Újabb veszélyes adathalász hullámra figyelmeztet a rendőrség: a csalók ezúttal már nem SMS-ben, hanem hivatalosnak tűnő e-mailben próbálják megszerezni az emberek bankkártyaadatait. A megtévesztő üzenetek szerint a címzett szabálysértést követett el, mert vezetés közben mobiltelefont használt, ezért bírságot kell fizetnie. A Budapesti Rendőr-főkapitányság Facebook-oldalán kiadott figyelmeztetése szerint a cél nem valódi bírság beszedése, hanem az áldozatok bankkártyaadatainak megszerzése.
A módszer különösen veszélyes, mert a levél első pillantásra hivatalosnak tűnhet. A csalók hatósági hangvételt, sürgetést, bírságra utaló megfogalmazást és fizetési linket használnak, hogy az érintett ne gondolkodjon, hanem azonnal kattintson. A rendőrség korábbi figyelmeztetéseiben is hangsúlyozta: idegenektől kapott e-mailben vagy SMS-ben érkező linkre nem szabad kattintani, és sem személyes, sem banki, sem bankkártyaadatot nem szabad megadni ismeretlen oldalakon.
Így működik az új bírságos csalás
A csalók e-mailben keresik meg az áldozatot. A levél azt állítja, hogy a címzett vezetés közben mobiltelefont használt, ezért szabálysértési bírságot kapott. Aki megijed, könnyen úgy érezheti, jobb gyorsan befizetni az összeget, nehogy nagyobb baj legyen.
A levélben egy linket helyeznek el. Erre kattintva a felhasználót először rendszám megadására kérhetik, majd egy hivatalosnak látszó fizetési oldalra irányítják. A hamis oldal célja, hogy az áldozat megadja a bankkártyaszámát, a lejárati dátumot, a CVC/CVV-kódot, esetleg más személyes vagy pénzügyi adatot.
Ezután a csalók már visszaélhetnek az adatokkal. A kártyaadatok birtokában vásárlásokat indíthatnak, pénzt próbálhatnak leemelni, vagy további csalásokhoz használhatják fel a megszerzett információkat.
Miért hihető elsőre a hamis e-mail?
Az ilyen csalások azért működnek, mert a bűnözők nem egyszerű, ügyetlen üzeneteket küldenek. Sokszor logókat, hivatalosnak tűnő színeket, komoly hangvételt, ügyiratszerű megfogalmazást és sürgető felszólítást használnak.
A címzett nem feltétlenül emlékszik pontosan minden közlekedési helyzetre. Ha autót vezet, könnyen elbizonytalanodhat: „Lehet, hogy tényleg lefotóztak?” „Lehet, hogy valahol telefon volt a kezemben?” „Mi van, ha késedelmi díjat kapok?”
A csalók éppen erre építenek. Nem az a céljuk, hogy az ember nyugodtan átgondolja a helyzetet, hanem az, hogy félelemből, kapkodásból kattintson. A KiberPajzs is arra figyelmeztet, hogy a kapkodás rossz döntésekhez vezethet, ezért gyanús üzenetnél időt kell szánni a feladó és a megszemélyesített szervezet ellenőrzésére.
Árulkodó jel: kitalált intézményneveket használnak
A BRFK külön felhívta a figyelmet arra is, hogy a csalók kitalált vagy hibás intézménynevekkel próbálják hitelesnek láttatni az üzenetet. A megtévesztő levelekben például a „Magyar Országos Központ” megnevezés is előfordulhat, ilyen nevű állami szerv azonban nincs.
Az aláírásként használt „Országos Rendőrségi Főkapitányság” szintén gyanús, mert a valódi hivatalos elnevezés Országos Rendőr-főkapitányság. Ez apró különbségnek tűnhet, de pontosan az ilyen részletek segíthetnek felismerni, hogy nem valódi hatósági üzenetről van szó.
A hivatalos szervek neve általában pontos, következetes, jogilag szabályos formában szerepel. Ha egy e-mailben furcsa intézménynév, rossz magyarság, hibás aláírás vagy szokatlan megfogalmazás látható, azt mindig komolyan kell venni.
Nem az SMS-es csalások tűntek el, csak új formát kaptak
Az elmúlt időszakban sokan kaptak hamis SMS-eket csomagküldő szolgáltatók, bankok, közműcégek, futárszolgálatok vagy hatóságok nevében. Most a csalók e-mailben próbálkoznak, de a módszer lényege ugyanaz: rávenni az áldozatot, hogy kattintson egy hamis linkre, majd megadja az adatait.
A Nemzeti Kibervédelmi Intézet korábbi figyelmeztetése szerint az e-mailben vagy SMS-ben érkező linkeket mindig gyanakvással kell kezelni, különösen akkor, ha az üzenet rövid, sürgető vagy figyelemfelhívó. A hivatalos oldalak címét mindig a böngésző címsorában kell ellenőrizni.
A csalók folyamatosan váltogatják a történetet. Egyik nap csomagdíjra hivatkoznak, másik nap banki biztonsági ellenőrzésre, harmadik nap bírságra. A lényeg mindig ugyanaz: gyors kattintás, hamis oldal, adatlopás.
A sürgetés az egyik legnagyobb figyelmeztető jel
Az adathalász üzenetek gyakran azt sugallják, hogy azonnal cselekedni kell. Például azt írhatják, hogy ha nem fizet azonnal, emelkedik a bírság, eljárás indul, zárolják a fiókot, megszűnik a szolgáltatás vagy további költségek keletkeznek.
Ez pszichológiai nyomásgyakorlás. Aki megijed, kevésbé ellenőrzi a részleteket. A csalók pontosan tudják, hogy az emberek többsége nem szeret hatósági ügyekkel bajlódni, és ha bírságról van szó, sokan inkább gyorsan fizetnének.
Éppen ezért a legfontosabb szabály: ha egy üzenet sürget, álljunk meg. Ne kattintsunk azonnal, ne fizessünk azonnal, ne adjunk meg adatot azonnal. Előbb ellenőrizzük, valóban létezik-e az ügy.
A rendőrség nem így kéri el a bankkártyaadatokat
Egy valódi hatósági ügyintézés nem úgy zajlik, hogy egy ismeretlen e-mailben kapott linkre kattintva egy gyanús fizetési oldalon bankkártyaadatokat kérnek. A rendőrség korábbi figyelmeztetése szerint a rendőrség nevével visszaélve már próbáltak csalók közigazgatási bírság ellenőrzési felületén keresztül bankkártyaadatokat megszerezni, ezért a hatóság külön kérte, hogy az e-ügyintézési portál elérése csak a hivatalos oldal címének közvetlen beírásával történjen.
Ez nagyon fontos: ha valaki bírság valódiságát szeretné ellenőrizni, ne a levélben lévő linkre kattintson. Nyissa meg külön a hivatalos hatósági felületet, vagy érdeklődjön az érintett hatóság ügyfélszolgálatán.
A hamis linkek gyakran nagyon hasonlítanak az eredeti címekhez. Egy betűhiba, furcsa végződés, idegen domain vagy hosszú, kusza hivatkozás is elég lehet ahhoz, hogy a felhasználó egy csaló oldalra kerüljön.
Mit nézzünk meg egy gyanús e-mailben?
Először a feladót kell ellenőrizni. Nem elég a megjelenített név, mert azt könnyű hamisítani. A valódi e-mail-címet kell megnézni, különösen a kukac utáni részt. Ha furcsa, idegen, hibás vagy nem hivatalos végződésű címről jött az üzenet, az intő jel.
Másodszor a szöveget kell elolvasni. Gyanús lehet a rossz magyarság, a furcsa megszólítás, a túl általános szöveg, a hibás intézménynév, a sürgetés, a fenyegetés vagy az, ha olyan adatot kérnek, amit egy hivatalos szervnek nem kellene így bekérnie.
Harmadszor a linket kell ellenőrizni, de nem rákattintással. Asztali gépen az egérmutatót a link fölé lehet vinni, így gyakran látszik, hová vezetne. Mobilon ez nehezebb, ezért ott még fontosabb, hogy ne kattintsunk.
Negyedszer a fizetési felületet kell gyanakvással kezelni. Ha egy oldal bankkártyaadatokat kér, de a cím furcsa, nem hivatalos, elgépeléses, vagy nem ahhoz a szervezethez tartozik, amelyre hivatkozik, azonnal zárjuk be.
Bankkártyaadatot csak megbízható oldalon adjunk meg
A rendőrség adathalászatról szóló tájékoztatója szerint online bankkártyás fizetésnél mindig meg kell győződni arról, hogy valódi banki vagy hivatalos fizetési oldalon adjuk meg az adatokat. A bankok nem kérnek e-mailben bankkártyaadatokat, és más szervezeteknek sem szabad ezeket ismeretlen felületen megadni.
A bankkártyával való visszaéléshez sokszor elég lehet a kártyaszám, a lejárati dátum és a háromjegyű CVC/CVV-kód. A KiberPajzs külön kiemeli, hogy a bűnözők ezeknek az adatoknak a megszerzésére törekednek, mert ezek birtokában visszaéléseket indíthatnak.
A PIN-kódot, internetbanki jelszót, egyszer használatos megerősítő kódot vagy banki alkalmazásban kapott jóváhagyást soha nem szabad csalók kérésére megadni vagy jóváhagyni. Ha valaki azt kéri, hogy „biztonsági okból” adjunk meg adatot, az szinte biztosan átverés.
Miért veszélyes a rendszám megadása is?
Sokan azt gondolhatják, hogy a rendszám önmagában nem banki adat, ezért nem veszélyes. Valóban nem ugyanaz, mint a bankkártyaszám, de a csalók számára a rendszám is hasznos lehet.
Egyrészt növeli a hamis folyamat hitelességét. Ha az áldozat beírja a rendszámot, úgy érezheti, valódi ügyintézésben vesz részt. Másrészt a csalók minden megszerzett adatot felhasználhatnak későbbi megtévesztésekhez.
Az adathalászat gyakran lépésenként épül fel. Először csak egy rendszámot vagy e-mail-címet kérnek, aztán bankkártyaadatot, majd megerősítő kódot. A cél az, hogy az áldozat fokozatosan egyre több információt adjon meg.
Mit tegyen, aki kapott ilyen e-mailt?
A legfontosabb: ne kattintson a linkre. Ne válaszoljon az e-mailre, ne töltse le a csatolmányt, ne adjon meg rendszámot, személyes adatot vagy bankkártyaadatot.
A levelet érdemes törölni, de ha bizonytalan, előtte készíthet róla képernyőképet, vagy továbbíthatja a megfelelő bejelentési csatornára. Munkahelyi e-mail-fiók esetén az NBSZ NKI javaslata szerint a gyanús levelet spamként kell megjelölni, és értesíteni kell a szervezet információbiztonsági felelősét vagy rendszergazdáját.
Ha valóban attól tart, hogy bírsága van, ne a levélből induljon ki. Keresse fel külön a hivatalos rendőrségi vagy közigazgatási ügyintézési felületet, vagy érdeklődjön a hatóságnál ismert, hivatalos elérhetőségen.
Mit tegyen, aki már kattintott?
Ha valaki csak rákattintott a linkre, de nem adott meg adatot, zárja be az oldalt, ne töltsön le semmit, és lehetőség szerint futtasson vírusellenőrzést az eszközön. Ha munkahelyi eszközről történt, azonnal jelezze az informatikai felelősnek.
Ha valaki bankkártyaadatot is megadott, azonnal hívja a bankját, tiltsa le a kártyát, és kérjen segítséget a tranzakciók ellenőrzésében. A KiberPajzs tanácsai szerint ha bizalmas adat megadása megtörtént, mielőbb értesíteni kell a releváns pénzintézetet.
Ha internetbanki belépési adatot, jelszót vagy megerősítő kódot is megadott, az még sürgősebb helyzet. Ilyenkor a banki hozzáférést azonnal védeni kell: banki ügyfélszolgálat, kártyaletiltás, jelszócsere, eszközök ellenőrzése, szükség esetén rendőrségi feljelentés.
A pénz akár percek alatt eltűnhet
Az online csalásoknál az idő döntő. Ha a csalók megszerezték a kártyaadatokat vagy banki belépési információkat, nagyon gyorsan megpróbálhatnak tranzakciókat indítani. Nem biztos, hogy órák vagy napok vannak a reagálásra.
Ezért nem szabad halogatni a bank értesítését. Ha valaki gyanús fizetési oldalon adta meg az adatait, akkor akkor is érdemes azonnal telefonálni, ha még nem lát levonást. A bank gyors intézkedése sok esetben megakadályozhatja a nagyobb kárt.
A csalók gyakran kis összegű próbaterheléssel kezdenek, majd nagyobb tranzakciókkal folytatják. Máskor külföldi vásárlásokat, digitális szolgáltatásokat, kriptós vagy online fizetéseket próbálnak indítani. A gyors kártyaletiltás ezért életmentő lehet a bankszámla szempontjából.
Hová lehet fordulni adathalászat esetén?
Ha valaki adathalász csalás áldozatává vált, érdemes rendőrségi feljelentést tenni. Az OTP Bank adathalászati tájékoztatója is azt javasolja, hogy a sértett személyesen bármely rendőrkapitányságon, vagy a rendőrség honlapján keresztül elektronikus úton tehet feljelentést.
Az MNB fogyasztóvédelmi tájékoztatója szerint kibervédelmi incidensek bejelenthetők az NKI felé is telefonon, e-mailben vagy az NKI honlapján keresztül.
Ha pénzügyi kár történt, elsőként mindig a bankot kell hívni, mert a kártya letiltása, tranzakciók megállítása vagy vitatása időérzékeny lehet. A rendőrségi feljelentés és a bejelentés fontos, de a pénz védelmében az első percekben a banki intézkedés a legfontosabb.
Miért veszélyesek a hivatalosnak tűnő logók?
Sokan még mindig azt gondolják, hogy ha egy e-mailben van logó, címer, hivatalosnak tűnő fejléc vagy szabályosnak látszó elrendezés, akkor biztosan valódi. Ez ma már nem igaz.
A csalók könnyen lemásolnak logókat, színeket, nyelvezetet és weboldal-elemeket. A KiberPajzs is figyelmeztet: nem elég, ha valami megtévesztésig hasonlít az eredetire, mert az ismert színek és logók is részei lehetnek az átverésnek.
Ezért mindig a feladót, a webcímet, az ügy logikáját és az adatbekérés módját kell ellenőrizni. Egy valódi hatósági ügyintézésnél nem az a megszokott, hogy egy sürgető, ismeretlen e-mailből egy idegen fizetési oldalra visznek, ahol azonnal bankkártyaadatokat kérnek.
A helyesírási hibák nem mindig árulkodnak
Régebben sok adathalász üzenetet könnyű volt felismerni a rossz fordításról, furcsa mondatokról, helyesírási hibákról. Ma már ez kevésbé megbízható jel. A csalók jobb szövegeket írnak, gyakran mesterséges intelligenciát is használhatnak, és egyre hitelesebb megfogalmazásokat készítenek.
Ezért nem elég azt mondani, hogy „ha szépen van megírva, biztos valódi”. A jó minőségű nyelvezet sem garancia. A csalás lényege nem a rossz helyesírásban van, hanem abban, hogy a feladó nem az, akinek mondja magát, a link nem hivatalos oldalra vezet, és az adatbekérés célja visszaélés.
A hibás intézménynév, például a „Magyar Országos Központ” vagy az „Országos Rendőrségi Főkapitányság” most árulkodó lehet, de a jövőben a csalók ezt is javíthatják. Ezért a módszert kell felismerni, nem csak az aktuális hibákat.
Bírság esetén így gondolkodjunk
Ha valaki valódi bírságot kap, annak ellenőrizhető hivatalos nyoma van. Egy e-mailes felszólítás önmagában nem elég bizonyíték arra, hogy fizetni kell.
A helyes reakció: ne a linkre kattintsunk, hanem külön ellenőrizzük az ügyet. A hatóság hivatalos felületét saját kezűleg nyissuk meg, ne az üzenetből. Ha bizonytalanok vagyunk, telefonon vagy személyesen kérjünk tájékoztatást hivatalos ügyfélszolgálaton.
A csalók akkor sikeresek, ha az áldozat az ő útvonalukon halad: e-mail, link, hamis oldal, adatmegadás. Ebből kell kilépni. A hivatalos ellenőrzést mindig mi indítsuk, saját forrásból.
Idősebb családtagoknak különösen szólni kell
Az ilyen e-mailek nemcsak fiatalokat érhetnek el. Sőt, sok csaló kifejezetten azokra épít, akik kevésbé rutinosak az online ügyintézésben, de komolyan veszik a hatósági felszólításokat.
Érdemes idősebb szülőknek, nagyszülőknek, rokonoknak elmondani: ha bírságos e-mailt kapnak, ne fizessenek azonnal, ne kattintsanak, hanem előbb hívjanak fel valakit a családból, vagy érdeklődjenek hivatalos csatornán.
Egy rövid beszélgetés sok pénzt menthet meg. Az online csalásoknál gyakran nem az informatikai tudás hiánya a fő gond, hanem a félelem és a sürgetés. Ha az idősebb hozzátartozó tudja, hogy gyanús esetben nyugodtan kérhet segítséget, kisebb eséllyel válik áldozattá.
Céges e-mailre is érkezhet ilyen csalás
A bírságos adathalász levél nemcsak magánemberekhez juthat el, hanem céges e-mail-fiókokba is. Ez különösen veszélyes lehet flottás autóknál, céges járműveknél vagy olyan munkatársaknál, akik rendszeresen vezetnek.
Egy alkalmazott könnyen azt gondolhatja, hogy céges autóval történt szabálysértésről van szó, és jóhiszeműen megpróbálja rendezni az ügyet. Ha azonban céges eszközről kattint hamis linkre, vagy céges kártyaadatot ad meg, a kár nagyobb is lehet.
Munkahelyen ezért külön szabály legyen: bírságos, banki, hatósági vagy fizetési felszólítás esetén a dolgozó ne intézkedjen önállóan link alapján, hanem küldje tovább az illetékes adminisztrációnak, pénzügynek vagy informatikának.
Miért változtatják állandóan a módszereiket a csalók?
A csalók azért váltanak SMS-ről e-mailre, csomagértesítésről bírságra, banki figyelmeztetésről hatósági ügyre, mert figyelik, mire reagálnak az emberek. Ha egy módszer túl ismertté válik, újat keresnek.
A rendőrség is hangsúlyozza, hogy a bűnözők folyamatosan változtatják módszereiket, és hitelesnek tűnő megoldásokkal próbálják megtéveszteni az áldozatokat. A Mátrix Projekt keretében a rendőrség kiemelt figyelmet fordít az online csalások felderítésére, és további tanácsokért a KiberPajzs felületét ajánlja.
Ezért nem elég egyetlen csalástípust megtanulni. Az alapelvet kell megjegyezni: ha váratlan üzenet érkezik pénzről, bírságról, fiókzárolásról vagy adatmegadásról, először ellenőrzünk, és csak utána cselekszünk.
Öt egyszerű szabály, ami sok pénzt megmenthet
Az első szabály: ne kattintsunk váratlan e-mailben vagy SMS-ben érkező fizetési linkre.
A második: ne adjunk meg bankkártyaadatot, PIN-kódot, internetbanki belépési adatot vagy megerősítő kódot ismeretlen oldalon.
A harmadik: ellenőrizzük a feladó valódi e-mail-címét, ne csak a megjelenített nevet.
A negyedik: a hivatalos ügyeket mindig külön megnyitott, hivatalos csatornán ellenőrizzük.
Az ötödik: ha adatot adtunk meg, azonnal hívjuk a bankot, tiltsuk le a kártyát, és tegyünk bejelentést.
Ezek egyszerű lépések, de a csalások többsége pontosan azért sikeres, mert az emberek egy stresszes pillanatban kihagyják őket.
A legfontosabb üzenet
Az új bírságos adathalász e-mail lényege, hogy a csalók a rendőrség és a hatósági ügyintézés látszatával próbálják megijeszteni az autósokat. Azt állítják, hogy a címzett vezetés közbeni mobilhasználat miatt szabálysértést követett el, majd fizetési linkre terelik, ahol bankkártyaadatokat próbálnak megszerezni.
A levélben szereplő kitalált vagy hibás intézménynevek, a sürgetés, a gyanús link és a bankkártyaadatok bekérése mind arra utalnak, hogy csalásról lehet szó. Valódi bírságot soha ne e-mailes link alapján fizessünk be ellenőrzés nélkül.
A szabály egyszerű: ha bírságos e-mail érkezik, ne kattintsunk. Ellenőrizzük hivatalos csatornán. Ha pedig adatot adtunk meg, azonnal hívjuk a bankot.
