Modul 3 · 3.4
Adathalászat sms-ben, csevegésben, telefonon és QR-kóddal
Modul 3: Az adathalászat felismerése · Olvasási idő: 12 perc
Tanulási cél: E lecke után felismeri az adathalászatot az e-mailen kívül is: sms-ben és csevegő alkalmazásokban, telefonon (akár utánzott hanggal is), QR-kódokon keresztül és a bejelentkezési értesítések özönében, és tudja, hogyan ellenőrizze ezt csatornánként.
Kulcsfogalmak: smishing, unoka-trükk jellegű csalás (vészhelyzetben lévő ismerős), vishing, a telefonszám hamisítása (spoofing), álhelpdesk, hangklón, quishing, MFA-bombázás
Miért működnek olyan jól a többi csatorna
A 3.1. leckében tanultak itt is érvényesek: sürgetés, tekintély, félelem, kíváncsiság és jutalom. Az e-mailen kívül azonban ezek a trükkök gyakran még jobban működnek:
- Telefonon gyorsan olvas. A kijelző kicsi, a címek csonkolva jelennek meg, és Ön gyakran éppen valami mással van elfoglalva.
- Kevesebb technikai segítség van. Egy levelezőszerver ellenőrzi az SPF-et, a DKIM-et és a DMARC-ot, és van spamszűrője. Sms, csevegés és telefon esetén ez sokkal kevésbé van jelen.
- Személyesebbnek hat. Egy üzenet egy csevegő alkalmazásban vagy egy hang a telefonban több bizalmat kelt, mint egy e-mail.
- Élőben történik. A hívó fél tovább kérdezhet, nyomást gyakorolhat, és lépésről lépésre vezetheti Önt.
A reflex ugyanaz marad: álljon meg, ellenőrizze a saját, megszokott módján, kérdezzen rá. Csatornánként csak az ellenőrzés módja különbözik.
Sms és csevegés: smishing és a vészhelyzetben lévő ismerős trükkje
A smishing az sms-ben történő adathalászat. A csalók olyan szervezetnek adják ki magukat, amelytől Ön sms-t várhatna: egy futárszolgálat, a bank, egy állami szolgáltatás, az energiaszolgáltatója. A holland NKI (NCSC) szerint ugyanez történik csevegő alkalmazásokon, például a WhatsAppon és a Telegramon keresztül is.
Egy tipikus példa:
Futárszolgálat: csomagját nem sikerült kézbesíteni hiányos cím miatt. Ütemezzen új kézbesítést:
https://koeriersdienst.track-nl.example/z8K
Olvassa el a linket a 3.2. leckében tanultak szerint: a regisztrálható domain itt track-nl.example, tehát nem a futárszolgálat koeriersdienst.example domainje. Telefonon ez különösen nehéz, mert csak az elejét látja. Tartsa nyomva a linket, hogy lássa a teljes címet, vagy ne nyissa meg, hanem keresse fel saját maga a futárszolgálat alkalmazását vagy honlapját.
A feladó száma vagy neve semmit nem bizonyít. Az sms-feladók és a telefonszámok hamisíthatók (spoofing). Emiatt egy hamis üzenet ugyanabban az sms-beszélgetésben jelenhet meg, mint az adott feladó valódi üzenetei. Egy ismert név az üzenet felett tehát szintén nem bizonyíték.
A vészhelyzetben lévő ismerős trükkje csevegő alkalmazásokon keresztül zajlik:
Szia, ez az új számom, eltört a telefonom. Ki tudnál fizetni helyettem valamit? Holnap visszaadom. Még ma meg kell lennie.
Egy vállalkozásban ugyanez a trükk előfordulhat úgy is, hogy "az ügyvezető" vagy "egy kolléga" új számról üzen, és gyorsan kér egy kifizetést vagy ajándékkártyákat. Ellenőrzés: hívja fel vagy írjon az illetőnek a régi, ismert számán, vagy tegyen fel egy kérdést, amire csak a valódi személy tudja a választ.
A telefon: vishing, álhelpdesk és hangklónok
A vishing (voice phishing, hangalapú adathalászat) telefonon történő adathalászat. Három forma gyakori.
A bankalkalmazott. Valaki a bank vagy a "csalásmegelőzési osztály" nevében hívja: gyanús tranzakciók történtek, a pénzét "biztonságba" kell helyezni, vagy meg kell adnia egy kódot, vagy jóvá kell hagynia egy fizetést a bankolási alkalmazásában. A kijelzőn néha még a bank valódi száma is megjelenik. Ez is hamisítható. Egy valódi bank soha nem kéri a bejelentkezési kódjait, és nem kéri, hogy pénzt utaljon egy "biztonságos számlára".
Az álhelpdesk. Valaki egy szoftvergyártó, az internetszolgáltatója vagy az informatikai cége nevében hívja: a számítógépe fertőzött, probléma van a fiókjával. Arra kéri, telepítsen egy programot, amivel távolról beleláthat a gépébe. Ezzel átveszi az irányítást a számítógépe felett. A holland NKI (NCSC) egyszerűen fogalmaz: soha ne adjon senkinek csak úgy távoli hozzáférést az eszközeihez.
Az utánzott hang. Mesterséges intelligenciával egy hang hangfelvételek alapján utánozható, például egy videóból vagy hangüzenetből. Az Ön ügyvezetőjének vagy egy családtagjának hangklónja sürgős kéréssel hívhatja fel. A füleinek tehát már nem bízhat meg vakon.
Mindhárom esetben ez működik:
- Tegye le a telefont amint nyomást érez, vagy kódot, pénzt, illetve hozzáférést kérnek Öntől. Ez nem udvariatlanság.
- Hívja vissza saját maga egy olyan számon, amelyet Ön maga keresett ki vagy már ismert: a bankkártyája hátoldalán, a hivatalos honlapon, a saját névjegyzékében. Ne a hívó fél által megadott számot.
- Beszéljen meg egy ellenőrző kérdést vagy jelszót azokkal, akik pénzt kérhetnek Öntől, például az ügyvezetéssel és a könyveléssel. Rögzítsék azt is, hogy kifizetés soha nem történhet kizárólag egy telefonhívás alapján (1.2. lecke).
QR-kódok: quishing
A QR-kód egyszerűen egy olyan link, amelyet nem tud elolvasni. A quishing QR-kóddal végzett adathalászat. Két formája van:
- Utcán vagy egy helyiségben. Egy saját QR-kódot tartalmazó matrica az eredeti fölé ragasztva, egy parkolóautomatán, egy töltőoszlopon, egy étlapon vagy egy plakáton. Ön azt hiszi, hogy a parkolási alkalmazásban fizet, de valójában a kártyaadatait egy hamis oldalon adja meg.
- E-mailben vagy pdf-ben. "Szkennelje be ezt a kódot a postafiókja megerősítéséhez." Egy képben elhelyezett QR-kódot nem tud ellenőrizni az egérrel. És a telefonjával szkenneli be, ahol a címeket nehezebben tudja elolvasni.
A holland NKI (NCSC) többek között a következőket javasolja:
- Ne szkenneljen be kísérő szöveg vagy kép nélküli QR-kódot, és legyen óvatos a nyilvános helyeken található kódokkal.
- Nézze meg, hogy a kód valóban rá van-e nyomtatva a plakátra vagy a táblára, vagy csak egy matrica van ráragasztva.
- Használjon olyan szkennert, amely előbb megmutatja, milyen címre vagy domainre jut. Az Android és az iOS újabb verzióiban ezt alapértelmezés szerint a kamera teszi meg.
- Ha nem ismeri fel a címet, ne folytassa. Ne adjon meg jelszót vagy fizetési adatokat, ha nem biztos abban, hogy az oldal valódi.
A kamera által megjelenített cím példájánál a regisztrálható domaint nézze meg, pontosan úgy, mint a 3.2. leckében. Egy parkolóautomatánál a hivatalos parkolási alkalmazást vagy a táblán feltüntetett címet is használhatja.
MFA-bombázás: amikor a telefonja folyton csipog
Sok szolgáltatás bejelentkezéskor értesítést küld a telefonjára: "Megpróbál bejelentkezni? Jóváhagyás vagy elutasítás." Ha egy támadó már ismeri a jelszavát, akkor ismételten megpróbál bejelentkezni. A telefonja egyik értesítést kapja a másik után, néha éjszaka közepén. Ezt MFA-bombázásnak nevezik (más néven MFA-fáradtság). A támadó azt reméli, hogy bosszúságból vagy véletlenül rákattint a Jóváhagyásra. Néha ezt még telefonhívással vagy üzenettel is megtámogatja, "helpdeskként": "Éppen helyreállítjuk a fiókját, kérjük, hagyja jóvá."
Mit tegyen:
- Soha ne hagyjon jóvá olyan értesítést, amelyet Ön maga nem kezdeményezett. Még akkor sem, ha valaki erre kéri.
- Tekintse riasztásnak. Egy váratlan bejelentkezési értesítés azt jelenti, hogy valaki ismeri a jelszavát. Azonnal változtassa meg az adott fiók jelszavát, magán az oldalon vagy alkalmazáson keresztül.
- Nézze meg az aktív munkameneteket, és jelentkeztesse ki az ismeretlen munkameneteket (2.5. lecke).
- Ha lehetséges, válasszon erősebb kétlépcsős azonosítási módot. A számpárosításnál (number matching) a bejelentkezési képernyőn megjelenő számot be kell írnia az alkalmazásba; egy olyan értesítést, amelynél nincs előtte ez a képernyő, nem lehet csak úgy jóváhagyni. A passkeyk és a biztonsági kulcsok (2.4. lecke) még erősebbek, mivel hamis oldalon nem működnek.
A gyakorlatban: így néz ki
A Fiókomban az aktív munkamenetek alatt láthatja, hol és mikor jelentkezett be, és kijelentkeztetheti a többi munkamenetet (WebOké útmutató 3.6). Más szolgáltatásoknál, például a levelezőprogramjánál, könyvelési szoftverénél vagy a Nextcloudnál, a fiók biztonsági beállításai alatt hasonló áttekintés található. Egy váratlan bejelentkezési értesítés után elsőként ott nézzen utána.
Összefoglalás
- Az e-mailen kívül ugyanazok a trükkök működnek, de kevesebb technikai segítség áll rendelkezésre, és gyorsabban olvas.
- A kijelzőn megjelenő szám vagy feladónév semmit nem bizonyít: ezek hamisíthatók.
- Telefonon: tegye le, hívjon vissza saját maga egy ismert számon, soha ne adjon meg kódot, pénzt vagy távoli hozzáférést. Egy ismerősnek tűnő hang is utánzott lehet.
- QR-kódok: nézze meg, nincs-e rajta matrica, nézze meg, mit mutat a kamera a címről, és olvassa el a regisztrálható domaint.
- Egy váratlan bejelentkezési értesítés riasztás: utasítsa el, változtassa meg a jelszót, ellenőrizze a munkameneteket.
Kvíz
Feladat
A3.4 feladat: QR-kód elolvasása anélkül, hogy megnyitná. A program megjelenít egy QR-kódot. Szkennelje be a telefonja kamerájával, de ne nyissa meg a linket. Olvassa el a kamera által megjelenített címet, adja meg a regisztrálható domaint, és azt, hogy megnyitná-e a linket. A program ellenőrzi a választ.
D3.4 feladat: Megállapodások telefonra, csevegésre és bejelentkezési értesítésekre. Beszéljék meg a csapatával a visszahívásra, egy ellenőrző kérdésre vagy jelszóra vonatkozó megállapodásokat, valamint azt, hogy mit tegyenek egy váratlan bejelentkezési értesítés esetén. Ezután ellenőrizze a saját telefonján, hogy a kamera megmutatja-e egy QR-kód címét, mielőtt megnyitná.
D3.4. feladat: Megállapodások telefonra, csevegésre és bejelentkezési értesítésekre
Így kezdjen hozzá: (1) Állapodjon meg azokkal, akik kifizetéseket indítanak vagy hagynak jóvá, hogy pénzkérést, IBAN-módosítást vagy kódokat soha nem teljesítenek kizárólag telefonon, sms-ben vagy csevegésben. A visszahívás mindig a saját nyilvántartásukban vagy névjegyzékükben szereplő számon történik. (2) Állapodjon meg egy ellenőrző kérdésben vagy kódszóban a vezetőség vagy a család sürgős kéréseihez. A kódszót sehol ne írja le digitálisan olyan helyen, ahol egy támadó elolvashatja. (3) Állapodjanak meg abban, mit tesz mindenki egy váratlan bejelentkezési értesítés vagy értesítéssorozat esetén: elutasítás, jelzés, jelszó megváltoztatása, munkamenetek ellenőrzése (4. lecke, 2.5. rész). (4) Ellenőrizze, hogy a telefonja kamerája QR-kód beolvasásakor előbb megmutatja-e a címet, és csak érintésre nyitja-e meg. Ehhez használjon egy ismert, saját forrásból származó QR-kódot (például egy saját maga által létrehozott kódot a https://www.example.com címhez). (5) Nézze meg, hogy a csevegőalkalmazása és a legfontosabb fiókjai rendelkeznek-e olyan extra védelemmel, amelyet még nem használ (például kétlépcsős azonosítás PIN-kóddal, számpárosítás bejelentkezési értesítéseknél, vagy egy passkey), és kapcsolja be azokat.
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
A WebOké cikkeiben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- WebOké útmutató 3.6: Aktív munkamenetek megtekintése és kijelentkezés
- Nextcloud kézikönyv 3.6: Eszközök és munkamenetek megtekintése, visszavonása vagy távoli törlése
- Az NKI (NCSC) tájékoztatója az sms-adathalászatról ('smishing'): https://www.ncsc.nl/phishing/sms-phishing-smishing
- Az NKI (NCSC) tájékoztatója: Hogyan ismerem fel az álhívásokat?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- Az NKI (NCSC) tájékoztatója a QR-kódokról: https://www.ncsc.nl/phishing/qr-codes
- Csalás és adathalászat bejelentése: a rendőrség (https://www.police.hu/) és az NKI (https://nki.gov.hu/)