Elkérik a pénzt: hol szakítható meg a csalási lánc a tranzakció előtt
A támadók ma már nem törnek fel semmit, egyszerűen elkérik a pénzt, és az ügyfél maga utalja át – hangzott el a Mastercard kerekasztalán, ahol dr. Borókai Bence (OTP Bank), Ragó István (Raiffeisen Bank) és Joó Gabriella (BKK) arról beszélt, hol szakítható meg a csalási lánc a tranzakció előtt.
Dr. Borókai Bence szerint a támadók először a bankokat, aztán az ügyfeleket támadták, ma pedig már egyszerűen elkérik a pénzt. A romantikus és az unokázós csalásokban krízishelyzetet adnak elő, és az áldozat a saját pénzét utalja át egy „biztonsági számlára”. Jogászok, bolti eladók és politikusok is áldozatul esnek, mert a támadó olyan helyzetet teremt, amelyben nem tiszta a gondolkodás. A felelősség ezért osztott: a banknak mindent meg kell tennie a rábízott pénzért tudatosítással, technológiával és előrejelzéssel, az ügyfélnek viszont szintén körültekintőnek kell lennie.
Ragó István egy nagy nemzetközi pénzügyi szolgáltató felmérését idézte: a csalások közel 50 százaléka a Meta platformjairól indul. Tavaly volt olyan nap, amikor több mint 500, a Meta platformján működő csaló oldalt kapcsoltattak le. A bank vagy a rendőrség nevében, hamis számról telefonáló csalók ellen a Magyar Bankszövetség a távközlési szektorral a Kiberpajzs keretében technológiai védelmet épített, és a spoofing nagy része megszűnt.
Joó Gabriella egy ismerőse esetével mutatta be, hol zárul a lánc. Az illetőt egy bank nevében hívták fel, hogy azonnal utalja át minden pénzét, mert kompromittálódott a számlája. Amikor közölte, hogy másik banknál van, a hívó átadta a vonalat egy másik ügyintézőnek. Mivel nem tudott azonnal utalni, lépésről lépésre végigvezették egy távoli elérésű program telepítésén, és több mint kétmillió forintot utaltak el a telefonjáról. Az áldozat többdiplomás ember volt.
Dr. Borókai Bence szerint a bankok közötti együttműködés aknamezőre hasonlít: a szereplők azt mérlegelik, mit mernek elmondani egymásnak, és mikor kopogtat be a versenyhivatal. Ezt szerinte az állami szerepvállalás tudná feloldani. Felhívta a figyelmet arra is, hogy egy bank ügyfele ugyanúgy a BKV, az MVM és a MOL ügyfele is, a támadó pedig, ha lepattan az egyik intézmény védelméről, ugyanazzal a struktúrával, új márkanév alatt támadja meg a következőt.
Ragó István szerint két éve jogszabály tette lehetővé, hogy a bankok a megtörtént csalásokról adatot osszanak meg egymással. A következő lépés a még be nem következett incidensekről szóló információ megosztása lenne, mert ott előzhető meg, hogy egy másik banknál ugyanazt a játékot végigjátsszák. Erre a PSR ad felhatalmazást. Előremutatónak tartja a GIRO központi visszaélésszűrő rendszerét, amely a teljes piacot és a nemzetgazdasági mintázatokat látja. Lengyelországban a törvény már a csalás gyanúja esetén engedi az adatmegosztást a bankok között.
Joó Gabriella a bankon kívüli szereplők oldaláról vékony jégnek nevezte az információmegosztást, mert az rámutathat egy-egy vállalat sérülékenységére. A BKK-nál hosszú kulturális munka eredménye, hogy a munkatársak személyesen kérnek időpontot, hogyan vegyék figyelembe a biztonságot a munkájukban. A kiberbiztonsági törvény szerinte szintet lépett, mert a korábbi szankció nélküli követelményrendszer helyett most büntetés jár a nem teljesítésért. A kis- és középvállalkozásoknál viszont azt tapasztalta, hogy a védelmi rendszerek működnének, csak nem tudják megvenni, ezért ingyenes tanácsadást kérne azoknak, akik ezt anyagi okból nem engedhetik meg maguknak.
Az OTP-nél több mint háromszázan foglalkoznak kifejezetten információbiztonsággal, a csalásmegelőzés és az üzemeltetés nélkül, a leányvállalatoknál viszont tíz fő alatti csapatok dolgoznak – mondta dr. Borókai Bence, aki szerint ez a magyar átlag is. Ragó István szerint a bankok mindent megtesznek, de ezzel elérkeztek a határhoz, ameddig egyedül el lehet jutni: a támadók valós időben tudnak támadni, a védekezők kezét viszont megköti a jogi háttér.
