A pszichológiai manipuláció (social engineering) az egyik legrégebbi és legelterjedtebb kiberbűnözési forma. A felületes, tömeges spamektől mára eljutott a nyelvtani hibáktól és magyartalan fordításoktól mentes, célzott és automatizált átverésekig. Az AI egyelőre elsősorban a régi támadásokat gyorsítja fel és teszi meggyőzőbbé: olcsóbban, nagyobb tömegben és könnyen hozzáférhető eszközökkel készülhetnek. Persze emellett a háttérben a WormGPT-hez és FraudGPT-hez hasonló darknetes eszközök is segítik a csalókat.

Az AV-Atlas 2026. szeptemberében 1,6 milliárd egyedi kártevőt tartott nyilván, a Have I Been Pwned pedig 17,8 milliárd lopott/kiszivárgott fiók adatot. 2024-ben a támadások 68%-ában játszott szerepet az emberi tényező, miközben a CrowdStrike szerint a telefonos adathalászat (vishing) 442%-kal nőtt. Az ENISA 2025-ös jelentése szerint a social engineering támadások több mint 80%-a már AI-támogatott.

A generatív AI és a deepfake technológia jó minőségű szöveggel, valamint élethű hang- és videóklónozással teszi látszólag hitelessé a személyre szabott átveréseket. A KnowBe4 2025-ös jelentése szerint az adathalász e-mailek 82,6%-a tartalmazott AI-generált tartalmat. A Pindrop szerint a deepfake csalási kísérletek száma 2024-ben 1300%-kal nőtt.

Míg 2023-ban körülbelül 500 ezer deepfake videó volt a neten, 2025-re ez a szám mintegy 8 millióra emelkedett. A megtévesztő tartalom olcsón és tömegesen gyártható, a személyre szabása pedig egyre hatékonyabb: ismert emberek, például Csányi Sándor vagy Esztergályos Cecília képmásával is visszaélhetnek.

A 2026 augusztusában terjedő, gazdáját a nepáli árvízből kimentő elefántról készült videó például szintén AI-generált hamisítvány volt.

A hangklónozás veszélyét korábbi esetek is megmutatták. 2019-ben egy brit energetikai cég vezetőjét egy német vezető hangján hívták fel, és egy magyar beszállítónak szánt, 220 ezer eurós azonnali utalást kértek tőle.

2023 júniusában Jennifer DeStefanót a nyári táborban lévő lánya hangján hívták fel azzal, hogy a gyereket Mexikóba hurcolták. Az ilyen virtuális emberrablások ellen az előre egyeztetett ellenőrzési protokollok és a megkeresés független csatornán történő ellenőrzése nyújthat védelmet.

A cégeket különösen az üzleti e-mailes csalás (BEC), a célzott adathalászat és a vezetői megszemélyesítés fenyegeti. A támadók kiismerik az ügymenetet, a partnereket és a kommunikációs szokásokat, majd megfelelő időpontban hitelesnek tűnő utasítással térítik el az átutalást.

2022-ben a Magyar Vízilabda Szövetség az Európa-bajnoksághoz kapcsolódó szállásköltségekből 120 ezer eurót utalt egy állítólagos új számlára, a csalást kétszer is benézték.

A vállalati kockázat nem korlátozódik az átutalásokra. 2012-ben a New York Times szerkesztőségébe e-mailben küldött Dropbox linken küldött fertőzött PDF állományon keresztül jutottak be kínai hackerek.

A hátsó ajtóval telepített kémprogram négy hónapig rejtve maradt, miközben a támadók 53 alkalmazott számítógépéhez fértek hozzá.

2023. áprilisában a Samsung munkatársai érzékeny vállalati adatokat, köztük belső értekezleti anyagokat és új forráskódot írtak be a ChatGPT-be. Az eset jól mutatja, miért van szükség céges AI szabályokra, különösen a saját eszközök munkára használata (BYOD) és az engedély nélküli AI használat (shadow AI) mellett.

Egy ESET statisztika szerint a megkérdezett vállalatok 73%-a integrál AI-t, 70%-uk új kockázatot lát benne, de csak 60%-uknak van AI-szabályzata.

Az AI nemcsak megtévesztő tartalmat hozhat létre, hanem hamis bizonyosságot is adhat. 2026 szeptemberében, az Irán elleni háború idején az amerikai hadsereg egy AI segítségével készített, téves hírszerzési értékelés alapján egy kínai hajó elfogására készült.

Fegyveres katonák álltak készen a felszállásra, katonai repülőgépek már a levegőben voltak, amikor az eredeti anyag alaposabb vizsgálata feltárta: az AI hibásan minősítette nukleáris célúnak a feltételezett rakomány alkatrészeit.

A megelőzés az emberi felkészültség és a technikai védelem kombinációján alapul. Érdemes minden eszközt frissíteni, naprakész vírusvédelmet, erős és egyedi jelszavakat, jelszókezelőt és többfaktoros azonosítást használni, valamint figyelni a jogosultságkezelésre, a titkosításra, a biztonsági mentésekre és az adatvédelmi beállításokra.

A kéretlen pénz- vagy adatkéréseket mindig független csatornán ellenőrizzük: bank vagy hatóság nevében érkező hívás után a hivatalos számon hívjuk vissza az intézményt. Gyanús linkre ne kattintsunk, ismeretlennek ne utaljunk, a túl szépnek tűnő ajánlatoknak pedig nézzünk utána.

Magánszemélyeknél az online fizetés kockázatát virtuális kártyával, észszerű limitekkel, tranzakciós értesítésekkel és a használaton kívüli kártya befagyasztásával is csökkenthetjük. Külső segítségként Magyarországon 2025. július 1-jén indult el a Központi Visszaélésszűrő Rendszer (KVR).

A vállalatoknál pedig munkakörhöz és jogosultsághoz igazított, folyamatos képzésre, rendszeres adathalászati szimulációkra és kockázatértékelésre van szükség. A pénzügyi területen különösen fontos a szigorú jóváhagyási rend: átutalás soha ne történjen második, független csatornán végzett ellenőrzés nélkül, fontos a többszereplős jóváhagyási lánc, általában pedig a zerotrust szemlélet.