Mi az adathalászat?
Az adathalászat olyan megtévesztési módszer, amelynek célja bizalmas adatok, például jelszavak, bankkártyaadatok, internetbanki azonosítók vagy egyszer használatos jóváhagyó kódok megszerzése.
Az elkövetők rendszerint egy ismert szervezet, szolgáltató vagy akár egy ismerős nevében jelentkeznek. Az üzenetbe helyezett hivatkozás gyakran egy hamis weboldalra vezet, amely külsőre szinte teljesen megegyezik az eredetivel. Ha a felhasználó ezen az oldalon megadja az adatait, azok közvetlenül a csalókhoz kerülnek.
Az adathalászatnak több változata is létezik:
- e-mailben végrehajtott támadást;
- a csalók SM-ben próbálkoznak;
- telefonon adják ki magukat banki vagy más hivatalos ügyintézőnek;
- egy QR-kód rejti el a csaló weboldal címét;
- a lándzsás adathalászat személyre szabott, előzetesen összegyűjtött adatokra épülő támadás.
Az adathalász hivatkozások már nemcsak e-mailben és SMS-ben terjednek. Közösségi oldalakon, üzenetküldő alkalmazásokban, online hirdetésekben, megosztott dokumentumokban és akár valóban feltört ismerősi vagy munkahelyi fiókokból is érkezhetnek.
Sürgetés, fenyegetés és váratlan jutalom
Az adathalász üzenetek egyik legjellemzőbb tulajdonsága, hogy gyors döntésre akarják kényszeríteni a címzettet. A csalóknak az az érdekük, hogy az áldozatnak ne legyen ideje ellenőrizni az állításokat.
Gyanúra adhatnak okot az olyan felszólítások, mint:
- „Fiókját 24 órán belül felfüggesztjük.”
- „Bankkártyáját biztonsági okból zároltuk.”
- „Elmaradt számlája miatt kikapcsolhatják a szolgáltatást.”
- „Csomagja kézbesítéséhez 699 forintot kell fizetnie.”
- „Közlekedési bírsága van, rendezze haladéktalanul.”
- „Adó-visszatérítésre jogosult, erősítse meg adatait.”
- „Hűségpontjai hamarosan lejárnak.”
- „Nyereményt kapott, kattintson az átvételhez.”
A csalók félelmet, kíváncsiságot, kapzsiságot vagy segítőkészséget próbálnak kiváltani. Egy üzenet annál gyanúsabb, minél súlyosabb következménnyel fenyeget, vagy minél kedvezőbb ajánlatot ígér azonnali cselekvésért cserébe.
A rendőrség 2026-ban több, magyarországi címzetteket célzó kampányra is figyelmeztetett. Az elkövetők egyebek mellett a NAV nevében adójóváírást ígértek, az MVM Next ügyfeleit kikapcsolással fenyegették, más esetekben pedig közlekedési bírságra hivatkoztak.
Ellenőrizni kell a feladó valódi címét
A feladóként megjelenő név önmagában semmit sem bizonyít. Egy e-mail látszólag érkezhet „Ügyfélszolgálat”, „Magyar Posta” vagy valamelyik bank nevében, miközben a mögötte lévő cím egy teljesen más domainhez tartozik.
A teljes e-mail-címet kell megvizsgálni, különösen a @ jel utáni részt. Gyakori módszer, hogy a csalók az eredetihez hasonló karaktereket használnak:
- az „o” betű helyett nullát;
- az „l” betű helyett nagy „i” betűt;
- egy betűvel hosszabb vagy rövidebb márkanevet;
- felesleges kötőjeleket vagy kiegészítő szavakat;
- szokatlan, külföldi domainvégződést.
A hamis cím például csak egyetlen karakterben térhet el a valóditól. A feladó telefonszáma sem jelent biztosítékot, mivel a hívószám és az üzenetküldő azonosító technikailag meghamisítható. Az is előfordulhat, hogy egy ismerős vagy munkatárs feltört fiókjából érkezik a káros üzenet.
Ha egy ismerős váratlanul pénzt kér, dokumentumot küld vagy sürgős belépésre szólít fel, másik kommunikációs csatornán is meg kell erősíteni, hogy valóban ő küldte-e az üzenetet.
Nem az számít, mi van a linkre írva
Az üzenetben megjelenő gomb vagy szöveg eltérhet attól a címtől, amelyre valójában vezet. A „Belépés”, „Csomagkövetés” vagy „Befizetem a számlát” felirat mögött teljesen más webcím rejtőzhet.
Számítógépen kattintás nélkül, az egérmutatót a hivatkozás fölé helyezve általában megjeleníthető a céloldal címe. Mobiltelefonon egyes rendszerek hosszú érintésre mutatják meg a teljes URL-t. Ha a cím nem ellenőrizhető biztonságosan, a linket nem szabad megnyitni.
Különösen gyanúsak:
- az értelmetlen betű- és számsorokat tartalmazó címek;
- a rövidített hivatkozások;
- az eredeti márkanevet csak részben tartalmazó domainek;
- a szokatlan domainvégződések;
- az IP-címmel kezdődő webcímek;
- a hivatalos oldal nevét egy másik domain alá rejtő linkek.
A `bank.hu.biztonsagos-belepes.example.com` cím például nem a `bank.hu` oldalhoz tartozik. A valódi domain ebben az esetben az `example.com`, a bank neve csupán megtévesztő aldomainként szerepel előtte.
A böngésző címsorában látható lakat és a `https` kezdet sem bizonyítja, hogy az oldal valódi. Ezek csak azt jelzik, hogy a készülék és a weboldal közötti kapcsolat titkosított. A csalók ugyanúgy szerezhetnek tanúsítványt a saját adathalász oldalaikhoz.
A legbiztonságosabb eljárás az, ha az üzenetben szereplő link helyett külön megnyitjuk a szolgáltató hivatalos alkalmazását, vagy saját kezűleg beírjuk a már ismert webcímet. Ezt javasolja a Nemzeti Kiberbiztonsági Intézet is: a kapott állítást mindig a szervezet önállóan megkeresett hivatalos felületén kell ellenőrizni.
Bizalmas adatot kérnek az üzenetben
Erős figyelmeztető jel, ha az üzenet vagy a megnyitott oldal a következőket kéri:
- internetbanki felhasználónév vagy jelszó;
- bankkártyaszám, lejárati idő és CVC- vagy CVV-kód;
- PIN-kód;
- SMS-ben vagy mobilalkalmazásban érkezett jóváhagyó kód;
- e-mailes vagy közösségi fiók jelszava;
- személyazonosító okmány fényképe;
- távoli hozzáférést biztosító alkalmazás telepítése;
- pénz átutalása egy „biztonsági számlára”.
A bank kérhet azonosítást a saját internetbanki vagy mobilbanki felületén, de e-mailben, SMS-ben vagy telefonon nem kéri el az ügyfél teljes jelszavát, PIN-kódját, bankkártyája biztonsági kódját vagy az egyszer használatos jóváhagyó kódot. Nem kér olyan program telepítését sem, amelyen keresztül távolról hozzáférhet a készülékhez. Az MNB tájékoztatója szerint ilyen kérésnél azonnal meg kell szakítani a kapcsolatot, majd a bank hivatalos ügyfélszolgálatát kell felhívni.
A jóváhagyó üzenetet is mindig végig kell olvasni. Ha valaki egy állítólagos adategyeztetés közben olyan kódot kér, amelynek értesítése valójában új eszköz regisztrálásáról, átutalásról vagy bankkártyás fizetésről szól, a műveletet nem szabad engedélyezni.
A hibátlan megfogalmazás sem bizonyít semmit
Korábban az adathalász leveleket gyakran elárulták a helyesírási hibák, a magyartalan mondatok vagy a gyenge minőségű logók. Ezek továbbra is figyelmeztető jelek lehetnek, de hiányuk nem jelenti azt, hogy az üzenet valódi.
A mesterséges intelligencia segítségével a támadók ma már természetes hangzású, hivatalos stílusú és személyre szabott üzeneteket készíthetnek. A nyilvánosan hozzáférhető közösségi médiás és kiszivárgott adatokat felhasználva akár a címzett nevét, munkahelyét, beosztását vagy valós szolgáltatóját is beépíthetik a levélbe.
A Magyar Nemzeti Bank arra figyelmeztet, hogy a mesterséges intelligencia miatt a korábban árulkodó helyesírási és nyelvhelyességi hibák eltűnhetnek. Emiatt nem a szöveg minősége, hanem a kérés jellege, a feladó címe, a link valódi célja és a megkeresés módja alapján kell dönteni.
A csatolmány és a QR-kód is lehet csapda
Nemcsak a közvetlen hivatkozások veszélyesek. Az adathalász e-mailek Word-, Excel-, ZIP-, ISO-, HTML- vagy PDF-fájlt is tartalmazhatnak. A dokumentum megnyitása rosszindulatú program telepítéséhez vezethet, vagy egy újabb linkre, bejelentkezési oldalra irányíthatja a felhasználót.
A PDF-fájl önmagában sem tekinthető biztonságosnak. A Nemzeti Kiberbiztonsági Intézet szerint a támadók egyre gyakrabban rejtenek QR-kódot vagy rosszindulatú hivatkozást PDF-dokumentumokba. A jelszóval védett fájlokkal ráadásul az automatikus levélszűrőket is megpróbálhatják kijátszani.
A QR-kód különösen kockázatos, mert emberi szemmel nem olvasható, így beolvasás előtt nem látható, milyen oldalra vezet. A közepébe helyezett logó vagy a professzionális megjelenés nem igazolja a hitelességét. Kéretlen e-mailben, SMS-ben vagy ismeretlen dokumentumban érkező QR-kódot ezért nem szabad automatikusan beolvasni.
Így ellenőrizhető biztonságosan egy gyanús üzenet
Ha egy üzenet valódisága kérdéses, érdemes öt egyszerű lépést követni:
- Álljon meg, és ne kattintson semmire. A sürgetés éppen azt szolgálja, hogy ne maradjon idő az ellenőrzésre.
- Vizsgálja meg a teljes feladói címet és a hivatkozás célját. Ne csak a megjelenített névnek vagy logónak higgyen.
- Nyissa meg külön a szolgáltató hivatalos alkalmazását vagy weboldalát. Ne az üzenetben kapott linket használja.
- Vegye fel a kapcsolatot a szervezettel a hivatalos honlapján, bankkártyáján vagy korábbi szerződésén szereplő elérhetőségen. Ne az üzenetben megadott telefonszámot hívja.
- Kérdezze meg magától, számított-e erre az értesítésre. Ha nem rendelt csomagot, nincs elmaradt számlája, és nem kezdeményezett jelszó-visszaállítást, az üzenet nagy valószínűséggel nem valódi.
Mit tegyünk a gyanús üzenettel?
A gyanús levelet nem szabad megválaszolni, a linkjét megnyitni vagy a mellékletét letölteni. Az e-mail-szolgáltató „Adathalászat bejelentése” funkciójával érdemes jelenteni, majd a kéretlen levelek közé helyezni.
Munkahelyi fiókba érkező gyanús üzenetnél az informatikai vagy információbiztonsági felelőst is azonnal értesíteni kell. Ez akkor is fontos, ha a címzett nem kattintott, mert ugyanazt a támadást más munkatársak is megkaphatták.
Az adathalász próbálkozás az érintett banknak, futárszolgálatnak vagy más megszemélyesített szervezetnek is továbbítható. A Nemzeti Kiberbiztonsági Intézet incidensbejelentő felületét bárki használhatja, akár anonim módon is. A bejelentéshez érdemes megőrizni az üzenetet, a feladó címét, a hivatkozást és egy képernyőképet.
Mi a teendő, ha már rákattintottunk?
Egy link megnyitása még nem feltétlenül jelenti azt, hogy az adatok vagy a készülék biztosan veszélybe kerültek. A kockázat attól függ, hogy történt-e adatbevitel, fájlletöltés, programtelepítés vagy valamilyen engedély megadása.
Ha csak megnyílt az oldal:
- azonnal zárja be;
- ne töltsön le és ne telepítsen semmit;
- ne engedélyezze az értesítéseket vagy más hozzáféréseket;
- ellenőrizze a letöltések mappáját;
- frissítse a böngészőt és az operációs rendszert;
- futtasson ellenőrzést naprakész biztonsági programmal.
Ha fájlt vagy alkalmazást is telepített, válassza le az eszközt az internetről. Munkahelyi készüléknél ne próbálja egyedül eltávolítani a programot, hanem azonnal értesítse az informatikai részleget.
Azonnal cselekedni kell, ha adatokat is megadtunk
Ha a hamis oldalon jelszót adott meg, azt egy másik, megbízható eszközről azonnal változtassa meg. Ugyanezt minden olyan fióknál meg kell tenni, ahol ugyanazt vagy hasonló jelszót használta. Ezután jelentkeztesse ki az összes korábbi munkamenetet, ellenőrizze a kapcsolattartási és helyreállítási adatokat, majd kapcsolja be a kétlépcsős azonosítást.
Banki adat, kártyaadat vagy jóváhagyó kód megadása esetén haladéktalanul fel kell hívni a bankot a hivatalos ügyfélszolgálati számon. Szükség lehet a bankkártya, az internetbanki hozzáférés vagy a mobilbank letiltására. Az MNB szerint a veszélybe került azonosítókat mielőbb le kell tiltani, és a gyanús tranzakciókat azonnal jelezni kell a számlavezetőnek.
Ha pénzt is eltulajdonítottak, vagy a csalók hozzáfértek valamelyik fiókhoz, rendőrségi feljelentést is kell tenni. A bizonyítékokat – üzeneteket, képernyőképeket, telefonszámokat, webcímeket és banki értesítéseket – nem szabad törölni.
A legfontosabb szabály: ne az üzenetet, hanem a kérést vizsgáljuk
Egy adathalász üzenet lehet látványosan hibás, de akár teljesen hitelesnek is tűnhet. Érkezhet ismeretlen számról, valódi szolgáltatói név alatt vagy egy feltört ismerősi fiókból. Tartalmazhat helyes adatokat, hivatalos logókat és hibátlan magyar szöveget is.
A döntő kérdés ezért nem az, hogy jól néz-e ki az üzenet, hanem az, hogy mire akar rávenni. Ha sürget, félelmet kelt, váratlan fizetést kér, bizalmas adatot követel, programtelepítésre ösztönöz vagy egy üzenetben küldött linken keresztüli bejelentkezést vár el, minden esetben meg kell szakítani a folyamatot, és külön, hivatalos csatornán kell ellenőrizni a megkeresés valódiságát.
