Bevezetésképpen egy nevezetes dátumot, fordulópontot érdemes megemlíteni. A bűnözőknek nagyon is kifizetődő lett a különféle számítógépes kártevőkkel, csalásokkal, átverésekkel foglalkozni, hiszen 2005-ben az USA-ban ebből már több pénzük származott - 105 milliárd dollár - mint a drogkereskedelemből. Vélhetően ez a szaldó azóta is ebben az irányban pozitív.

Ezúttal egy érdekes átverés újabb darabjáról írtak az újságok, ez pedig már sorozatban is nagyjából a "naiv lakásvásárló ügyfél találkozása a dörzsölt bűnözővel" kaptafára illeszkedik, így érdemes erről az esetről, de a tanulságokról is beszélni.

Az első, idén márciusi ilyen jellegű incidensről itt lehetett először olvasni, míg a második júniusiról már sokkal több utánközlő beszámolót láthattunk, de az első megjelenés ezen a helyen volt megtalálható. Egyébként még egy bevezető jóslatról beszéljünk, amit az azonnali átutalás bevezetésekor olvashattunk arról, hogy részben emiatt is, de növekedés várható a csalások területén.

Vegyük akkor szépen sorba a szereplők viselkedését, mit csináltak jól, illetve kevésbé jól, mit kellene tenni az ilyen SIM Swap csalások ellen, és mit lehetne változtatni a jelenlegi gyakorlaton, hogy az ilyen esetek a jövőben elkerülhetőek legyenek. Négy különböző csoport képviselője volt itt jelen: a bűnöző, az áldozat, a bank és a mobilszolgáltató.

Először is mi az a SIM Swap? Ez egy egyre inkább terjedő csalási forma, ahol a célszemélyről begyűjtött, kiszivárgott, ellopott személyes adatok birtokában, pontosan ezekkel visszaélve az ügyfél nevében SIM kártya cserét kezdeményeznek a mobilszolgáltatónál, és onnantól kezdve már ők kapják a banki kétfaktoros jóváhagyó és tájékoztató SMS üzeneteket.

Kezdjük akkor a bűnözőkkel. Sok személyes adatot loptak és lopnak el folyamatosan világszerte, a Have I Been Pwned adatbázisába 2019-ben óránként 19 ezer új lopott account került bele. Mostanra, 2020. júniusára pedig 9.7 milliárd feltört, kiszivárgott jelszó található ebben az adatbázisban. De hogyan lehetne a sok lopott személyes adatközül kiválasztani azokat, akiknek jelenleg is sok pénz lehet a bankszámláján? Hát aki autót vagy lakást akar venni, az már jelent valamit, tehát őket akarják lépre csalni.

Olvashattunk korábban már a Totalcar oldalán is külföldi szálas, előreutalós trükköket, de most lássuk ugyanezt lakásfronton. Ami viszont azonnal feltűnik, hogy mindkét vonalon megegyezik a gyanúsan alacsony, hívogató ár. Régen is voltak ilyesmik, például a pályaudvaron aranygyűrűnek látszó, de valójában rézgyűrűt venni alkalmilag meséje.

Jöjjön akkor a felhasználó. Erről az oldalról már azonnal láthatunk hibákat, mulasztásokat. Mindkét esetben közös például a már említett gyanúsan alacsony ár. Ennek mi is a célja? Hogy hamar és sok áldozat jelentkezzen, és azonnal legyen benne egy a csalásokra nagyon is jellemző sürgetés: aki lemarad, az kimarad. Elég sok csalásról számoltunk már be itt a 10+ év alatt, és az egyik fő tanulság: ami túl szép, hogy igaz legyen, általában nem is igaz. Egyéb intő jelek is voltak: külföldi szál (ilyenkor illik ügyvéddel is egyeztetni), csak OTP-s vevő.

Súlyos mulasztás volt az is, hogy a telefonos hibánál napokig nem foglalkoztak vele. Meg kell tanulni mindenkinek, ha ilyen elnémulós probléma van, akkor annak azonnal utána kell járni. Az e-mailben aztán rákattintottak valamire, amiről nem tudják, mi is volt az - itt biztosan alacsony volt a biztonságtudatosság.

Állítólag az Anydesk távvezérlő-, és távkarbantartó szoftver volt a mellékletben (több hasonló, alapból hasznos segédprogramot ismerünk pl. Teamviewer, VNC), amelyek használatához azonban minden egyes futtatáskor külön jóváhagyás szükséges, egy egyszer használatos user ID-t megadni az adott géphez. Hogy aztán itt volt-e további kattintás, vagy egy preparált verzió lehetett, nem tudjuk. Lehetett még valamilyen sebezhetőséget kihasználó kémprogram is, ami ellen egy naprakész vírusvédelem fel tudott volna lépni.

Annyit azért az általános jótanácsokba bele lehet foglalni, hogy minden a magánfelhasználóknak, mind a cégmérettől független vállalkozásoknak fontos a vírusvédelmi alkalmazás. Különösen ha cégről, kisvállalkozásról van szó, akkor egyszerűen nem tehetjük meg, hogy ne foglalkozzunk a kiberbiztonsággal, ehhez itt egy korábbi rövid útmutatónk.

Térjünk rá a mobilszolgáltatóra. Elvileg SIM cserénél kérhetnék leadásra a régi SIM-et, de a gyakorlatban szinte sosem teszik, pedig ekkor ez is jogosultsági ellenőrzési lehetőség lenne. Szerencsés az lenne, ha csak az intézhetne bármilyen flotta ügyet, aki vezetőként személyi igazolvánnyal és bélyegzővel megjelenik, vagy egy előre meghatározott dedikált meghatalmazotti listán rajta van, nem pedig bármelyik dolgozó személyivel. (Hogy itt ki és milyen személyivel intézkedett, nyilvánosan nem derült ki, lehetett lopott is.) A telefonos supportos ügyintéző válasza - "kőbányán gond van" - is erősen mulasztásszagú, hogy nem nézett utána alaposan az egyedi esetnek, na meg ki tudjon mindent a SIM Swap csalásokról, ha nem ők.

De nagyobb szigor kéne ennél az ügyintézésnél, hogy soha semmilyen esetben ne valósulhasson meg protokoll sértés. Mondunk példát: banknál az állandó lakcím, vagy hogy az SMS szolgáltatás milyen telefonszámra érkezzen, ez egy kritikus adat, amit csak és kizárólag személyesen, fiókban lehet intézni. Bármelyiknél próbálkoznánk, tutira nem járnánk sikerrel. Itt viszont Kevin Mitnicknek sem kell hozzá lenni, ha bármelyik mobilszolgáltatónál ugyanezt kipróbálnánk, 10 telefonból biztosan találnánk 1-2 olyat, aki telefonhívásra is hajlandó lenne készségesen átírni ezt a születési hely, idő, anyja neve bemondása után. Az egyiknél le is teszteltük, és sikerrel.

Végül jöjjön a bank, ahol úgy tűnik, semmilyen hibát nem követtek el. Sőt mind a két esetnél korrektek és jóindulatúak voltak, amiért utólag megtérítették a kárt. Valószínű, hogy a gyanús pénzmozgási tranzakciókat egy darabig még le lehetett követni, de ha például Dél-Afrikában kivették egy Bitcoin automatából, vagy további összevissza offshore számlákra utalták, akkor technikailag egy szint után már nem lehet visszaszerezni, ekkor valószínűleg már csak a bank biztosítása téríthette meg az összeget.

Amit a bankok egyébként tanácsolnak, hogy kérjünk minden pénzmozgásról azonnali értesítést, ez igen hasznos. Amíg él a telefon, rögtön értesülhetünk minden eseményről, arról is, ha ellopták a banki adatainkat, és a bűnözők tesztelik azok helyességét egy kis összegű, fél dolláros átutalással például a Vörös Keresztnek.

Tanulságok azért ezen felül is bőven vannak. Valami olyan eljárás lenne jó, hogy SIM csere esetén 2 másik alternatív csatornán is értesíteni (jóváhagyatni) kellene az ügyfelet, céget, hogy SIM csere volt. Például e-mail, online távirat, cég esetében vezetékes telefon, fax. Már említettük, hogy temérdek személyes adat kering a neten, amiket a bűnözők idővel fel is használnak. Két komoly visszaélés típust is említünk a végén ezekkel kapcsolatban. Az egyik az úgynevezett support csalás, ahol a bűnözők néha arcátlanul akár a Microsoft nevében jelentkeznek, és nemlétező hibákra hivatkozva kártékony kódokat, vagy távoli hozzáférést biztosító weboldalakra próbálják meg elirányítani a naiv felhasználókat.

A másik, jobbára céges környezetben előforduló átverés az úgynevezett "főnöki utalás", amelynél a pénzügyes látszólag a főnökétől kap olyan e-mail üzenetet, amelyben azonnali, később jóváhagyandó nagy összegű utalást kér, ám csak később derül ki, hogy csalás az egész. Erre tavaly nyáron hazai példa is volt, amiben egy brit energetikai vállalat 220 ezer eurót utalt át, mert látszólag a főnök hangján kérték ezt telefonon.