Ebben a cikksorozatban a leggyakoribb pénzügyi csalástípusokat mutatjuk be. A sorozat első részében az adathalászatról volt szó. Ebben a bejegyzésben az online banki csalásokkal foglalkozunk.

Online banki csalás

Az online banki csalások az internetes bűnözés egyik leggyorsabban növekvő formájává váltak, a mobilbanki szolgáltatások elterjedésével. A csalók egyre kifinomultabb módszerekkel próbálnak hozzáférni a potenciális áldozatok bankszámla adataihoz, és ellopni a pénzüket, gyakran anélkül, hogy a felhasználók észrevennék a támadást. 

Az effajta csalások számos formát ölthetnek. Közös jellemzőjük, hogy a támadók valamilyen módon megpróbálják átverni a felhasználókat, vagy kártékony szoftverekkel közvetlenül támadják meg az online banki szolgáltatásokat. Alább látható néhány a legelterjedtebb módszerek közül:

• Hamis banki weboldalak: A csalók gyakran hoznak létre hamis banki portálokat, amelyek szinte teljesen úgy néznek ki, mint az eredeti oldalak. Az áldozatok általában adathalász értesítéseken (phishing e-maileken vagy smishing üzeneteken) keresztül kerülnek ezekre az oldalakra, ahol megadják bejelentkezési adataikat, amelyek így a támadók kezébe kerülnek. Az ilyen támadások rendkívül hatékonyak, mivel ezek a weboldalak sokszor annyira hasonlítanak annak a banknak az oldalára, amely nevével a csalók visszaélnek, hogy hitelességükben nem kételkednek a felhasználók.

• Keylogging (Billentyűleütés-figyelés): A keylogger egy olyan kártékony szoftver, amely észrevétlenül rögzíti a felhasználó minden billentyűleütését, beleértve a jelszavakat, banki felhasználóneveket és más érzékeny adatokat. A támadók ezekkel az adatokat később hozzáférhetnek az áldozat bankszámlájához. A keyloggerek gyakran e-mail mellékletben, ismeretlen eredetű fájlok letöltésén vagy fertőzött weboldalakon keresztül terjednek.

• Banki malware (Trójai programok): A banki malware, például a Zeus vagy Dridex trójai programok célzottan az online banki szolgáltatásokra irányulnak. Ezek a programok a felhasználó eszközére települnek, és titokban információkat gyűjtenek - például bankszámla adatokat és tranzakciós információkat - majd ezeket továbbítják a támadóknak. A malware gyakran megtévesztő e-maileken vagy weboldalakon keresztül terjed.

Hogyan védekezzünk?

• Ellenőrizd a weblap címeket: Mindig győződj meg arról, hogy a banki weboldal URL-je helyes és https://-sel kezdődik. Ne kattints e-mailekben található linkekre, hanem manuálisan írd be a címet a böngésződbe.

• Használj kétfaktoros hitelesítést (2FA): A kétfaktoros hitelesítés a jelszó mellett további védelmi réteget biztosít, így két különböző hitelesítő kódra lesz szükség a belépéshez.

• Frissítsd szoftvereidet: Mindig a legfrissebb operációs rendszert és böngészőt használd, és telepítsd az elérhető biztonsági frissítéseket - ezek növelik a biztonságot.

• Sose ossz meg bizalmas adatokat: Soha ne add meg banki adataidat telefonon vagy e-mailben. A bankok sosem kérnek ilyen adatokat ilyen módon.

Social Engineering (Pszichológiai manipuláció)

A pszichológiai manipuláció, vagy angolul social engineering, a kiberbűnözés egyik legveszélyesebb és legnehezebben felismerhető formája. A támadók itt nem a technológiai rendszerek gyengeségeit, hanem az emberi természet sebezhetőségét használják ki. 

A social engineering célja, hogy pszichológiai trükkökkel rávegyék az áldozatot bizalmas adatok megosztására, vagy olyan dolgok végrehajtására, ami a támadók javát szolgálja. A pszichológiai manipuláció egy rendkívül kifinomult módszer, amely sokféle formát ölthet, de mindig megtévesztésre és a bizalom elnyerésére épít. Az alábbiakban bemutatunk néhány gyakori technikát, amelyekkel a támadók dolgoznak:

• Pretexting (Fedősztori kitalálása): A támadók egy előre kitalált, részletes fedősztorit kreálnak, amivel egy megbízható személynek - például kollégának, ügyfélszolgálati munkatársnak vagy rendvédelmi tisztviselőnek - adják ki magukat. Az áldozatot arra kérik, hogy adjon meg bizonyos érzékeny adatokat, például jelszavakat, pénzügyi információkat, vagy akár hozzáférhetőséget egy adott épülethez. A pretexting hatékonysága az alapos előkészítéseten és a hihető történeten alapul, amelyekkel a támadó hitelesnek tűnik.

• Baiting (Csali alkalmazása): A csalók gyakran valamilyen csábító ajánlattal próbálják rábírni az áldozatot arra, hogy adja meg az adatait vagy töltsön le egy kártékony szoftvert. Ez lehet például valamilyen szolgáltatás ingyenes igénybevétele, vagy valamilyen promóciós ajánlat. A baiting technika arra épít, hogy az emberek szeretnek kedvezményeket, ajándékokat kapni, és emiatt gyakran gondolkodás nélkül cselekszenek.

• Phishing és spear phishing: A phishing és annak kifinomultabb változata, a spear phishing, szintén a pszichológiai manipuláció egyik formája. A támadók hamis e-maileket vagy üzeneteket küldenek, amelyek hivatalos szervezetektől származónak tűnnek, és személyes adatokat próbálnak megszerezni. A spear phishing célzott támadásokat jelent, ahol az üzenet tartalmát az áldozatra szabják, például egy kollégára hivatkozva kérnek információt.

• Impersonation (Megszemélyesítés): A megszemélyesítés során a támadók közvetlenül szólnak az áldozathoz, gyakran telefonon vagy személyesen, és egy másik személy nevében kérnek adatokat vagy hozzáférést. Ez különösen akkor hatékony, ha a támadó jól ismeri az áldozat szervezetét, és pontos információkkal rendelkezik a megtévesztéshez.

A pszichológiai manipuláció hatékonyságának kulcsa az emberi viselkedésben rejlik. A támadók a manipuláció során gyakran alkalmaznak pszichológiai triggereket, mint például a félelem („biztonsági probléma”), a kapzsiság (csábító ajánlatok) vagy a szimpátia. Ezek mindegyike erősen befolyásolja a döntéshozatalt.

A támadók gyakran siettetik is az áldozatot, sürgős helyzetet teremtenek, vagy felsőbb autoritásra hivatkoznak. Ez önmagában is megnehezíti, hogy az áldozat alaposan átgondolja a helyzetet.

A pszichológiai manipulációt alkalmazó csalók gyakran aprólékosan kidolgozott történetekkel és pontos részletekkel operálnak, hogy megerősítsék hitelességüket. Az áldozatok sokszor azért dőlnek be, mert a támadó láthatóan jól informált. 

Hogyan védekezzünk?

• Tudatosság és oktatás: A pszichológiai manipuláció elleni védekezés első lépése a tudatosság. Az alkalmazottakat és a felhasználókat folyamatosan képezni kell, hogy felismerjék a manipuláció különböző formáit és megértsék, hogyan védekezhetnek ellenük.

• Hitelesítés és ellenőrzés: Mindig ellenőrizni kell a kérések hitelességét! Ha valaki adatokra átadására kér, győződj meg róla, hogy tényleg az, akinek mondja magát. Soha ne add meg az információkat addig, amíg nem ellenőrizted a forrást!

• Ne ossz meg sok információt magadról: Legyél óvatos azzal, hogy milyen információkat osztasz meg, különösen a közösségi médiában. A támadók gyakran ezekre építik a hitelesnek tűnő történeteket.

• Tartsd be a biztonsági eljárásokat: Ha egy e-mail vagy üzenet gyanúsnak tűnik, ne kattints a benne található linkekre, és ne töltsd le a mellékleteket! Használj erős, egyedi jelszavakat, és alkalmazd a kétfaktoros hitelesítést, ahol csak lehet!