A jelkulcs sokkal biztonságosabb, mint egy jelszó, de nem feltörhetetlen | 2026 augusztus 6. 11:41

Biztonsági kutatók három módszert is találtak a Google Jelszókezelőben tárolt passkey-k kijátszására.

A passkey a hagyományos jelszavak biztonságosabb utódja, ami minden webhelyhez egyedi kriptográfiai kulcspárt használ, a belépést pedig általában PIN-kóddal, ujjlenyomattal vagy arcfelismeréssel kell jóváhagyni. Ez elméletben csodálatos, mert az ember nem tudja véletlenül egy adathalász oldalnak átadni a belépési adatát, a szolgáltatóknál pedig csak a támadók számára önmagában használhatatlan nyilvános kulcsot lehet megtaláln.

A Palo Alto Networks Unit 42 kutatói (Beeping Computer) most három, Pass-ta-key névre keresztelt támadási módszert mutattak be, amik a Windows alatt futó Chrome-ot, valamint a Google Jelszókezelőn keresztül szinkronizált jelkulcsokat célozzák. Itt érdemes megjegyezni, hogy egyik módszer sem alkalmazható távolról egy tiszta PC ellen, tehát a támadónak előbb valamilyen kártevőt kell futtatnia az áldozat rendszerében.

Az alaptámadás a Chrome TPM által védett eszközazonosítójával kér érvényes hitelesítési választ a Google felhőalapú azonosítójától. A folyamat a kutatók szerint rendszergazdai jogosultság, PIN-kód, biometrikus azonosítás és látható felhasználói interakció nélkül is végrehajtható, de ehhez a céloldal hibája is szükséges lehet. A szolgáltatónak ellenőriznie kellene a hitelesítési válaszban szereplő jelzést, amely igazolja, hogy a felhasználó valóban feloldotta az eszközt.

A Silver Pass-ta-key nevű változat ennél tovább megy, a kártevő képes lehet olyan ellenőrző kulcsot regisztráltatni a Chrome-mal, amelyet már a támadó irányít. Ezzel azt a látszatot keltheti, hogy az áldozat PIN-kóddal vagy biometrikus azonosítással jóváhagyta a műveletet.

A legsúlyosabb, Golden Pass-ta-key névre keresztelt eljárás a szinkronizált jelkulcsokat titkosító központi rendszert veszi célba. A kutatók eredetileg a Chrome belső FIDO-naplóiban találták meg ezt olvasható formában, amit a Google a bejelentés után el is távolított. A kulcs azonban eszközregisztráció vagy fiók-helyreállítás közben átmenetileg továbbra is megjelenhet a Chrome memóriájában, ahonnan egy már futó kártevő kinyerheti.

-- Ennek birtokában a támadó elméletileg visszafejtheti a Google-fiókkal szinkronizált jelkulcsokat, és azokat másik számítógépen is felhasználhatja.

Ezek ellenére a passkey továbbra is sokkal hatékonyabban véd az adathalászat és mindenféle támad ellen, a kutatás inkább arra világít rá, hogy az erős hitelesítés mellett a számítógép védelméről sem szabad megfeledkezni, mert ha egy kártevő már szabadon fut a gépen, akkor szinte mindegy is, hogy a többi védelem mennyire erős.

https://www.pcwplus.hu/pcwlite/a-jelkulcs-sokkal-biztonsagosabb-mint-egy-jelszo-de-nem-feltorhetetlen-386151.html

Előzmény

Válasz

Az erős jelszó önmagában már kevés az online fiókok védelméhez | 2026 július 16. 08:19

Három védelmi réteg kell ahhoz, hogy ne legyünk könnyű célpontok.

Sokan úgy gondolják, hogy egy kellően hosszú és bonyolult jelszóval már biztonságban tudhatják online fiókjaikat. Ez azonban csak a védelem egyik része. Egy adatszivárgás, megtévesztő bejelentkezési oldal vagy ellopott készülék után még az erős jelszó mellett is veszélybe kerülhetnek a személyes adataink. A hatékonyabb védelemhez az e-mail-címet, a jelszót és a többlépcsős azonosítást együtt kell kezelni. Ha ezek közül csak egyetlen rétegre figyelünk, a támadók a másik kettő gyengeségeit használhatják ki.

Az e-mail-cím azért különösen fontos, mert a legtöbb szolgáltatásnál ez az elsődleges felhasználói azonosítónk. Ugyanezt a címet használjuk közösségi oldalakhoz, webáruházakhoz, streamingplatformokhoz, banki alkalmazásokhoz és jelszó-visszaállításhoz is. Amennyiben egy adatbázisból kiszivárog, a támadók azonnal tudni fogják, melyik címhez érdemes ellopott vagy korábbi jelszavakat próbálgatni. Ezt a kockázatot csökkenthetik az e-mail-álnevek. Ezek olyan egyedi címek, amelyek a beérkező leveleket továbbítják a valódi postafiókba, miközben a szolgáltatás nem ismeri meg az elsődleges címet. Ha egy álnév egy adatszivárgásban nyilvánosságra kerül vagy kéretlen leveleket kezd kapni, egyszerűen letiltható, és helyette létrehozható egy új.

Az e-mail-álnév használata nem kötelező, és önmagában nem akadályozza meg a fiók feltörését, de elkülönítheti egymástól a különböző regisztrációkat. Abban is segíthet, hogy kiderüljön, melyik szolgáltatás adta tovább vagy veszítette el a megadott címet. A jelszavaknál ma már nem elsősorban a különleges karakterek száma jelenti a legfontosabb szempontot. Sokkal nagyobb problémát okoz, ha valaki ugyanazt a jelszót vagy annak kisebb változatait több oldalon is használja. Ilyenkor egyetlen kiszivárgott adatpárossal több fiók is megnyitható.

Minden szolgáltatáshoz különálló, hosszú jelszót érdemes létrehozni, ezek megjegyzése azonban több tucat vagy akár több száz fióknál már nem reális. Erre szolgálnak a jelszókezelők, amelyek létrehozzák és titkosított formában tárolják a belépési adatokat. A felhasználónak így elsősorban a jelszókezelő erős főjelszavát kell megjegyeznie. A jelszókezelők az adathalászat ellen is nyújthatnak némi védelmet. Egy megtévesztésig hasonló hamis oldalon a felhasználó könnyen begépelheti jelszavát, a jelszókezelő azonban általában csak azon a webcímen ajánlja fel az automatikus kitöltést, amelyhez korábban elmentették az adatokat. Ez fontos figyelmeztetés lehet arra, hogy nem a valódi oldalon járunk.

A harmadik védelmi réteg a két- vagy többlépcsős azonosítás. Bekapcsolása után az e-mail-cím és a jelszó megszerzése önmagában nem feltétlenül elegendő a belépéshez, mert a rendszer további igazolást is kér. Ez lehet egy hitelesítő alkalmazásban megjelenő kód, biometrikus azonosítás, fizikai biztonsági kulcs vagy egy másik megbízható eszköz jóváhagyása. A fizikai biztonsági kulcsok és a jelkulcsok, vagyis a passkeyek a leginkább adathalászat-ellenálló megoldások közé tartoznak. A hitelesítő alkalmazások által létrehozott egyszer használatos kódok szintén erősebb védelmet nyújtanak, mint a kizárólag jelszóval működő belépés.

Az SMS-ben érkező kódok kevésbé biztonságosak, mert telefonszám-eltérítéssel vagy megtévesztéssel megszerezhetők, de még ez a módszer is jobb annál, mintha egy fiók semmilyen második védelmi réteget nem használna. Elsősorban az e-mail-fióknál, a jelszókezelőnél, a banki és közösségi oldalakon érdemes azonnal bekapcsolni az elérhető legerősebb azonosítási módot.

Tökéletesen feltörhetetlen fiók nem létezik, de az egyedi e-mail-címek vagy álnevek, a jelszókezelővel létrehozott különálló jelszavak és a többlépcsős azonosítás együtt jelentősen megnehezítik a támadók dolgát. Ha az egyik védelmi réteg elbukik, a következő még megakadályozhatja a belépést.

https://www.pcwplus.hu/pcwlite/az-eros-jelszo-onmagaban-mar-keves-az-online-fiokok-vedelmehez-385093.html

Előzmény

Válasz

Védekezés a kiberbűnözés ellen: 7 tipp a biztonsághoz az interneten

A kiberbűnözés egyre nagyobb problémákat okoz az online térben. Az alábbiakban tippeket olvashat arról, hogyan védheti meg magát. (Közzétéve: 06-04-2020 | Utolsó frissítés: 2025.4.9.)

A gazdaság és a társadalom digitális átalakulása lehetőségeket és kihívásokat is teremt, a kiberbiztonság pedig egyre fontosabb mind társadalmi, mind személyes szinten.


Milyen kiberfenyegetésektől védjem meg magam?

A kiberbűnözők adathalászatot, rosszindulatú programokat telepítését és más rosszindulatú gyakorlatokat használnak az adatok ellopására és az eszközökhöz való hozzáférésre, ami lehetővé teszi számukra, hogy bármit megtegyenek a bankszámlákhoz való hozzáféréstől a szervezetek adatbázisának böngészéséig.

A kiberbűnözők egyre inkább kihasználják a mesterséges intelligenciát (AI), hogy támadásaikat kifinomultabbá és hatékonyabbá tegyék.
https://www.europarl.europa.eu/topics/hu/article/20200918STO87404/a-mesterseges-intelligencia-hasznalata-es-veszelyei

Az AI lehetővé teszi rendkívül meggyőző mélyhamisítások, automatizált adathalász kampányok és adaptív rosszindulatú programok létrehozását, amelyek képesek megkerülni a hagyományos biztonsági intézkedéseket.

A dezinformáció a másik, egyre növekvő kiberfenyegetés.
https://www.europarl.europa.eu/topics/hu/article/20240404STO20215/kulfoldi-beavatkozas-a-parlament-kuzdelme-a-demokraciat-fenyegeto-veszely-ellen

A hamis vagy félrevezető információkat szándékosan terjesztik az emberek megtévesztésére, a közvélemény manipulálására vagy károkozásra. A kiberbűnözők és a rosszindulatú szereplők a közösségi médiát, az álhírek webhelyeit és a mesterséges intelligencia által generált tartalmakat használják a bizalom kihasználására és zűrzavarra.

*** További információ a fő és újonnan megjelenő kiberbiztonsági fenyegetésekről
https://www.europarl.europa.eu/topics/hu/article/20220120STO21428/kiberbiztonsag-a-legfobb-fenyegetesek

*** Tudjon meg többet a kibertámadások költségeiről
https://www.europarl.europa.eu/topics/hu/article/20211008STO14521/miert-fontos-a-kiberbiztonsag-es-mibe-kerulhet-egy-kibertamadas-az-erintettnek


Hogyan lehet védekezni a kiberbűnözéssel szemben?

Az EU folyamatosan dolgozik a kiberbiztonság fokozásán, de az alábbi tippek követésével nagyobb biztonságban lehet az internetezés és a távoli munkavégzés során:

1. Legyen óvatos a spamnek tűnő e-mailekkel, SMS-ekkel és telefonhívásokkal

Legyen különösen óvatos, ha valaki egy krízishelyzettel próbál rákényszeríteni arra, hogy megkerülje a szokásos biztonsági eljárásokat. A támadók tudják, hogy sokszor könnyebb becsapni az embereket, mint betörni egy összetett rendszerbe. Ne feledje, hogy állami tisztviselők, bankok vagy más szervezetek soha nem kérik a jelszavak felfedését.

2. Tanulja meg észrevenni a mesterséges intelligencia által generált tartalmat

Az AI által generált tartalom felismeréséhez keressen következetlenségeket vagy rendellenességeket. A videók gyakran furcsa torzításokat, például természetellenes pislogást vagy arcmozgásokat tartalmaznak, és az AI által generált hangok furcsa intonációkkal vagy természetellenes szünetekkel rendelkezhetnek.

3. Tanulja meg észrevenni és védekezni a dezinformáció ellen

Nézze meg ezt a hat félretájékoztatási taktikát, amelyekkel megtévesztik az embereket.
https://www.europarl.europa.eu/topics/hu/article/20250227STO27081/a-felretajekoztatas-felfedezese-hat-taktikaval-csapnak-be-minket

Ellenőrizze a forrásokat, ellenőrizze az információkat, és legyen óvatos az ellenőrizetlen állítások megosztásával.

4. Biztonságos hálózatról csatlakozzon az internetre

Cserélje le a wifi alapértelmezett jelszavát egy erősebbre, és korlátozza a hálózathoz csatlakoztatott eszközök számát, csak megbízható eszközöknek adjon engedélyt.

5. Cserélje gyakran a jelszavát

Válasszon hosszú és összetett jelszót, amely számokat, betűket és speciális karaktereket tartalmaz.

6. Védje a készülékeit

Frissítse az összes alkalmazást, telepítsen vírusirtót, tűzfalat és egyéb internetes biztonsági programokat.

7. A családtagok és a vendégek hozzáférésének kezelése

Próbálja a munka közben használt eszközeit csak a munkára használni, hogy a családtagok nehogy véletlenül vírusos programot töltsenek le rá.


*** Jelentse a kibertámadásokat nemzeti hatóságának.
https://www.europol.europa.eu/report-a-crime/report-cybercrime-online


Mit tesz az EU az online biztonsága érdekében?

Az EU intézményei, mint például az Európai Bizottság, a kiberbiztonsági ügynökség (Cert-EU), vagy az Europol nyomon követik a rosszindulatú tevékenységeket, felhívják a figyelmet a lakosság és a vállalkozások védelmére.
https://ec.europa.eu/digital-single-market/en/news/coronavirus-outbreak-joint-statement-european-commission-enisa-cert-eu-and-europol

A Parlament régóta támogatja az internet biztonságát célzó uniós intézkedéseket, mivel a hálózati és információs rendszerek és szolgáltatások megbízhatósága és biztonsága létfontosságú a társadalom számára.
https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32022L2555

2024-ben a Parlament elfogadta a kiberrezisztenciáról szóló törvényt, amely egy átfogó szabályrendszer a digitális funkciókkal rendelkező termékek biztonságos használatának biztosítására.
https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act

Harc a kiberbűnözés ellen: az új uniós kiberbiztonsági törvények magyarázata
https://www.europarl.europa.eu/topics/hu/article/20221103STO48002/harc-a-kiberbunozes-ellen-az-uj-unios-kiberbiztonsagi-torvenyek-magyarazata


További cikkeink arról, hogyan alakítja az EU a digitális világot

*** Az EU digitális piacokról és a digitális szolgáltatásokról szóló törvényei
https://www.europarl.europa.eu/news/hu/headlines/priorities/digitalis-atallas/20211209STO19124/az-eu-digitalis-piacokrol-es-a-digitalis-szolgaltatasokrol-szolo-torvenyei

*** Milyen előnyökkel jár az adatmegosztás fellendítése az EU-ban?
https://www.europarl.europa.eu/topics/hu/article/20220331STO26411/milyen-elonyokkel-jar-az-adatmegosztas-fellenditese-az-eu-ban

*** Az első uniós rendelet a mesterséges intelligenciáról
https://www.europarl.europa.eu/topics/hu/article/20230601STO93804/az-elso-unios-rendelet-a-mesterseges-intelligenciarol

*** Chips Act – az EU terve a félvezetőhiány leküzdésére
https://www.europarl.europa.eu/topics/hu/article/20230210STO74502/chips-act-az-eu-terve-a-felvezetohiany-lekuzdesere

*** A kriptovaluta veszélyei és az uniós jogszabályok előnyei
https://www.europarl.europa.eu/topics/hu/article/20220324STO26154/a-kriptovaluta-veszelyei-es-az-unios-jogszabalyok-elonyei


További információ

*** A kiberbiztonsággal kapcsolatos tudatosság növelése
https://cybersecuritymonth.eu/


Forrás:
https://www.europarl.europa.eu/topics/hu/article/20200327STO76003/vedekezes-a-kiberbunozes-ellen-7-tipp-a-biztonsaghoz-az-interneten
___

*** Az internetes csalások fajtái és a javasolt védekezés lehetőségei
http://szamitastechnika.network.hu/blog/szamitastechnika-klub-hirei/az-internetes-csalasok-fajtai-es-a-javasolt-vedekezes-lehetosegei

Válasz

Ha látja a jelszavát ezen a listán, azonnal cserélje le | 2024. november. 15.

Ismét összesítette a NordPass, melyek voltak az évben a leggyengébb jelszavak. A globális listán van némi változás, de a jelek szerint a magyar felhasználók sem sokkal tudatosabbak, ha a felhasználói fiókjuk biztonságáról van szó.

Mostanra hagyománnyá vált, hogy a kiberbiztonsági szakemberek az év végéghez közeledve összeállítják az adott évre vonatkozó legrosszabb jelszavakat listáját. Nincs ez másként idén sem: a NordPass immáron hatodik éve teszi ezt meg, és ezúttal is a TOP 200-as listát tette közzé a weboldalán. Sajnos továbbra is úgy tűnik, sokan nem veszik komolyan, hogy egy fiókhoz erős jelszót kell beállítani.

A NordPass a NordStellarral közösen az internetre felkerült és nyilvánosan elérhető adatbázisokat szedte össze, amelyek a kiszivárgott jelszavakat tartalmazzák. Ezekből egy igen méretes, 2,5 TB-os adatsor jött össze, ebben pedig volt minden a rosszindulatú felek adatlopásától kezdve egészen az adatszivárgások miatt napvilágot látott jelszavakig.

Ezek alapján 2024-ben ez lett a TOP 10 leggyakrabban használt leggyengébb jelszó:

123456
123456789
12345678
password
qwerty123
qwerty1
111111
12345
secret
123123.

Az 123456 összesen 3 018 050 alkalommal szerepelt a kiszivárgott adatbázisokban, míg az 123456789 összesen 1 625 135-ször. Az 12345678 a 884 740 darab használattal került fel a dobogó harmadik helyére.

A NordPass összegzése alapján már 2023-ban is az 123456 volt a legrosszabb használt jelszó, mögötte azonban némiképp átrendeződött a mezőny. A mostani 2. helyezett tavaly még a 4. volt, lekerült a listáról a 2023-ban második helyezett admin, de az Aa123456, az 1234567890, az 123 és az 1234 sem fért fel a listára.

https://hvg.hu/tudomany/20241115_legrosszabb-jelszavak-listaja-2024

Válasz

Több ezer ember személyes adatai szivárogtak ki egy fejvadászcégtől | 2024. október 1.

„Elköszönés nélkül lerakta. Paraszt pasas”

„Asperger szindrómás, vezetői pozícióra nem jó”

„Apja meghalt, nem érdekli új lehetőség”

„NE KERESSÜK!! Kekeckedett és kikérte magának, hogy mi honnan tudjuk a számát”

Ez csak néhány abból a több ezer megjegyzésből, amelyeket egy IT-fejvadász cég, a Switch IT Fejvadász és Tanácsadó Kft. munkatársai fűztek azokhoz a potenciális munkavállalókhoz, akiket a munkájuk során megkerestek. Ezt onnan tudjuk, hogy feltehetően egy hiba miatt egy ideig nyilvánosan elérhető volt a cég egy adatbázisa, tele a fentiekhez hasonló megjegyzések mellett az érintettek személyes adataival és rájuk vonatkozó, potenciálisan érzékeny információkkal is.

-- Márpedig érintettből elég sok lehet: a munkakörök szerint listákra osztott adatbázisban összesen nagyságrendileg hétezer nevet számoltunk össze,

bár ebben sok átfedés is lehet, szúrópróbaszerű ellenőrzéssel is találtunk ismétlődő neveket, amikor a cikk írásának érdekében belenéztük az adatbázisba. Feltehetően egy élő adatokkal feltöltött tesztadatbázist állíthatott véletlenül nyilvánosra a cég egy munkatársa. A legkésőbbi adatok 2023 márciusából származnak.

Az adatszivárgásra egy Reddit-felhasználó hívta fel a figyelmet, aki véletlenül, a saját emailcímére keresve botlott bele egy kódmegosztó oldalon az adatbázisba, amelyben ő is szerepelt, és az általa indított beszélgetés hozzászólói közül többen szintén megtalálták magukat vagy ismerőseiket. (A Reddit-szálat nem linkeljük, mert bár több helyről már törölték az adatokat, a hozzászólások alapján azok továbbra is megtalálhatóak különféle másolatokban.) Azóta a cég addig üres Google-profilján is elkezdtek gyűlni az adatszivárgás miatt érkező egycsillagos értékelések.

https://www.google.com/maps/place/Switch+IT+Fejvad%C3%A1sz+%C3%A9s+Tan%C3%A1csad%C3%B3+Kft./@47.5003317,19.138728,17z/data=!3m1!4b1!4m6!3m5!1s0x4741db745038a371:0x2ca4b44f0c3594a1!8m2!3d47.5003317!4d19.138728!16s%2Fg%2F11f4pmm_z2?entry=ttu&g_ep=EgoyMDI0MTAyMS4xIKXMDSoASAFQAw%3D%3D

A kategóriákra bontott adatbázisban egyébként a cég profiljának megfelelően többségében informatikusok szerepelnek, de nem kizárólag: többek között építőmérnök, jogász, könyvelő, villanyszerelő, lakatos is található köztük. A megjegyzések alapján sokaknál maga a cég próbálkozott be, de rövid úton lepattantak. Ismerős nevek is feltűnhetnek, az etikus hekkerek listáján például egy neves szakember is szerepel.

https://telex.hu/techtud/2024/10/01/kiberbiztonsag-adatvedelem-adatszivargas-szemelyes-adatok-switch-it-fejvadasz-ceg
___

A cég honlapja
https://switchit.hu/
jelenleg és szerencsére (bár a sechole nem ott történt) nem érhető el:

Forbidden

You don't have permission to access this resource.

Additionally, a 403 Forbidden error was encountered while trying to use an ErrorDocument to handle the request.

Válasz

NIST: Inkább hosszú legyen a jelszó, mint bonyolult | 2024. október 7.

Éveken keresztül úgy tűnt, hogy a szakemberek a rendkívül összetett, tehát nagy- és kisbetűket, számokat és szimbólumokat kombináló jelszavakat ajánlják, de jelen állás szerint a komplexitásra való törekvés kontraproduktív, és valójában gyengíti a biztonságot a gyakorlatban.

A szervezetek információs rendszereinek védelmét segítő Egyesült Államok Nemzeti Szabványügyi és Technológiai Intézete (NIST) szeptemberben új irányelveket fogalmazott meg az ajánlott jelszókezelési gyakorlatokkal kapcsolatban az SP 800-63-4 második nyilvános tervezetének részeként, amely a digitális identitásokra vonatkozó irányelvek legújabb verziója.

Az intézet szerint az elterjedt tanács, miszerint a jelszavak megválasztásakor érdemes a komplexitásra törekedni, és keverni a karaktertípusokat a megválasztott kódsor rendszeres változtatása mellett, már nem feltétlen állja meg a helyét. Így nem ajánlja már azt sem, hogy a szervezetek 60-90 naponként változtassanak jelszavakat. Ezen felül követelménnyé válik, hogy a CSP-k nem használhatnak tudásalapú hitelesítést (KBA), tehát olyan hitelesítő adatokat, amelyeket a felhasználó ismer (PIN, személyes azonosító számok), vagy biztonsági kérdéseket a jelszavak megadásakor.

... A CSP-knek engedélyezniük kell az akár 64 karakteres jelszó megadásának lehetőségét is, ahogy az ASCII és Unicode karakterek támogatását. Az ajánlás azon az elméleten alapul, hogy a jelszó erősségének növelése szempontjából a hosszúságra való fókuszálás hatékonyabb lehet az emberi tényező miatt is, mint a komplexitás.

Ezek valójában olyan alapelvek, amelyeket az állami és magánszervezetek, köztük az Egyesült Államok Szövetségi Kereskedelmi Bizottsága és a Microsoft már régóta ajánlanak, a NIST legutóbb 2020-ban adta ki a jelszavakra vonatkozó ajánlást. Az eddigi tanulmányok szerint a felhasználók gyakran nehezen emlékeznek az összetett jelszavakra, ami arra készteti őket, hogy több webhelyen újrahasználják a jelszavakat, vagy a könnyen megjegyezhető mintákat alkalmazzák, például a betűket hasonló kinézetű számokra vagy szimbólumokra cseréljék.

https://www.hwsw.hu/hirek/68245/jelszo-nist-karakter-hosszusag-ajanlas.html

Szerintem, bonyolult is legyen...

Válasz

Valódinak kinéző BKK – Budapesti Közlekedési Központ nevű oldal hirdetésében ingyenes BKK-bérletet ígérnek, de a valóságban a kiszállítási díj megfizetésével a banki adatainkat próbálják megkaparintani (HVG) | 2024. augusztus 9.

Egy ál-BKK-s oldalon gratulálnak a „nyertesnek”, azt állítva, hogy a közlekedési cég összesen 500 darab ingyenes havi bérletet sorsol ki, és ezek egyikének megnyeréséhez csupán egy kérdőívet kell kitölteni. Még arra is odafigyeltek, hogy a budapesti és a céges logó is a megfelelő helyen szerepeljen, és hálálkodó kommentelők is legyenek, igaz, mindegyikük idegen hangzású név alatt, de hibátlan magyarsággal mond köszönetet a nyereményéért. Árulkodó lehet az is, hogy az oldalnak mindössze 2 követője és kedvelője van.

Nem meglepő módon mindenki nyer, legalább is, ami a félezer „szerencsés” közé való bekerülést jelenti. Ám ekkor jön a csavar: az ajándékra kiszállítási díjat számolnak fel, ami 796 forint. Ehhez ki kell tölteni egy űrlapot névvel, email-címmel és számos egyéb adattal.

-- A következő lépés a fiktív fizetési oldal, amely mögött természetesen nem egy bank, hanem csalók állnak, akik így akarják megszerezni az összes bizalmas adatunkat.

Ahogy arra már a Dívány is számtalanszor felhívta a figyelmet, a csalók folyamatosan új módszereket eszelnek ki, hogy kihúzzák belőlünk a pénzünket. A rendőrség listát is készített a leggyakoribb csalástípusokról,

https://divany.hu/eletem/rendorseg-csalas/

amelyek élén a valódi cégeket leutánzó hamis weboldalakra irányító üzenetek állnak. Legutóbb ilyen módon állítólagos parkolási szabálysértést,

https://divany.hu/mindennapi/atveres-sms/

nem sokkal korábban pedig útdíjtartozást próbáltak bevasalni a gyanútlan felhasználókon hivatalosnak látszó, de valójában adathalász üzenetekkel, hogy így jussanak hozzá a banki adatokhoz.
https://divany.hu/eletem/ingyenes-berlet/

Válasz

Szűlöknek segít eligazodni a fiatalok és a közösségi média viszonyában az NMHH kiadványa | 2024.07.26.

A Mit lájkol a gyerek? című anyagból többek között kiderül, hogy a gyerekek bő harmada érezte már magát kevésbé szépnek a közösségi térben látott tartalmak miatt.

https://gyerekaneten.hu/tema/Mit_lajkol_a_gyerek__Szuloknek_a_kozossegi_mediarol

Mit lájkol a gyerek? – Szülőknek a közösségi médiáról elnevezésű tájékoztatófüzetet jelentetett meg a Nemzeti Média- és Hírközlési Hatóság (NMHH).

A friss kiadvány a gyermeknapon megjelent, fiataloknak szóló Sztorik a zsebben – Történetek a közösségi médiából című kiadvány párjának tekinthető,

https://gyerekaneten.hu/tema/Sztorik_a_zsebben__Tortenetek_a_kozossegi_mediabol

amelynek deklarált célja, hogy bemutassa a közösségi oldalak működésének főbb szabályszerűségeit, és támpontokat adjon a szülőknek, hogyan segíthetik gyermekeiket eligazodni ezeken a platformokon, miközben felhívja a figyelmet a közösségi média kockázataira, de annak előnyeit is számba veszi.

A szülőknek szóló tájékoztató több tanulságos adatot is tartalmaz a témában végzett friss kutatásból. Eszerint a gyermekek 47 százaléka vásárolt már meg valamilyen terméket a rendszeresen felugró hirdetések hatására, csaknem negyedük pedig kizárólag amiatt, mert egy számukra kedves influenszer ajánlotta azt.

A hatósági tájékoztatás szerint az influenszer jelenség nemcsak a vásárlási szokások alakulásának szempontjából lényeges, hanem a fiatalok mentális egészségmegőrzésére is hatással lehet. Az online közösségi oldalakon látott tartalmak ugyanis – többek között – az alakuló énképet is befolyásolhatják: a felmérés válaszadóinak 35 százaléka érezte már kevésbé szépnek, 18 százalékuk pedig kevésbé boldognak magát a közösségi médiában látott tartalmaknak köszönhetően.
https://bitport.hu/szuloknek-segit-eligazodni-a-fiatalok-es-a-kozossegi-media-viszonyaban-az-nmhh-kiadvanya

Válasz

Több mint 361 millió egyedi felhasználói emailcím szivárgott ki különböző Telegram-csatornákról, amelyek közül 151 millió korábban még soha nem került ki az internetre – írja Troy Hunt, a szivárgásokat listázó Have I Been Pwned (HIBP) mögött álló kiberbiztonsági szakértő a blogján.

Az emailek mellett ott vannak a felhasználók jelszavai is, valamint sok esetben a platformok is, ahol ezeket használják. A szakértő több oldalon is tesztelte a kódokat, és megállapította, hogy kiterjedt, valós szivárgásról van szó. A listában leginkább adathalász módszerekkel megszerzett adatok szerepelnek.

Összesen 122 gigabájtnyi adatról van szó, ami elsőre talán nem tűnik soknak, de érdemes szem előtt tartani, hogy a szöveges fájlok általában kevés helyet foglalnak.

Ez esetben több mint 1700 fájlról beszélünk, közel 2 milliárd sornyi információval. Egy sorban általában az oldal címe, és az ottani felhasználói fiók emailcíme, illetve jelszava található meg. Ezeket egy kiberbiztonsági szakértő több száz Telegram-csatornáról kaparta össze, mielőtt elküldte Huntnak.

A szakértő a blogján részletesen bemutatta a szivárgás validálásának menetét, illetve azt is, hogyan reagáltak a követői, amikor jelezte feléjük, hogy kiszivárogtak a belépési adataik. Troy Hunt szerint az ilyen esetek elkerülése végett kifejezetten fontos az egyedi jelszavak használata, illetve az ezeket menedzselő jelszókezelők, valamint a kétlépcsős azonosítás alkalmazása.
https://24.hu/tech/2024/06/05/telegram-szivargas-tobb-szaz-millio-email-jelszo-have-i-been-pwned/
___

Az említett blog bejegyzés:
https://www.troyhunt.com/telegram-combolists-and-361m-email-addresses/

Válasz

Feladtunk egy hirdetést a Facebook Marketplace-en

A világ legnagyobb közösségi oldalának piactere Magyarországon is rendkívül népszerű, a különböző Településnév adok-veszek csoportokban emberek ezrei kínálják eladásra használt portékáikat a Facebook apróhirdetési rendszerével, de ezt a rosszindulatú felek is tudják.

-- A végcél az esetek többségében az, hogy hozzáférést szerezzenek a netbankjához, de legalább a kártyaadataihoz.

Feladtunk egy Apple AirPods-hirdetést a Marketplace-en, és vártuk a „jelentkezőket”.

A vevő, aki mindent intéz

Néhány órával a hirdetés feladása után egy Papp Hanna nevű profilból érkezett egy üzenet, és első kérdése az volt, lehetséges-e GLS-es kiszállítás. Persze az ő kontójára, fizeti, hogy nekünk még kényelmesebb legyen. Természetesen – vágtuk rá határozottan, mire a csaló e-mail-címet kért, hogy intézze a szállítást és a fizetést.

Fiktív alanyunkkal ennek eleget is tettünk, a levél pedig kb. 10 perc múlva be is futott a megadott e-mail-címre. Itt kezdett igazán csavaros lenni a történet.

A vevő ugyanis közölte: már ki is fizette a meghirdetett fülhallgatót, és megszervezte a szállítást is. A továbbiakhoz – kérte –, lépjünk be az e-mail-fiókunkba, nyissuk meg a levelet, és az ott megadott linkre kattintva válasszuk ki a bankunkat a listából, majd „vegyük át” a pénzt.

A rendkívül előzékeny hozzáállás bizonyára nem véletlen: a hirdetőnek alig kell csinálnia valamit, mindent intéz a vevő. A kapott levél a GLS futárszolgálat arculati elemeit másolja, rendkívül hitelesen. Ugyanez mondható el a linkre kattintva megnyíló oldalról is.

Még a hirdetés fotóját is lelopták a fiktív oldal létrehozásához

A csalás érdemi része a „Fizetés elfogadása” gombra kattintva indul meg. Itt ugyanis egy választóoldal nyílik meg, valamennyi nagyobb magyar pénzintézet nevével és fotójával.

Az egyes bankok logójára kattintva az adott pénzintézet netbankjának bejelentkezési oldala nyílik meg – látszólag. Ugyanis természetesen nem az igazi, hanem annak tökéletesnek látszó másolata tárul a vevő elé, ahol meg kell adnia a belépési adatait – a felhasználónevet/azonosítót, valamint a jelszót is.... A komoly veszély, hogy az ál honlapokat rosszindulatú felek hozzák létre, és épp azon dolgoznak, hogy megszerezzék a netbankja belépési adatait.

Ezen a ponton természetesen behúztuk a féket, de a vevő, Hiszékeny Gábor erre a célra létrehozott e-mail-címét, valamint egy erősnek tűnő jelszót beírtunk. A „rendszer” itt kis türelmet kért, majd kb. 2 perc után érkezett is a válasz a jobb alsó sarokban megbúvó chat ablakból: helytelen adatok.

A csalárd oldalt elküldtük egy informatikai szakértőnek is, aki azt mondta: az adatokat bekérő szövegdobozok egyszerű formok, melyek titkosítatlan szövegként továbbítják az ott beírt adatokat

-- egy távoli szerverre.

Lényegében olyan, mintha egy papírlapon átnyújtaná a belépési adatait valakinek.

Nagyon fontos tehát résen lenni, és néhány dologra kiemelt figyelmet fordítani:

-- ha valaki vevőként előre le akarja szervezni a fizetést és a szállítást, az mindig legyen gyanús;

-- mindig nézze meg az e-mail feladóját, és ha az véletlenszerű szavakból áll, nem egyértelműen az adott cég nevéből, gyanakodjon;

-- ugyanez érvényes a megnyitott linkekre is a böngésző címsorában;

-- ha indokolatlanul sürgetik, az árulkodó jel lehet;

-- de a legfontosabb: soha, semmilyen formában ne adja meg a banki belépési adatait ismeretlen, máshonnan megnyitott felületen. Érdemes könyvjelzőként menteni a böngészőjében a valódit, és mindig onnan megnyitni.
https://hvg.hu/tudomany/20240522_facebook-marketplace-csalas-atveres-hamis-banki-oldalak

Válasz