket begyűjtők. Ezeket közvetlenül pénzszerzésre nem, viszont más módon fel tudják használni (pl. valamire kényszeríteni tudnak), hogy pénzhez, anyagi előnyhöz jussanak az elkövetők, vagy épp a nevedben küldjenek ki linkeket, személyeddel hitelesítve a tartalmukat.

• De nem ismeretlenek azok a levelek sem, amelyek vírusokat, beépülő elemeket tartalmaznak. Ezek figyelhetik és továbbíthatják harmadik félnek közvetlenül a gépeden tárolt, vagy a böngészőbe beírt adataidat, bejelentkezési információidat, de a böngészési előzményeidet is. Utóbbiból igen nehéz helyzetek alakulhatnak ki, ha például olyan oldalakat látogatsz, amelyeket nem kötnél mások orrára. Ugyanígy főleg kellemetlen adat lehet a törölt elemek mappája, amit, ugye, te sem ürítesz túl gyakran, akárcsak a böngészési előzményeidet?

• A nyilvános számítógépeken (internetkávézó, iskolai és munkahelyi gépek) ezekre különösen figyelj. Nem kell kifejezetten az eddigiekben említett adathalászatnak történnie, elég, ha egy ismerős vagy ismeretlen utánanéz, mit is csináltál a gépen. Arról még nem is ejtettünk szót, de nyilván magától értetődő, hogy soha, sehol nem maradsz bejelentkezve, főleg nem e-mailben és közösségi oldalon? Aki bejelentkezve marad egy oldalon, az kissé kínálja is magát egy illetéktelennek – ahogy mondják, alkalom szüli a tolvajt. A többség udvariasan kilép az ilyen oldalakról, van, aki vicces üzenettel figyelmeztet, de olyan is akad, aki visszaél mindezzel.

Térjünk vissza az adathalászat virtuális világába. Arról már ejtettünk szót, hogy a bankok biztonsági rendszere megfelelő, és folyamatosan fejlesztik is. Ugyanez már nem mondható el minden webshopról, amelyből ruhát rendelünk, jegyet veszünk, vagy free shippinggel kütyükiegészítőket Ázsiából.

AKKOR MI A MEGOLDÁS?

A legjobb és legfontosabb tanács, amit adhatunk: akárhogy is ajánlgatják ezek az oldalak, hogy kényelemből mentsd csak le a kártyaadataidat, ezt SOHA ne tedd meg! Ami számítógépen (mobilon) van, az hozzáférhető, ellopható.

A tökéletes megoldás az lenne, ha a bankkártyás fizetés helyett e-számlát használnál, amin csak annyi pénzt tartasz, ami az adott vásárláshoz szükséges. Az e-számlád a bankod kezeli, így az biztonságosabb.

Amelyik oldalon lehet, ott ne is regisztrálj, hanem alkalmi vásárlóként rendelj. Ne házhoz szállítást kérj, hanem valamilyen átvételi pontot jelölj meg. Így még kevesebb információjuk lesz rólad. A legtöbbször nehéz visszakövetni ki van a képernyő másik oldalán, így ezeket a károkat sem egyszerű megtéríteni, főleg mivel sok esetben külföldi csalókról beszélünk.

MIT TEGYÜNK, HA ILYEN LEVELET, ÜZENETET KAPUNK?

A legfontosabb, hogy a gyanús üzenetekre ne reagáljunk! Ha az üzenet valamilyen linket tartalmaz, ne kattintsunk rá, vagy a korábbiak szerint ellenőrizzük. Az adatainkat pedig a legszükségesebb esetben adjuk meg, csakis biztonságos, ellenőrzött oldalakon!

(Bihari Bernadett Luca)

2019. október 4.

A cikkben foglalt nézetek a szerzők nézetei, azok semmiképpen sem tekinthetők az Európai Bizottság vagy a Belügyminisztérium hivatalos állásfoglalásának, továbbá sem az Európai Bizottság, sem a Belügyminisztérium nem tehető felelőssé azokért, illetve az abban foglaltakért.

A cikk a BBA-5.1.6/2-2017-00003 számú projekt keretében készült.

Dueonline.hu

Eseménynaptár

DUE-tagság
és Sajtóigazolvány

Ne dőlj be!

DUE Almanach

Médiatár

DUE Média Archívum