Magyar lakásvásárlókra vadásznak a legújabb pénzügyi csalás tettesei. A 24.hu három olyan áldozattal is beszélt, akiknek minden megtakarítását ellopták az új csalási módszerrel. De nem csak a lakásvásárlók vannak veszélyben, a mobil telefonok SIM kártyáját cserélik le a csalók, ennek a csalásnak száma az elmúlt évek során hatalmasat ugrott, ne higgyük, hogy ezek minket nem érhetnek el.
Harminc és ötvenmillió forint közötti összegeket loptak el ismeretlen tettesek lakásvásárlásra készülő emberektől – írja a 24.hu. Volt, akinek még a lekötött állampapírjait is pénzzé tették a netbank kifosztása előtt. Az ügyben nem lehet egyértelműen kijelenteni, hogy csak az áldozatok voltak felelőtlenek.
A netbanki belépési adatokat úgy szerezték meg a támadók, hogy rábeszélték a reménybeli lakásvásárlókat egy távoli asztal kapcsolat létesítésére alkalmas programtelepítésére. A szoftver az Anydesk volt, de ilyen, a számítógép távirányítására alkalmas programból több is létezik. Eredeti céljuk, hogy lehetővé teszik például a távoli hibaelhárítást, így nem kell autóba ülni, ha a nagyszülők számítógépe “nem akar működni”. Viszont, mivel a program alapvetően legitim, ezért a telepítését nem is kifogásolják a vírusirtók.
A kétlépcsős azonosítás elvben védene azokban az esetekben, amikor a felhasználónevet és a jelszót megtudták a támadók. A 24.hu által megszólaltatott egyik áldozatnak azonban a mobilja felett is átvették az uralmat a csalók.
A mobilszolgáltató hosszú vizsgálat után megállapította, hogy egy ismeretlen személy cseréltette ki, lopásra hivatkozva, a károsultak SIM-kártyáit. A régi SIM-eket pedig le is tiltatta. Ezek után már ő kapta meg a banki belépéshez szükséges azonosító SMS-eket.
Viszonylag kevés szó esik a SIM-cserés támadásokról (SIM-swapról), amikor a felkészült és tervszerűen eljáró csaló a mobiltelefon-szolgáltatón keresztül játssza ki áldozatát. A bűnöző ilyenkor a kiszemelt személy telefonszámát új SIM-kártyára kéri át, méghozzá az áldozatot megszemélyesítve.
A bűnöző ilyenkor úgy veszi át az irányítást a telefonszámunk felett, hogy a való életben még csak találkoznunk sem kell vele, az eszközünk eltulajdonítása sem szükséges a súlyos visszaéléshez. A hétköznapi életben számos eset van, amikor mi magunk is kérnénk a mobilunkban rejtőző kis plasztikkártya cseréjét: elvesztettük a telefont, vagy például újat vásároltunk, de a kártya mérete nem illeszkedik az új készülékbe. Vagy csak megrongálódott, esetleg jobb ajánlatot találtunk másik szolgáltatónál. A SIM-cserés csalásoknál a bűnözök így verik át a szolgáltatókat is.
A folyamat fontos eleme a célpont megszemélyesítése. Ez úgy kezdődik, hogy a csaló rengeteg személyes adatokat gyűjt áldozatáról – akár adathalász e-mailek segítségével –, majd ezek birtokában felveszi a kapcsolatot a célpont szolgáltatójával.
A csaló gyakorlatilag megszemélyesíti áldozatát, és közli a szolgáltatóval, hogy elveszett vagy megrongálódott a telefonja, ezért azonnal új SIM-kártyára van szüksége – mondta el a 24.hu korábban Csizmazia-Darab István, az ESET biztonsági cég magyarországi képviseletét ellátó Sicontact Kft. IT-biztonsági szakértője.
A kapcsolatfelvétel történhet telefonon, weben, bátrabb esetben akár személyesen az üzletben. Ez a procedúra külföldről jellemzően telefonon is elvégezhető, ekkor az ügyfélszolgálat személyes adatokat kér az azonosításhoz. Elvileg a folyamat Magyarországon személyes ügyintézést igényelne, ám könnyen elképzelhető, hogy ezt némely esetben telefonon keresztül is hajlandóak elvégezni. A koronavírus-járvány idején pedig még inkább, hiszen az emberek inkább online intézik ügyeiket.
Az eset legijesztőbb része, hogy bár a tettesek hamis papírokkal azonosították magukat, a az egyik mobil szolgáltató ügyintézőjét megtévesztve szerezték meg az új SIM-kártyákat, a társaság szerint nem történt mulasztás.
Az esetnek két fontos tanulsága van a magyar fintech világ számára. Az első, hogy a SIM-cserés támadás, amely az Egyesült Államokban számított eddig igazán elterjedtnek, Magyarországon is megjelent. Hiába hittük, hogy az erősebb azonosítási előírások, a személyi igazolvány és egyéb iratok bemutatásának megkövetelése nem elég védelem. Hamisított iratokkal és meggyőző szöveggel ki lehet cseréltetni az állítólag ellopott SIM-kártyát.
A másik, hasonlóan lényeges tanulság pedig az, hogy az SMS alkalmatlan arra, hogy az azonosítás második lépcsője legyen. Ez a módszer a legelterjedtebb, és a legsebezhetőbb is. Az okostelefonon futó kódgenerátor alkalmazás, a hardveres token (pl. Yubikey) vagy a netbanki appnak küldött push üzenet is nagyobb biztonságot jelent.
Köszönjük, ha megosztod a posztjainkat! Az igazság terjedjen, ne a Habony-propaganda!
