Adathalászat: Újabb, átlátszó, de mégis sikeres módszerek

Milyen jellegű SMS-ben érkező adathalász üzeneteket ismernek?

SMS-ben érkezik olyan utasítás, hogy lejárt az előfizetése, vagy kérjük frissítse meg csomagját, az adott linken, vagy amennyiben nem fizet, akkor letiltjuk a korábban megrendelt szolgáltatást. Így indultak körülbelül két éve az ilyen csalások. Ezek a tömeges SMS-ek általában Franciaországból érkeznek, márpedig ha nem magyar országkódról érkeznek, azokkal az esetek többségében nem tudunk mit tenni. Fontos az, hogy gyanú ébredjen az ilyen jellegű üzenetek címzettjében. Feltűnő lehet a magyartalan megfogalmazás, még akkor is ha Magyarországról jön. Vannak olyan üzenetek, amelyeket látszólag a rendőrség küld és abban szabálysértési aktára hivatkoznak, ami nincs is, és 4550 forintot kérnek. Fontos megnézni, hogy milyen maga a link, ami már önmagában árulkodó lehet, hiszen például a magyar rendőrségnek nincs police.com-os e-mail címe. De vannak olyan linkek is, amik értelmezhetetlen karakterek halmazából állnak. Ezek a beazonosíthatatlan linkek elvezetnek egy weboldalra, ami talán csak abban a másodpercben, vagy éppen abban a 24 órában létezik. Mindenképpen figyelemfelkeltő, ha az SMS-ben link van, ugyanis a legtöbb szolgáltató nem kommunikál így SMS-ben. Ezeket, a megelőzés érdekében folyamatosan tudatja az állampolgárokkal a rendőrség, de sajnos mégis mindig akad olyan, aki átmegy a rostán, mert nem fordít kellő figyelmet arra, hogy megnézze honnan is jön az üzenet és pontosan mit tartalmaz. Az üzenet olvasásakor pánikba esik, hogy írt neki a rendőrség és azonnal rákoppint a csaló linkre.

Hogyan történik maga a csalás, hogyan válik valaki áldozattá?

Az említett linkeknek több fajtája is létezik, ilyen ez a bizonyos „Maria vagyok, Hongkongi munkavégzést ajánlok” kezdetű, aminek a végén egy WhatsApp-os link található. A fizetéses felszólítós SMS-ekben szereplő linkek általában elvezetnek egy olyan rendes szolgáltatónak tűnő, átmeneti webes megjelenítésre, ami úgy néz ki, mintha például tényleg a Netflix-en vagy a Foxpost-on lenne az üzenet címzettje, mert lemásolják azokat a csalók, és így megszólalásig hasonló a felület. Ami elárulhatja nekünk azt, hogy hamis weboldalon vagyunk az a weboldal elérési útvonalának a neve. Ezt érdemes ellenőrzi és összevetni a szolgáltató hivatalos weboldalának elérési útvonalával.

Ott aztán azonosítást kérnek és persze azt, hogy adja meg előfizetéséhez használt bankkártya adatait. Még azt is ki lehet választani, hogy melyik banknál van az áldozat, aki kétségbe van esve, hogy mi lesz, ha nem fizeti be a rendőrségnek a büntetést, vagy ha nem tudja többet nézni a kedvenc sorozatát, ezért aztán kiválasztja a saját bankját a listából. Az adathalász linken egy lemásolt banki főoldal válik láthatóvá és van, ahol a „megszokott”-nak tűnő netbankos belépési felület is megtalálható. A gyanútlan áldozat még mindig azt hiszi, hogy jó helyen jár, pedig csak egy másolatot lát, ami aztán ugyanúgy kéri a belépési adatokat, ahogy a bank szokta, és emiatt is azt gondolja a sértett, hogy biztonságban van, ezért megadja a privát jelszót, majd belép, hite szerint, a saját netbankjába. Onnantól kezdve kéri őt az adathalász oldal, hogy erősítsen meg, vagy indítson el egy tranzakciót. Mikor ez megtörténik, a csalás áldozata minden adatot megad, vagyis a kártya számát, a kártya lejárati dátumát és persze a kártya hátulján található kódot, éppúgy, mint amikor otthonról vásárol valamit az ember. Ezzel gyakorlatilag tálcán kínálja magát az adathalászoknak. Erre jön egy aktiváló kód, amit valóban a sértett bankja küld, a telefonra, merthogy az elkövető elindít egy tranzakciót, mondjuk 1500 forintról, de a címzett nem figyeli, hogy mit is tartalmaz az sms, nem olvassa el rendesen, be van szűkülve, és ha valaki ilyen módon beírja a kapott kódot, azzal gyakorlatilag hozzájárul ahhoz, hogy a csaló digitalizálja mondjuk a kártyáját, vagy jóváhagy egy átutalást.

Amennyiben az elkövető digitalizálta a bankkártyánkat például az Apple Pay-hez vagy Google Pay-hez társítva, onnantól kezdve hozzáfér a számlához, így érintéssel bárhol tud fizetni a világon, hiszen nem kell ehhez fizikai kártya. Online vásárolhat, fizethet szolgáltatásokat, szállást, játékszoftvert, bármit. Ilyenkor bemegy a károsult a bankba, ahol hiába igazolja, hogy nem volt Franciaországban, hogy százezreket költsön például egy hotelben, a bank nem tud segíteni. A pénzintézetek minden tőlük telhetőt megtesznek a biztonság érdekében, csak a károsult okolható baj esetén, mert nem olvasta el megfelelően a neki küldött biztonsági üzenetet. A folyamat még megállítható, ha csak a kártyaadatok kerültek rossz kezekbe, mert a bankok különböző módon limitálják a tranzakciókat, akár összegre, akár darabra egy napon belül, és ezekről a pénzintézet mindig küld SMS-t, már ha be van állítva ez a lehetőség, de sokan ezt sajnos nem kérik. Abban az esetben azonban, ha a kártya digitalizálása a jóváhagyásunkra megtörténik, a bank is tehetetlen.

Karácsony idején például sok olyan sms-t kaphattunk, amiben az állt, hogy „Kérem módosítsa a szállítási címet, hogy biztosan megkapja a megrendelt csomagját.” A címmódosítás jelképes, pár száz forintos díját kérték bankkártyás fizetéssel a mellékelt linken keresztül kiegyenlíteni. Az sms-ben lévő link egy valós, mindennapokban szembe jövő csomagszállító cég logójával ellátott honlapra irányította a gyanútlant, ahol egyrészt megadta a bankkártyája adatait és fizetett is a „címmódosításért”, másrészt pedig az elkövető megszerezve a kártya adatokat újabb tranzakciókat indított.

Bűncselekmény-e önmagában az ilyen szöveges üzenetek küldése?

Több száz, sok ezer SMS kimehet egyszerre, de önmagában ez még nem veszély, csak az, amikor a címzettek a mellékelt linkre kattintanak és követik az ott látott utasításokat és megadják a kért adatokat. Így tehát az ilyen jellegű SMS-ek küldése önmagában még nem számít bűncselekménynek, a csalási cselekmény előkészületeként lehetne értékelni, ami azonban a hatályos jogi szabályozás szerint nem büntetendő.

Nagyságrendileg mennyi kárt okoztak ezek a csalások az egész kezdete óta?

Az ezekkel kapcsolatos adatok mindenki számára elérhetőek az ORFK Mátrix Hírei között. Ott többek között az is olvasható, hogy az elmúlt években az állampolgári szokások változásával együtt, különösen a Covid időszak alatt, az online bűnözési módszerek is átalakultak. Az elmúlt három év adatai alapján a csalásokon belül az online térben elkövetettek száma nőtt a legnagyobb mértékben. 2022-ben a csalások mintegy 50 százaléka tartozott ebbe a típusba, és ez az arány 2023-ban tovább emelkedett: tavaly az összes csalás 75,5 százalékát már az online térben követték el, és az okozott kár megközelítette a 14 milliárd forintot. Fejér megye benne van az első négy legrosszabb területben, Heves megye, Budapest és Pest megye után, írja a rendőrség Mátrix Projekt eredményeit bemutató kiadvány.

Hogyan zajlik az ilyen jellegű esetek felderítése?

Elsőként megvizsgáljuk a jogosulatlan tranzakciót. Pontosan mikor, mennyi pénz és hova került átutalásra, illetve hol használták a digitalizált kártyát. Bankkártyás vásárlás esetén fontos tisztázni az elfogadó helyet, melyek jellemzően más országokban lévő kereskedőkhöz kapcsolódnak. Webáruházas vásárlások esetén van lehetősége a rendőrségnek vásárlási adatokat, IP címeket beszerezni akkor is, ha a szolgáltató nem magyar. Vannak azonban olyan esetek, amikor a jogi szabályozás nem teszi lehetővé a digitális adatok beszerzését, ezekben az esetekben a felderítés akadályba tud ütközni. Banki átutalás esetén az ellenoldali számlaszámot vizsgáljuk meg, tisztázzuk annak tulajdonosát és annak mentén kezdünk el nyomozni.

Vagyon visszaszerzésére van-e lehetőség?

Bankkártyás tranzakció esetén a hatóságnak jellemzően nincs lehetősége a levásárolt összeg lefoglalására, hiszen az a pénz már a jogszerű kereskedőnél van. Banki átutalás esetén viszont jó eséllyel van lehetőségünk a pénz „megfogására”, ehhez azonban az kell, hogy az áldozat/állampolgár/sértett időben kérje a hatóság segítségét, jelezze felénk és a bankja felé is, hogy bűncselekmény áldozatává vált.