Egyre kifinomultabb módszerekkel igyekeznek becsapni az internetes ügyfeleinket az adathalászok. Időt, pénzt nem sajnálva készülnek az eredetiekhez teljesen hasonló weboldalak, a nyereség, a könnyű meggazdagodás reményében.

Úgy tűnik, a válság nem zavarja a kiberbűnözőket. Az adathalászat világszerte igen elterjedt, hatalmas üzletté vált. A megszerzett adatokkal legritkább esetben élnek vissza közvetlenül megszerzőik, általában titkos aukciós oldalakra kerülnek, ahol döbbenetes olcsón lehet érvényes banki azonosítókhoz jutni. Biztonsági szakértők szerint 160 és 16 000 forint közötti összegért akár teljes személyazonosságot – névvel, címmel, születési dátummal kiegészített hitelkártyaadatokat is lehet kapni. Teljesen hozzáférhető, csapolható, kipróbált bankszámla-hozzáférést 220 000 forintos áron vásárolhatnak a bűnözők.
Mint a filmeken
Az áldozatok legtöbbször nem is sejtik, hogy tudományos-fantasztikus filmekbe illő rémálmokba cseppenhetnek, csupán azért, mert valahol a neten valaki megvásárolta személyi adataikat. Elég egy rossz helyen begépelt jelszó, azonosító, társadalombiztosítási szám, titkos bankkártyakód és elindul a lavina. Azt gondolnánk, az adathalászat annyira közismert jelenség, hogy már nem ugrik be senki egy rosszul megfogalmazott, azonosítóegyeztető felhívásnak. A tény ezzel szemben az, hogy bankok és online boltok egyre gyakrabban tapasztalják, hogy a felhasználók többsége figyelmetlenségből vagy hozzá nem értésből olyan oldalakon is megadja adatait, azonosítóit, ahonnan azok közvetlenül a számítógépes bűnözők birtokába kerülnek.
Védelem
Hamis biztonságérzetet kelthet a felhasználókban az is, ha gépüket biztonsági programok védelmezik. Ki kell jelenteni, hogy a legnagyszerűbb biztonsági programok, adathalászszűrők sem azonnal érzékelik a veszélyt. A védekezőképesség növelését és a gyors reagálást segíthetik az internetes böngészőkbe épített, központi adatbázisból frissülő fehér- és feketelisták, ezek azonban egyáltalán nem teljesek. Folyamatos frissülésük ellenére, több hamis oldal átcsúszik az ellenőrzésen, míg mások vakriasztást adnak. A hamis adatgyűjtő honlapok sok esetben csak néhány órán, legfeljebb 2–3 napon át elérhetők, a csalások nagy része ezalatt zajlik le. Az adathalászat leginkább úgy védhető ki, ha nem gyalogolunk önként a bűnözők csapdáiba.
Nem létező webhelyek
Sokan azt gondolják, hogy ha nem adnak meg semmilyen adatot egy ismeretlen webhelyen, nem történhet semmi baj. A gond az, hogy az e-mailben, azonnali üzenetküldőben, vagy közösségi oldalon érkező spamek által ajánlott webhelyek egy része esetében arra sincs szükség, hogy az adatainkat megadjuk. A védtelen gépekre már a hamis oldalra lépéskor feltelepülnek a billentyűzetfigyelő, adatgyűjtő alkalmazások, s ott észrevétlenül megbújva folyamatosan szedegetik össze adatainkat. Manapság már a megbízhatónak látszó webhelyekről is – trükkösen kivitelezett átirányításos (cross-site scripting) támadásokkal – könnyedén keveredhetünk adathalász oldalakra, ahonnan természetesen bármilyen káros program felkerülhet a gépünkre. A számítógépes kártevők egész hada specializálódott a PC-nk feletti hatalomátvételre. A férgek, trójaiak nagy többsége további kártevőket tölt le a fertőzött gépekre, a hatalmas spamlistákról, vagy közvetlenül a levelező programból megszerzett címekre fertőző levelek milliói indulnak. A stratégia tökéletes és pusztító.
Személyre szabott támadások
A social-engineeringen – az emberi hibákra építő személyes támadások – alapuló módszerek már nem csoportokra koncentrálnak, hanem olyan gazdag és befolyásos emberekre, akik személyes vagyona elég nagy ahhoz, hogy ne lehessen könnyen leleplezni azokat a manipulációkat, amely keretében a bűnözők megcsapolják a célpont bankszámláit. A spear phishing névre keresztelt akciókat legtöbbször igen jól előkészítik. A különböző közösségi oldalak adatainak összegyűjtése után gyakorlatilag összeállhat egy olyan profil a leendő áldozatról, amelyben szokásai, ismerősei és kapcsolatai feltérképezése után pofon egyszerű megtalálni a gyenge pontjait. Például azt az ismerőst, témát, amelyre építve célzottan juttatható gépére egy olyan személyre szabott vírus, amely minden adatát megszerezve sebezhetővé teszi bankszámláit, üzleti információit és magánéletét is. Ez a módszer sokszor párosul a legdurvább zsarolásokkal, sőt néha a személyes bosszú eszközeként is alkalmazzák a bűnözők által jól fizetett hackerek.
Bankok, on-line áruházak ostrom alatt
Az teljesen érthető, hogy miért veszedelmes ez a jelenség a felhasználókra, de lássuk, milyen konkrét károkat okozhatnak a bűnözők az online boltoknak, szolgáltatásoknak az ilyen támadásokkal. A válságban sok vállalkozás csökkentette a fejlesztésre, biztonságra előirányzott pénzeszközeit. Az összetákolt webáruházak, elkapkodott szolgáltatások sokszor akaratlanul is adatcsapdává válnak, s az adathalászok – amíg le nem leplezik működésüket – adatokat és azonosítókat lophatnak a regisztrált felhasználóktól. Egy webshop esetében egy ilyen incidens a teljes és azonnali csődöt is jelentheti.
A gyenge láncszem
A bűnözők legtöbbször a leggyengébb láncszemet támadva, a fizetési megoldásokra is rátelepülhetnek, így közvetlen banki azonosítókat tulajdoníthatnak el a teljesen jóhiszemű vásárlóktól is. Biztonsági hiányosságokkal küzdő, védtelen, vagy védhetetlen adatbázisok esetében óriási a kockázata az adatvesztésnek. Persze nem kizárt, hogy megkapjuk ilyen helyről is a megrendelt árut, de van sajnos már ellenpélda is. A túlzott olcsóság legyen gyanús, az eredeti ár töredéke pedig legyen riasztó minden vásárló számára. Az ilyen boltok egy része ideiglenes pénzszerző hely, amely néhány hét működés után egyszerűen köddé válik.
A bankok sem kivételek
Bankok esetében a rizikó nem csupán az átvert ügyfelek oldalán áll fenn. A bűnözők támadásai a médiában is nagy visszhangot keltenek, s ha egy céget folyamatos támadások érnek, nyugodtan számíthat arra, hogy sok milliót kell majd költenie reklámokra, akciókra, hogy visszaszerezze ügyfelei bizalmát. A befektetői bizalom, az elégedett ügyfél és a diszkrét ügymenet még normális gazdasági helyzetben is igen fontos egy pénzintézetnek, a válságban ez gyakorlatilag létkérdés. Az adatvesztés, bizonyos esetekben akár sok ezer ügyfél-információ kiszivárgása olyan hiba, amely megkérdőjelezheti még egy nagy múlttal rendelkező bank hírnevét, hozzáértését, megbízhatóságát is.
■ MJ

Phishing – azaz adathalászatnak azt az eljárást nevezzük, amikor egy internetes csaló, közvetlenül e-mailen keresztül, illetve egy ismert bank vagy szolgáltatás hamisított oldalára csalogatva a felhasználókat, megpróbálja bizonyos személyes adataikat, például azonosítóikat, jelszavaikat, bankkártyaszámaikat illetéktelenül megszerezni.

Spear-phishing – Olyan személyre szabott on-line támadások, amelyek célja valamely fontos személy adatainak, üzleti információinak megszerzése, amely további bűncselekmények elkövetését teszik lehetővé.

Pharming – Speciális adathalász-támadás, amely lényegében a kívánt weboldal kikereséséhez szükséges elérhetőséget manipulálja, hogy feltűnés nélkül álweboldalra kalauzolja a felhasználót. Az eredetihez tökéletesen hasonlító álweboldalon a felhasználó tényleg azt gondolja, hogy jó helyen jár, miközben az adatai közvetlenül a bűnözőkhöz jutnak.