Egy csomagértesítő, amely szerint vámot kell fizetned. Egy levél a bankodtól, hogy szokatlan belépést észleltek. Egy üzenet a „tárhelyszolgáltatótól”, hogy lejár a postafiókod. Egy e-mail a beszállítótól, hogy megváltozott a bankszámlaszámuk. Az adathalászat (phishing) ma is a leggyakoribb módja annak, hogy valaki jelszót, bankkártyaadatot vagy pénzt csaljon ki, és a támadások egyre meggyőzőbbek: a mesterséges intelligenciával írt levelek hibátlan magyarsággal, személyre szabva érkeznek.

Ebben az útmutatóban összeszedtük, hogyan ismerheted fel az adathalász üzeneteket, milyen technikai beállításokkal védheted a céges levelezést és a domainedet, hogyan teheted a fiókjaidat ellenállóvá egy ellopott jelszóval szemben, és mi a teendő, ha már megtörtént a baj. A végén egy ellenőrzőlistát is találsz.

Mi az adathalászat?

Az adathalászat olyan csalás, amelyben a támadó egy megbízható szereplőnek (bank, futárszolgálat, hivatal, szolgáltató, kolléga, vezető) adja ki magát, hogy rávegyen valamire: kattints egy linkre, add meg a jelszavad, nyiss meg egy mellékletet, vagy utalj pénzt. Nem a szoftverek hibáit használja ki, hanem az emberi figyelmetlenséget, a sietséget és a tekintélytiszteletet. Az adathalász e-mailekről tudásbázis cikkünk is ír.

A leggyakoribb formák

• Tömeges e-mailes adathalászat: általános levelek nagy címlistára, bankok, futárszolgálatok, webáruházak, közműszolgáltatók vagy hivatalok nevében.
• Célzott adathalászat (spear phishing): egy konkrét személynek szóló levél, amely a cégről, a munkakörről és a kollégákról gyűjtött információkra épül, ezért sokkal hihetőbb.
• Vezetői csalás (CEO-csalás, whaling) és üzleti e-mail kompromittálás (BEC): a támadó egy vezető vagy egy beszállító nevében sürgős utalást kér, vagy „új bankszámlaszámot” közöl. Gyakran egy valódi, korábban feltört postafiókból ír, egy futó levelezésbe kapcsolódva.
• SMS-es adathalászat (smishing): csomagértesítő, banki figyelmeztetés, büntetés vagy úthasználati díj miatti „tartozás” SMS-ben, rövidített linkkel.
• Telefonos csalás (vishing): a hívó banki biztonsági munkatársnak, rendőrnek vagy informatikusnak adja ki magát. A mesterséges intelligenciával klónozott hanggal már egy ismerős kolléga vagy vezető hangját is utánozhatják, és előfordult már hamisított videóhívás is.
• QR-kódos adathalászat (quishing): a link egy QR-kódban van, egy e-mail mellékletében, egy parkolóautomatán vagy egy szórólapon, így a levelezőrendszer linkszűrője nem látja, és a telefonon a cím is nehezebben ellenőrizhető.
• Hamis bejelentkezési oldalak: a Microsoft 365, a Google, a bankod, az Ügyfélkapu+ vagy a tárhelyszolgáltatód bejelentkezési oldalának pontos másolata, egy hasonló nevű domainen.

Mi változott az utóbbi években?

A korábbi intő jelek, a rossz helyesírás és a gépi fordítás nyomai, egyre ritkábbak: a nyelvi modellekkel bárki hibátlan, személyre szabott szöveget írhat bármilyen nyelven. A támadók emellett megtanulták kijátszani a kétlépcsős azonosítás egyszerűbb formáit is: egy köztes (adversary-in-the-middle) adathalász oldal a jelszóval együtt a belépési kódot és a bejelentkezett munkamenetet is ellopja. Ezért ma már nem elég a „figyelj a helyesírásra” típusú tanács; a védelemnek technikai rétegekre is szüksége van.

Videó: Phishing kisfilm (Nemzeti Kiberbiztonsági Intézet)

Hogyan ismerd fel az adathalász üzenetet?

Egy-egy jel önmagában nem bizonyíték, de ha több is igaz egy üzenetre, légy nagyon óvatos.

1. Sürgetés és fenyegetés. „24 órán belül felfüggesztjük a fiókodat”, „utolsó felszólítás”, „azonnal utald”. A sietség célja, hogy ne gondold át, amit csinálsz.
2. Váratlan kérés. Nem vársz csomagot, nem rendeltél semmit, nem kérted a jelszó visszaállítását, mégis erről szól a levél.
3. A feladó címe nem stimmel. A megjelenített név („OTP Bank”, „aWh Ügyfélszolgálat”) bármi lehet. Nézd meg a tényleges e-mail címet és a domaint: egy ingyenes levelezőcím, egy furcsa domain vagy egy egybetűs eltérés (rn az m helyett, 1 az l helyett, .co a .com helyett) árulkodó.
4. A link máshová mutat. Mielőtt kattintanál, vidd fölé az egeret (telefonon nyomd hosszan), és nézd meg a valódi címet. A domain a döntő, vagyis az, ami közvetlenül a végződés (.hu, .com) előtt áll: a bank.hu.ellenorzes-online.com nem a bank.hu-hoz tartozik.
5. Jelszót, kódot vagy kártyaadatot kér. Bank, szolgáltató vagy hivatal soha nem kér e-mailben, SMS-ben vagy telefonon jelszót, egyszer használatos kódot vagy teljes kártyaszámot.
6. Váratlan melléklet. Számla, szállítólevél, „beszkennelt dokumentum” egy ismeretlentől, vagy egy ismerőstől, de szokatlan formában. Különösen gyanúsak a .zip, .iso, .img, .html, .htm, .exe, .js fájlok és a makrót kérő Office-dokumentumok.
7. Megváltozott fizetési adatok. Ha egy partner e-mailben jelzi, hogy új számlaszámra utalj, az a CEO-csalás és a BEC legjellemzőbb lépése. Mindig ellenőrizd egy korábban ismert telefonszámon.
8. Szokatlan hangnem egy ismerőstől. Egy kolléga hirtelen magázódik, vagy épp túl közvetlen, máskor sosem kér ajándékkártyát, most igen.

A lakat nem jelent megbízhatóságot. A böngésző címsorában látható lakat csak azt jelenti, hogy a kapcsolat titkosított; azt nem, hogy az oldal valódi. Az adathalász oldalak döntő többsége ma már ingyenes SSL tanúsítvánnyal működik. A domaint mindig ellenőrizd.

A legbiztosabb módszer: ne a levélben kapott linkre kattints, hanem nyisd meg magad a szolgáltató oldalát vagy alkalmazását (könyvjelzőből, a cím begépelésével), és ott nézd meg, valóban van-e teendőd. Telefonhívásnál tedd le, és hívd vissza a szolgáltatót a hivatalos, általad ismert számán.

Technikai védelem a domainedre: SPF, DKIM és DMARC

Az e-mail eredeti formájában nem ellenőrzi, ki a feladó: bárki küldhet levelet a te domained nevében. Három DNS-ben beállított szabály teszi ezt ellenőrizhetővé, és ezekkel megnehezítheted, hogy a cégedet megszemélyesítő levelek eljussanak az ügyfeleidhez és a partnereidhez.

• SPF: felsorolja, mely szerverek küldhetnek levelet a domainedről. A fogadó szerver ez alapján ellenőrzi, hogy a levél jogosult szerverről jött-e. Részletesen: Mi az SPF rekord?
• DKIM: a levelező szervered digitális aláírással látja el a kimenő leveleket, a fogadó a DNS-ben közzétett nyilvános kulccsal ellenőrzi, hogy a levelet valóban a te szervered küldte, és útközben nem módosították. Részletesen: Mi a DKIM rekord?
• DMARC: megmondja, mit tegyen a fogadó szerver azokkal a levelekkel, amelyek a te domained nevében érkeznek, de elbuknak az SPF- és DKIM-ellenőrzésen: semmit (p=none), tegye a spam mappába (p=quarantine) vagy utasítsa el (p=reject). Jelentéseket is kérhetsz arról, ki küld levelet a nevedben. Részletesen: Mi a DMARC rekord?

A nagy levelezőrendszerek ezt már meg is követelik: a Google és a Yahoo 2024 februárja, a Microsoft (Outlook.com) 2025 májusa óta a sok levelet küldő feladóktól SPF-et, DKIM-et és DMARC-ot vár el, és a hitelesítés nélküli levelek egyre gyakrabban kerülnek a spam mappába vagy kerülnek elutasításra. A beállítás tehát nemcsak az adathalászat ellen véd, hanem a saját leveleid kézbesítését is javítja.

Az ajánlott sorrend: állítsd be az SPF-et és a DKIM-et minden szolgáltatásra, amely a domained nevében küld (a levelezőszerver mellett a hírlevélküldő, a webáruház és a számlázóprogram is), indítsd a DMARC-ot p=none beállítással, figyeld néhány hétig a jelentéseket, majd szigoríts quarantine, végül reject szintre. A lépéseket a DMARC beállítási útmutatónkban írtuk le. Az aWh cPanel tárhelyein az SPF és a DKIM az Email Deliverability menüpontban néhány kattintással beállítható; ha elakadsz, írj nekünk, segítünk.

Az SPF, a DKIM és a DMARC a te domained megszemélyesítése ellen véd. Egy hasonló nevű domainről (például awh-hu.com) küldött levelet nem állítanak meg, ezért a felhasználói figyelemre és a bejövő levelek szűrésére is szükség van.

Bejövő levelek szűrése

A levelezőszerver spamszűrője kiszűri a tömeges adathalász levelek nagy részét, a kártevőkereső pedig a fertőzött mellékleteket. Az aWh minden levelezést tartalmazó tárhelycsomagjában van spamszűrés. Néhány beállítással tovább javíthatsz rajta:

• Állítsd a spamszűrő érzékenységét a saját levelezésedhez, és nézd át időnként a spam mappát, hogy a valódi leveleid ne vesszenek el.
• Készíts szűrőt, amely megjelöli a külső feladótól érkező, de belső kollégának látszó leveleket, vagy a gyanús mellékleteket tartalmazó üzeneteket.
• Ne kapcsold ki a levelezőprogramod és a böngésződ adathalász-figyelmeztetéseit.

A spamszűrés működéséről és arról, miért kerülhetnek valódi levelek a spam mappába, a spam mappába kerülő levelekről szóló tudásbázis cikk ír.

Fiókvédelem: ha a jelszó mégis kiszivárog

Előbb-utóbb valaki rossz linkre kattint. A cél, hogy egy ellopott jelszó önmagában ne legyen elég.

• Kétlépcsős azonosítás (2FA) mindenhol: a levelezésen, a tárhely kezelőfelületén (cPanelben így kapcsolhatod be), az ügyfélfiókodban, a WordPress adminban, a bankodban és a közösségi médiában.
• Lehetőleg adathalászat-álló módszerrel: a passkey (jelkulcs) és a hardveres biztonsági kulcs (FIDO2) csak a valódi domainen működik, ezért egy hamis oldalon nem lehet kicsalni. Ahol elérhető, ezt használd. Ha nincs, egy hitelesítő alkalmazás (TOTP kód) is sokkal jobb a semminél, az SMS-es kód pedig a leggyengébb, de még mindig jobb, mint a puszta jelszó.
• Jelszókezelő: egyedi, hosszú jelszavakat generál minden oldalhoz, és csak a valódi domainen tölti ki őket automatikusan. Ha a jelszókezelő nem ajánlja fel a jelszót egy oldalon, az gyanús jel.
• Ne használj egy jelszót több helyen. Ha egy szolgáltatónál kiszivárog, a támadók automatikusan kipróbálják máshol is.
• Push-értesítéses jóváhagyás: soha ne hagyj jóvá olyan belépést, amelyet nem te kezdeményeztél, még akkor sem, ha sokszor egymás után jön a kérés.

Folyamatok a cégben

A legnagyobb károkat a pénzügyi csalások okozzák, ezekre szervezeti szabályokkal lehet a legjobban felkészülni.

• Négy szem elve: nagyobb utalást vagy egy partner bankszámlaszámának megváltoztatását mindig két ember hagyja jóvá.
• Visszahívás ismert számon: bankszámlaszám-változást vagy sürgős utalási kérést mindig egy korábban ismert, nem a levélben megadott telefonszámon ellenőrizz.
• Nincs „titkos, sürgős” kivétel: a csalók gyakran kérik, hogy senkinek ne szólj, mert bizalmas ügyletről van szó. Legyen egyértelmű, hogy ilyenkor is a szokásos ellenőrzés jár.
• Egyszerű bejelentés: legyen világos, kinek kell szólni, ha valaki gyanús levelet kapott vagy rákattintott valamire. Aki gyorsan szól, azt ne büntesd: a korai bejelentés sokat csökkent a kárt.
• Rendszeres oktatás: rövid, gyakorlati példákkal, évente többször. A szimulált adathalász levelek jól mutatják, hol tart a csapat.
• Frissítések és mentések: az operációs rendszer, a böngésző és a programok legyenek naprakészek, és legyen a géptől elkülönített mentés, mert egy adathalász levél gyakran zsarolóvírussal végződik.

A domain és a márka védelme

A támadók gyakran a te cégedet használják csalinak: a domainedhez hasonló címről írnak az ügyfeleidnek. Ezt megnehezítheted:

• állítsd be a DMARC-ot reject szintre, hogy a pontos domaineddel ne lehessen hamisítani,
• foglald le a leggyakoribb elírásokat és végződéseket (domain választási útmutatónkban írtunk erről),
• a weboldaladon és a leveleidben jelezd egyértelműen, hogy soha nem kérsz jelszót vagy kártyaadatot e-mailben,
• kapcsold be a kétlépcsős azonosítást a domain és a DNS kezeléséhez használt fiókokon is, mert aki a DNS-t átírja, a levelezésedet is eltérítheti.

Mi a teendő, ha már kattintottál?

1. Ne ess pánikba, de cselekedj gyorsan. Minél hamarabb lépsz, annál kisebb a kár.
2. Ha jelszót adtál meg: azonnal változtasd meg (egy másik, megbízható eszközről), és mindenhol máshol is, ahol ugyanazt használtad. Jelentkeztess ki minden munkamenetet, és ellenőrizd, hogy a támadó nem állított-e be továbbítási szabályt vagy automatikus választ a postafiókodban.
3. Ha bankkártya- vagy banki adatot adtál meg: hívd fel azonnal a bankod hivatalos, a kártyád hátoldalán vagy a bank honlapján szereplő számát, és tiltasd le a kártyát. A bankok erre éjjel-nappal elérhető vonalat tartanak fenn.
4. Ha mellékletet nyitottál meg vagy programot telepítettél: válaszd le a gépet a hálózatról, és szólj a rendszergazdának vagy egy szakembernek. Futtass teljes víruskeresést.
5. Ha céges fiókról van szó: jelezd a cég informatikusának vagy vezetőjének. Ha személyes adatok kerülhettek illetéktelen kézbe, az adatvédelmi incidens lehet, amelyet 72 órán belül be kell jelenteni a NAIH-nak; erről adatvédelmi útmutatónkban írtunk.
6. Ha pénz is elveszett: tegyél feljelentést a rendőrségen, és értesítsd a bankot a lehető leghamarabb; egy friss utalás néha még visszahívható.

Hogyan jelentsd az adathalászatot?

• A levelezőprogramodban: a Gmail, az Outlook és a legtöbb webmail tartalmaz „Adathalászat jelentése” gombot, ezzel a szolgáltató szűrőit is tanítod.
• A megszemélyesített szervezetnek: a bankok és a nagyobb szolgáltatók általában közzétesznek egy címet, ahová a nevükben küldött csaló leveleket továbbíthatod.
• A Nemzeti Kibervédelmi Intézetnek (NKI): Magyarországon az NKI fogadja a kiberbiztonsági incidensek és az adathalász oldalak bejelentését.
• A Google Safe Browsing szolgáltatásnak: a hamis weboldalakat itt jelentve a böngészők figyelmeztetni fogják a többi látogatót.
• A rendőrségnek: ha kár keletkezett.

Adathalászat elleni ellenőrzőlista

Mindenkinek

• Linkre kattintás előtt megnézem a valódi címet; jelszót csak a magam által megnyitott oldalon adok meg.
• Minden fontos fiókon be van kapcsolva a kétlépcsős azonosítás, ahol lehet, passkey-vel.
• Jelszókezelőt használok, minden oldalon egyedi jelszóval.
• A telefonom, a számítógépem, a böngészőm és a programjaim frissek.
• Tudom, kinek és hogyan jelezzem, ha gyanús üzenetet kaptam vagy kattintottam.

A cégnek

• A domainen be van állítva az SPF és a DKIM minden küldő szolgáltatásra, a DMARC pedig legalább quarantine szinten van, a cél a reject.
• A levelezésen spamszűrés és kártevőkeresés fut.
• A bankszámlaszám-változást és a nagyobb utalásokat visszahívással és négy szem elvével ellenőrizzük.
• A munkatársak évente többször kapnak rövid, gyakorlati oktatást.
• A domain, a DNS, a tárhely és a levelezés kezelőfelületei kétlépcsős azonosítással védettek.
• Van a gépektől és a szerverektől elkülönített, kipróbált mentésünk.
• Van leírt terv arra, mit teszünk egy sikeres adathalász támadás után.

Összefoglalás

Az adathalászat ellen nincs egyetlen csodaszer, de több védelmi réteggel a kockázat nagyon kicsire csökkenthető. A technikai réteg (SPF, DKIM, DMARC, spamszűrés) kiszűri a támadások nagy részét, a kétlépcsős azonosítás és a jelszókezelő megakadályozza, hogy egy ellopott jelszó elég legyen, a jól begyakorolt céges folyamatok pedig megállítják a pénzügyi csalásokat. A legfontosabb szabály mégis egyszerű: ha egy üzenet sürget, és jelszót, kódot vagy pénzt kér, állj meg, és ellenőrizd egy másik, megbízható csatornán.

Az aWh e-mail tárhelyén és tárhelycsomagjaiban spamszűrés, titkosított kapcsolat és kétlépcsős azonosítás segít a védekezésben, az SPF, DKIM és DMARC beállításában pedig magyarul segítünk. Ha kérdésed van, írj nekünk.

Gyakori kérdések

Hogyan ismerhetem fel biztosan, hogy egy e-mail adathalász?

Biztosan sehogy, ezért a legjobb módszer, ha nem a levélben kapott linket vagy telefonszámot használod. Nyisd meg magad a szolgáltató oldalát vagy alkalmazását, vagy hívd fel a hivatalos számát, és ott ellenőrizd, valóban van-e teendőd. Gyanús jel a sürgetés, a váratlan kérés, az eltérő feladó- vagy linkcím, a jelszót, kódot vagy kártyaadatot kérő üzenet és a megváltozott bankszámlaszám.

Mi a különbség a spam és az adathalászat között?

A spam kéretlen reklám vagy tömeges levél, amely bosszantó, de általában nem akar becsapni. Az adathalász levél megtévesztésre épül: egy megbízható szereplőnek adja ki magát, hogy adatot vagy pénzt csaljon ki.

Elég egy jó vírusirtó?

Nem. A vírusirtó a kártékony mellékletek ellen véd, de egy hamis bejelentkezési oldalon megadott jelszó ellen nem tud mit tenni. Kétlépcsős azonosítás, jelszókezelő, a domain hitelesítése (SPF, DKIM, DMARC) és a figyelmes felhasználók együtt adnak jó védelmet.

Ha az oldalon ott a lakat, biztonságos?

A lakat csak azt jelenti, hogy a kapcsolat titkosított, azt nem, hogy az oldal valódi. Az adathalász oldalak többsége ma már érvényes SSL tanúsítvánnyal működik. Mindig a domain nevét ellenőrizd.

Ingyenes levelezőt használok. Ott is beállítható az SPF és a DKIM?

Egy ingyenes levelezőcím (például @gmail.com) domainjének hitelesítését a szolgáltató végzi, neked nincs vele teendőd, de saját domaint sem használhatsz vele. Ha a saját domaineddel levelezel, a DNS-ben neked kell beállítanod az SPF-et, a DKIM-et és a DMARC-ot, vagy a tárhelyszolgáltatód segít ebben.

Hogyan védekezzek a vezetői (CEO-) csalás ellen?

Szervezeti szabályokkal: a nagyobb utalásokat és a bankszámlaszám-változásokat két ember hagyja jóvá, és minden ilyen kérést egy korábban ismert telefonszámon vissza kell igazolni, akkor is, ha a kérés a vezetőtől érkezik és „sürgős, bizalmas”.

Mit tegyek, ha rákattintottam egy linkre, de nem adtam meg semmit?

Zárd be az oldalt, ne tölts le és ne nyiss meg semmit. Egy modern, frissített böngészőben egy kattintás önmagában ritkán okoz kárt, de futtass víruskeresést, és ha céges gépről van szó, szólj az informatikusnak. Ha a link letöltést indított, ne nyisd meg a fájlt.

Létezik 100%-os védelem?

Nem. A cél a kockázat csökkentése több, egymást kiegészítő réteggel, és egy terv arra az esetre, ha mégis megtörténik a baj. Aki gyorsan észleli és jelzi a támadást, annak a kára is kisebb.

• adathalászat
• kiberbiztonság
• email kézbesítés
• hitelesítés
• útmutató