Ám ezzel szemben a kiberbűnözők annál inkább. Útmutató, mire érdemes figyelni, ha nekünk címzett kéretlen levelet kapunk látszólag a bank, pénzintézet nevében. Egy korábbi posztunkban arról írtunk, hogy szinte mindenki átverhető adathalászattal, ha a célzott támadást kellően személyre szabják. Mi most egy tízes listát szedtünk össze azokból a dolgokból, amit a bankból biztosan sosem kérnének, ám az átverésekben viszont rendre szerepelnek.

A veszély természetesen nem lebecsülendő, hiszen egyre kifinomultabbak a pénzünkre utazó csalási módszerek, emlékezetes lehet az ESET által leleplezett Hesperbot, ahol a kártevő képes távolról és rejtetten kapcsolódni a megfertőzött rendszerhez, le tudja hallgatni a hálózati adatforgalmat is, valamint a HTML kódba való közvetlen injektálásra is használható. Jöjjön akkor az ígért 10 gyanús intő jel.

1. Megerősítést kérnek tőlünk, hogy valóban mi vagyunk mi
Az természetesen normális, sőt kívánatos is, ha a pénzügyi tranzakciókat egyesével jóvá kell hagyni valamilyen kétfaktoros módszerrel, ám hogy egy bank tőlünk szöveges üzenetben azt kérné, hogy személyes adatainkat vagy elképesztő módon e-mailben kérné tőlünk a jelszavunk, nos ez sosem fordulhat elő. Ha ilyen történne, ideje gyanút fogni, legyen írva bármi az üzenet feladójához, ne kattintsunk, ne SMS-ezzünk, vagy semmiképpen ne hívjuk a levélben megadott állítólagos telefonszámot.

2. Sürgetnek minket, hogy 24 óra múlva zárolják a számlánkat
Az természetesen normális, ha egyes pénzintézeti levelek sürgősebbek, míg mások meg kevésbé, az azonban nem jellemző, hogy a bank ultimátumot adna nekünk e-mailben, hamar lejáró határidővel. Itt a sürgetés nyilvánvaló célja, hogy ne gondolkozzunk, ne ellenőrizzünk, hanem kapkodjunk és hibázzunk. A normál banki kapcsolatban lehetséges kapcsolatfelvételt kérő üzenet, ez azonban általában nem kötődik semmilyen határidőhöz, ilyen gyors rövidlejáratúhoz pedig semmiképpen.

3. E-mailben küldik nekünk új banki ügyfélprogram letöltési linkjét  
Ez a módszer éppen a korábban emlegetett Hesperbot esetében is szerepelt, ám fontos leszögezni, semmilyen bank nem ír ilyen üzenetet. A naprakész felhasználói programot mindig a hivatalos letöltési oldalakon, vagy alkalmazásokat kínáló áruházban lehet beszerezni, legyen szó akár PC, akár mobil applikációról. Az AppStore, Google Play és hasonló oldalak üzemszerűen figyelmeztetnek minket, ha újabb, frissített változat jelenik meg, emellett okostelefonos platformokon pedig célszerű lehet valamilyen internetbiztonsági programot is futtatni, ami segíthet blokkolni az ilyen csalási kísérleteket.

4. Rövidített linket küldenek nekünk a bankból
Nos ez sosem fordul elő, annál inkább jellemző viszont a csalásokra, ahol a kártékony linkeket akarják ezáltal leplezni. Természetesen nem minden link rövidítés csalás, gondoljunk csak a Twitter üzenetek engedélyezett maximálisan 140 karakteres hosszára, ahol más módon nem is nagyon lehetne hivatkozásokat megosztani pár szavas komment kíséretében. Ha viszont látszólag bankunktól érkezne ilyen, akkor semmiképpen ne kattintsunk rá, hanem vagy a bank hivatalos honlapján, vagy a bank hivatalos telefonszámán tegyünk erről bejelentést.

5. A bank jelentkezik telefonon, hogy hamarosan futár érkezik, hogy elvigye tőlünk az állítólagosan hibás bankkártyát
Ez remélhetőleg már az a kategória, ami sokaknak annyira gyanús, hogy szinte fáj. Ám biztosan nem létezne ez a módszer sem, ha közben nem lennének olyanok, aki viszont naivan mégis bedőlnek neki. A jelentkező "futár" aztán ellenőrzésképpen ;-) elkéri a PIN kódot (ez már tényleg megaLOL), és ha valaki valóban megadja ezt, búcsút inthet a pénzének. Ez a fajta átverés különösen az Egyesült Királyságban divatos. A lejárt vagy hibás kártyát a valóságban nyugodtan szétvághatjuk ollóval, nem lesz szükség már rá, az újat pedig személyesen adja át vagy tértivevényes ajánlott levélben küldi ki az igazi bank.

6. A bank visszahívást kér
Ez sem kevésbe hihetetlen, mint az előző, általában az ügyfélszolgálat telefonálgat a saját költségére, és sosem kérnek tőlünk ilyesmit. Egy új fajta csalásnál a bank nevében közlik velünk a telefonban (a számunk könnyen megszerezhető nyilvános telefonkönyvből, kukabúvárkodással, közösségi oldalakról, ismerősöktől, stb.), hogy állítólag gyanús, csalásra utaló tételek szerepelnek a tranzakcióink között (láthatjuk, vastag az arcbőr a bűnözők esetében), majd arra kérnek minket, saját érdekünkben azonnal tárcsázzuk a bankot. Ám a hívást valójában nem szakítják meg, csak magnóról bejátszanak nekünk egy tárcsahangot, és utána ugyanúgy a csalókkal beszélgetünk, akik "biztonsági okokból" személyi azonosításhoz szükséges kérdéseket tesznek fel nekünk. A megoldás itt is az, hogy nem mondunk ilyenkor semmit, hanem letesszük, illetve a haladó csoportosak, akik már elég magabiztosak és temérdek szabadidővel is rendelkeznek a csalószívatáshoz, mondhatnak kamu neveket, kitalált számokat: Dr. Özv. Majomváry Armandó, anyja neve Lutz Gizella, Ló utca 23/B., PIN kód 1234, stb.

7. Váratlan banki kapcsolatfelvétel egy másodlagos e-mailcímen
Ha a bank nevében nem a hivatalosan megadott, hanem például munkahelyi, vagy bármely másik emailcímünkre kapunk üzenetet, az mindenképpen gyanút kell, hogy keltsen bennünk. A személyes adatok megadásakor közölt címektől a bank hivatalosan sosem térhet el, nem nyomozhat ki másik címet, erre nincs is felhatalmazása, és nem is lenne biztonságos. Éppen ez az oka annak is, hogy a kétfaktoros biztosításhoz szükséges mobilaláírásra kijelölt telefonszám sosem módosítható levélben vagy telefonos ügyfélszolgálati kéréssel, egyedül csak a fiókban személyesen.

8. Bankolás csak biztonságos SSL kapcsolattal
Remélhetőleg a listának ezen pontja már mindenkinek ismerős, a HTTPS kapcsolat, az ellenőrzött és érvényes tanúsítvány biztosítja azt, hogy valóban a bank oldalán járunk, és az adatforgalmunk nem egy mindenki által olvasható clear text formában utazik az interneten. Léteznek ugyan olyan összetett módszerek, amikkel közbeékelődéssel, vagy a felhasználó gépére telepített kártevővel látszólag ott a lakat, az igazi bank lapján járunk, de kellő elővigyázattal, napra kész operációs rendszerrel, friss vírusirtóval, saját gépünk saját internetelérésén, erős wifi és egyéb jelszavakkal ennek nagyon kicsi a valószínűsége. Mindenesetre szerintünk egyáltalán nem javasolt az okostelefonról való bankolás, hiszen ekkor egy fizikailag nem egy másik, különböző készülékre érkezik az azonosítás, és ez gyengíti a kétfaktoros ellenőrzést. Nem beszélve arról, hogy mobilos böngészéskor a kisméretű kijelző miatt nem látszik a teljes URL, nincs kontrollunk a scriptek felett, nem is tudjuk pontosan, mik futnak a háttérben.

9. Körlevélszerű megszólítás az üzenetben
A pénzintézetek mindig nagy hangsúlyt fektetnek arra, hogy mi az ő kedves ügyfelük vagyunk, és biztosan névre szólóan írnak nekünk. Az olyan általános megszólítások, mint a "Tisztelt Ügyfelünk", "Tisztelt Címzett" vagy "Tisztelt e-mailcím" semmiképpen nem a banktól származnak. Ha a címzettnél pedig az "Undisclosed Recipients"-et látjuk, az pedig már szinte viccesen igénytelen. Az ilyen személytelen címzésmódok a tömegesen kiküldött spam üzenetekre jellemző, így olvasás nélkül célszerű ezeket törölni.

10. E-mailben kérik az anyánk születési nevét
Itt is erőteljesen kilóg a lóláb, hiszen ahogy említettük, a személyes adatok rögzítése kizárólag a bankfiókban történhet személyesen, még az időnként esetlegesen változó lakcím esetén is, nemhogy az életünk során végig állandó "anyja neve" adatnál. Telefonos ellenőrzésnél ugyan előfordulhat ilyen kérdés, de akkor ugye mi kezdeményeztük a hívást megbízható számra. Ahogy korábban szó volt róla, a bank sosem kér e-mailben ilyen "megerősítő" adatokat a biztonság kedvéért. Ha böngészés közben váratlanul egy hatalmas űrlap bukkan fel, amelyben részletes banki adataink, jelszavunk, és temérdek más személyes adatunk begépelésére kérnek minket, azonnal zárjuk be az ablakot kitöltés nélkül, és értesítsük erről a bankunkat.