Még a legkörültekintőbb felhasználókat is megtévesztheti ez az adathalász módszer

Alig néhány éve ismert, ám agresszívan terjedő adathalász módszer keserítheti meg az internetes felületek felhasználóit, melyek révén rosszindulatúak a megszerzett belépési adatok birtokában érzékeny adatokhoz férhetnek hozzá, legyen szó akár pénzügyekről vagy közösségi médiás profilról, esetleg egy online fórum felületéről. Mutatjuk, mi ez az adathalász módszer, mely a legkörültekintőbb felhasználókat is megtévesztheti – de nem vagyunk védtelenek ellene.

A „böngésző a böngészőben” (Browser-in-the-Browser, azaz BitB) egy viszonylag új adathalász módszer, amelynek lényege, hogy a felhasználót egy megtévesztő, hamis bejelentkezési felületre vezetik – mutatja be a Nemzeti Kiberbiztonsági Intézet. A csalók által létesített felület úgy néz ki, mintha egy ismert szolgáltató valódi bejelentkező ablaka lenne, még a címsor és a biztonsági jelzések (például a lakat ikon) is hitelesnek tűnnek. A támadás különösen veszélyes, mert a csalók teljesen élethűen tudják utánozni a böngészőablakot, így a felhasználók könnyen megadhatják a bejelentkezési adataikat anélkül, hogy észrevennék a csalást.

Nehezen kiszúrható adathalász módszerre hívják fel a figyelmet (illusztráció)
Fotó: VICTOR DE SCHWANBERG/SCIENCE PHO / VSC

Kifinomult adathalász módszerrel kell szembenézni

Az intézet szerint a BitB technika az adathalászat egy kifinomult módja. 

A támadók legitimnek tűnő, hamis weboldalakat hoznak létre, amelyeken a felhasználók csak bejelentkezés után tudnak bárminemű műveletet végrehajtani, például hozzászólásokat írni vagy vásárolni, amihez például bankkártyájuk adatait kell megadniuk.

A bejelentkezéshez használt felugró ablakban olyan népszerű szolgáltatások bejelentkezési oldalait másolják le a támadók, mint a Microsoft, a Google vagy a Facebook.

A támadás során a hamis weboldalon felugrik egy hamis bejelentkezési ablak egy népszerű, megbízhatónak tűnő szolgáltató nevében, ám a valódi bejelentkezési oldal helyett a felhasználó egy hamis űrlappal találkozik, noha a bejelentkezési ablak címsorában az URL cím is valódinak, legitimnek tűnik. 

Mivel a támadók olyan URL címet jelenítenek meg a böngészőablakban, amilyet csak szeretnének, és ugyanez igaz a HTTPS kapcsolatot jelző SSL tanúsítvány szimbólumra (lakat) is, a BitB támadásokat kifejezetten nehéz észrevenni.

Erre az imént ismertetett, hamis bejelentkezési ablakra mutat példát az alábbi, a Kiberbiztonsági Intézet által közzétett kép – tehát ez egy hamis bejelentkeztető képernyő, az URL-t a csalók egy minden bizonnyal kártékony, és/vagy adathalászatot megvalósító hivatkozásra cserélték ki:

Gyakran valamilyen sürgető vagy fenyegető üzenettel próbálják rávenni az áldozatot a bejelentkezésre. Például előfordulhat, hogy egy ismert platform nevében küldenek értesítést állítólagos szabálysértésről vagy gyanús aktivitásról, és azonnali intézkedést követelnek.

Védekezési lehetőségek

Látható tehát, hogy ez az először 2022-ben azonosított csalási módszer igen veszélyes, mert még az egyébként körültekintően eljáró felhasználókat is megtévesztheti. Ez azonban nem jelenti azt, hogy védtelenül állnánk előtte, több módon is lehet védekezni, hogy elkerüljük az áldozattá válást.

Az egyik leghatékonyabb módszer a jelszókezelők használata. Ezek az eszközök nem a megjelenített felületet, hanem a valódi webcímet ellenőrzik, és csak akkor ajánlják fel az automatikus kitöltést, ha az oldal megbízható. Ha egy ismert oldalon nem jelenik meg az automatikus kitöltés lehetősége, az figyelmeztető jel lehet.

Emellett érdemes az általános kiberbiztonsági szabályokat is betartani:

• Kapcsoljunk be kétlépcsős azonosítást, ahol csak lehet.
• Használjunk minden fiókhoz külön, erős jelszót.
• Ne nyissunk meg gyanús e-maileket vagy üzeneteket, és ne kattintsunk bennük lévő linkekre.
• Legyünk óvatosak az érzelmekre ható, sürgető vagy ijesztő megkeresésekkel.
• Ha egy üzenet hivatalosnak tűnik, ellenőrizzük annak valódiságát a szervezet hivatalos csatornáin.
• Gyanús esetben jelentsük az incidenst az érintett szolgáltatónak vagy a rendszergazdának.

Magyarországon évente több tízmilliárd forintos pénzügyi kár keletkezik a kibertérben elkövetett csalások miat. A Magyar Nemzeti Bank adatai szerint 2024-ben csak 

a lakossági kártyás tranzakciókat tekintve 31 milliárd forint volt az okozott kár értéke.

A károk egy jelentős része ugyanakkor elkerülhető körültekintéssel, egészséges gyanakvással.