Nehogy rákattints! Már az adathalász csalók is AI-t használnak

Csörög a telefon, a kijelzőn a pénzintézeted száma villan fel. A hívó gyanús tranzakcióról beszél a számládon, sürget, percek alatt kell döntened. Szapora szívverés, izzadó tenyér, aztán bediktálod a kódot. Csakhogy nem a bank hívott. A hívószám hamisítható, és az agyad pontosan ugyanúgy reagál egy hamis vészhelyzetre, mint egy valódira, hiszen neked ez életbevágóan fontosnak tűnik. (Ennek filmes ábrázolása, az emberi manipuláció íve A méhész című akciófilm elején látható.)

Az agyad nem tud különbséget tenni

Az előbb leírt eseménysor oka egyszerű, és a neurobiológia régóta ismeri. Daniel Kahneman Nobel-díjas kutatása szerint kétféle gondolkodási rendszerünk van. Az egyik gyors, ösztönös, érzelemvezérelt, az amygdalához köthető. A másik lassú, elemző, a homloklebenyben zajlik, és az alapos mérlegelés a feladata. Egy sürgető, fenyegető üzenet azonnal az elsőt kapcsolja be, a másodikat pedig fiziológiailag háttérbe szorítja. Fáradtan, rohanás közben, egy zsúfolt munkanap kellős közepén ez a hatás csak erősödik. Ilyenkor nem gondolkodunk, csak reagálunk. Pontosan ezt használják ki a csalók.

Öt gomb, amit minden csaló megnyom

A social engineering, vagyis a pszichológiai manipuláció, egy jól bevált módszertan. Semmi köze egyetlen trükkhöz vagy szoftverhibához. Ennek háttere:
•    A sürgősség kizárja az ellenőrzést, hiszen nincs idő gondolkodni, ha percek múlva zárolják a számládat.
•    A tekintélytisztelet elnémítja a kételyt, mert ha a vezérigazgató kér valamit, a beosztott nem kérdez vissza.
•    A félelem erősebb hajtóerő, mint a nyereség reménye, ezért működik olyan jól egy jogi fenyegetés vagy egy büntetés kilátásba helyezése.
•    A társadalmi bizonyíték eloszlatja a gyanút: ha mindenki más már megtette, a szokatlan kérés hirtelen normálisnak tűnik.
•    A kölcsönösség pedig egy apró szívesség képében állít csapdát, amit az áldozat ösztönösen viszonozni akar.
Ezt az öt reflexet ma már mesterséges intelligenciával generált deepfake hívások és automatizált e-mailek is célba veszik.

A férfi, aki szóval bontott le tűzfalakat

A módszer atyja Kevin Mitnick volt, aki az 1980-as és 90-es években szinte sosem tört fel technikai rendszert. Csak… beszélt. Amikor a Pacific Bell telefontársaság belső hálózatához akart hozzáférni, kiadta magát a cég egy másik részlegének munkatársaként, és a segítőkész fejlesztők, ügyintézők szépen elmagyarázták neki a rendszer felépítését és a hozzáférési kódokat. A Motorola és a Nokia forráskódját hasonló módon szerezte meg 1994-ben, ismét kollégának álcázva magát telefonon. Az egyik legkiterjedtebb amerikai FBI-hajtóvadászat végén elfogták és elítélték. Szabadulása után megírta a „The Art of Deception” című könyvét, amelyben leírta a máig érvényes tételt: a cégek vagyonokat költenek tűzfalra és titkosításra, miközben a leggyengébb láncszem az ember marad. A szakmában azóta is emlegetett PEBCAK-elv (Problem Exists Between Chair and Computer, vagyis a hiba a szék és a billentyűzet között van) pontosan ezt a gondolatot foglalja össze.

A főnök hangja hazudik

A módszer ma már a mesterséges intelligenciával karöltve dolgozik. A vezérigazgatói csalás receptje egyszerű: a támadó feltérképezi a céget, majd a vezérigazgató vagy a pénzügyi igazgató nevében sürgős, bizalmas utalást kér a pénzügyi osztálytól, gyakran azzal a kikötéssel, hogy a folyamatot ne egyeztessék tovább senkivel. 2024 januárjában a brit Arup mérnökiroda hongkongi irodájában egy pénzügyi munkatárs videóhívásra kapott meghívást, amin a cég brit pénzügyi igazgatója és több ismerős kolléga is részt vett. Az utasításokat követve tizenöt utalásban 25,6 millió dollárt küldött öt hongkongi számlára. A hívás összes résztvevője, a pénzügyi igazgatót is beleértve, mesterségesen generált deepfake volt, nyilvánosan elérhető videók és hangfelvételek alapján összerakva. Az áldozat agya a megszokott arcot és hangot azonnal hitelesként azonosítja, a kételynek esélye sincs.

Statisztika a csalások mögött

A Verizon 2024-es adatvédelmi jelentése szerint a vizsgált incidensek 68 százalékában emberi tényező játszott szerepet, a pretexting, vagyis az ürügyre épülő átverés pedig megelőzte a klasszikus adathalászatot. A felhasználók átlagosan 21 másodperc alatt kattintanak a kártékony linkre egy adathalász e-mail megnyitása után, és további 28 másodperc alatt adják meg az azonosítóikat. A 2025-ös adatok szerint a munkavállalók mindössze 8 százaléka felelős az incidensek 80 százalékáért. Az IBM elemzése szerint az adatlopó kártevőket terjesztő adathalász-kampányok száma 2023 és 2025 eleje között 180 százalékkal nőtt, ezen belül csak 2023-ról 2024-re 84 százalékkal, a mesterséges intelligencia által skálázott támadások miatt.

Itthon sem megy jobban

A hazai kép hasonló. Az MNB, a rendőrség és a Bankszövetség közös KiberPajzs programja szerint a kiberbűnözésből eredő veszteség Magyarországon 2023-ban elérte a 30 milliárd, 2025 második negyedévében pedig egyetlen negyedév alatt meghaladta a 6 milliárd forintot. Egy-egy sikeres akció átlagos kára szegmensenként is jelentős: a megkárosított vállalkozásoknál átlagosan 1,8 millió forint, a lakossági ügyfeleknél átlagosan több százezer forint. A bankokat persze nem kell félteni: a veszteség döntő részét az ügyfelekre hárítják, hiszen a tranzakciót ők maguk hagyják jóvá. A leggyakoribb hazai módszer a hívószám-hamisítás: a csalók az MNB vagy egy bank valódi számát jelenítik meg a kijelzőn, majd pénzügyi távfelügyeletre hivatkozva olyan alkalmazások telepítésére veszik rá az áldozatot, mint az AnyDesk vagy a TeamViewer, amelyek teljes hozzáférést adnak a netbanki felülethez.

A tűzfal nem érzi a félelmet

A kétfaktoros azonosítás sem tökéletes védelem. Az úgynevezett MFA-fárasztás során a támadó annyi jóváhagyási kérést küld a telefonra, hogy az áldozat végül idegességből rábólint. A hálózati szűrők nem tudják értelmezni egy telefonhívás hangnemét vagy egy hamisított videóhívás nyomását. Éppen ezért írja elő a NIS2-irányelv hazai átültetése, a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény, hogy az érintett vállalatoknak rendszeres kiberbiztonsági képzést kell tartaniuk a felsővezetés bevonásával.

Vissza lehet fordítani a reflexet

A megoldás a folyamatos gyakorlás. Egy évente megtartott kötelező oktatási nap ehhez kevés. A rendszeresen szimulált adathalász teszteket futtató vállalatoknál az úgynevezett phish-prone arány, vagyis a rákattintó munkavállalók aránya 30 százalékról akár 5 százalék alá is szorítható. A büntetés helyett a bejelentést jutalmazó vállalati kultúra pedig drasztikusan lerövidíti azt az időt, amely alatt egy incidens kiderül.

A tűzfal a gépet védi. De minket ki vagy mi véd meg? Csak a felkészültségünk.

A cikk megjelenését a SERCO Informatika Zrt. AI és Innovációs üzletága támogatta.

Fotó: Envato