Mutatunk 5 módszert, melyekkel a kiberbűnözők ellophatják a bankkártyája adatait

2022.07.12.

Az ESET kiberbiztonsági szakértői bemutatnak néhányat a leggyakoribb módszerek közül, amelyekkel a hackerek megszerezhetik a bankkártyák adatait, egyúttal tippeket adnak arra is, hogyan védhetők ki ezek a támadások.

A kiberbűnözés egy olajozottan működő gépezet, amely évente dollárbilliókban mérhető károkat okoz. A bűnüldöző szervek és a legtöbb felhasználó elől rejtett módon, a darkweben működő oldalakon a kiberbűnözők nagy mennyiségű lopott adatot, valamint az ezek megszerzéséhez szükséges hackereszközöket adnak-vesznek. Feltételezések szerint jelenleg 24 milliárd illegálisan megszerzett felhasználónév és jelszó kering ezeken az oldalakon. A legkeresettebbek közé tartoznak a friss kártyaadatok, amelyeket a csalók nagy tételben vásárolnak meg, hogy személyazonossággal való visszaélést kövessenek el.

Azokban az országokban, ahol Chip and PIN, másnéven EMV biztonsági rendszert vezettek be, nehéz a bűnözőknek az adatokat klónozott kártyákká alakítani. Ezért leggyakrabban online használják azokat, kártyát nem igénylő (CNP) támadásokhoz. A csalók gyakran luxuscikkeket vásárolnak az adatok segítségével vagy nagy mennyiségben vesznek ajándékutalványokat – ez is egy népszerű módja a jogellenesen szerzett pénzek tisztára mosásának. Nehéz pontosan felbecsülni az ilyen kártyák piacának méretét. A világ legnagyobb alvilági piacterének üzemeltetői viszont nemrégiben nyugdíjba vonultak, miután becslések szerint 358 millió dollárt kerestek.

Az ESET kutatói bemutatják az 5 leggyakoribb módszert, amelyekkel a hackerek megszerezhetik a kártyaadatokat, és tanácsokat is adnak arra vonatkozóan, hogyan lehet kivédeni, megelőzni a kártyaadatok megszerzéséért indított támadásokat:

1. Adathalászat

Az adathalászat a kiberbűnözők egyik legnépszerűbb adatlopási módszere. A legegyszerűbb trükk, amikor a hacker egy legitim szervezetnek (például banknak, e-kereskedelmi cégnek vagy műszaki vállalatnak) adja ki magát, hogy rávegye a felhasználót a személyes adatok megosztására vagy rosszindulatú szoftverek letöltésére. Gyakran arra ösztönzik áldozatukat, hogy kattintsanak egy linkre vagy nyissák meg a csatolmányt. Ezáltal a felhasználó egy adathalász oldalra juthat, ahol személyes és pénzügyi adatok megadására kérik. Az adathalászat 2022 első negyedévében minden eddiginél magasabb szintet ért el a statisztika szerint.

Az ESET adatai alapján ezek az átverések az elmúlt években továbbfejlődtek. Manapság már előfordulhat, hogy e-mail helyett egy kártékony sms-t kap az áldozat a hackertől, aki egy futárszolgálatnak, kormányhivatalnak vagy más megbízhatónak tűnő szervezetnek adja ki magát. A csalók akár fel is hívhatják az embereket, hogy megerősítsék, valóban megbízhatóak, és így próbálnak kártyaadatokat megszerezni az áldozatoktól. Az sms-ben történő adathalászattal (smishing) összefüggő esetek száma 2021-ben több mint kétszeresére nőtt az azt megelőző évhez képest, míg a hangalapú adathalászat (vishing) szintén jócskán megugrott egy felmérés szerint.

2. Kártevő szoftverek

A kiberbűnözői alvilág hatalmas piac, nemcsak az adatok, hanem a kártevő szoftverek tekintetében is. Az évek során különböző típusú kártékony programokat fejlesztettek ki információlopásra. Ezek közül néhány a billentyűleütéseket rögzíti – például amikor a kártyaadatokat gépeljük be egy webshopban vagy banki oldalon. Hogyan telepítik a bűnözők ezeket az eszközöket a felhasználók gépeire?

Az adathalász e-mailek vagy sms-ek népszerű módszernek számítanak, ahogyan a kártékony online hirdetések is. Más esetekben népszerű weboldalakat fertőznek meg, és megvárják, hogy a felhasználók felkeressék azokat. Ezek a Drive-by-download típusú kártevő szoftverek azonnal települnek az eszközökre, amint valaki meglátogatja a fertőzött weboldalt. Az információtolvaj szoftverek pedig gyakran valódinak és megbízhatónak tűnő, de valójában rosszindulatú mobilalkalmazásokban is megtalálhatóak.

3. Digitális “lefölözés”

Az ESET figyelmeztetése szerint előfordul az is, hogy a hackerek kártékony szoftvereket telepítenek az e-kereskedelmi cégek fizetési oldalaira. Ezek láthatatlanok az áldozat számára, de képesek megszerezni a bankkártya-adatokat azok beírásakor. A felhasználók itt látszólag nem sokat tehetnek adataik biztonsága érdekében, azon túl, hogy csak nagynevű márkáktól és neves weboldalakon vásárolnak, amelyek valószínűleg biztonságosak. A digitális “lefölözéses” (digital skimming) esetek száma 150 százalékkal nőtt 2021 májusa és novembere között.

4. Adatsértések

Olykor a kártyaadatokat közvetlenül azoktól a vállalatoktól lopják el, amelyektől a felhasználó vásárol, legyen szó egészségügyi szolgáltatóról, e-kereskedelmi áruházról vagy éppen utazási irodáról. A hackerek szempontjából ez egy költséghatékony módszer, mivel egyetlen támadással hatalmas adathalmazhoz juthatnak hozzá.

5. Nyilvános Wi-Fi

Utazás közben csábító lehet ingyenesen használni a világhálót a nyilvános Wi-Fi hotspotokon keresztül a repülőtereken, szállodákban, kávézókban és más közösségi terekben. Viszont még akkor sem lehetünk biztosak abban, hogy a kapcsolat biztonságos, hogyha fizettünk azért, ugyanis hackerek is használhatják a hozzáférést, hogy kémkedjenek az adatok után, miközben a felhasználó beírja azokat az eszközébe.

Hogyan tartsuk biztonságban kártyaadatainkat?

Szerencsére számos módja van annak, hogy csökkentsük az adatlopások kockázatát. Csizmazia-Darab István, a Sicontact Kft. IT biztonsági szakértője szerint mindenképp érdemes figyelembe venni az alábbiakat:

• Maradjunk éberek: soha ne válaszoljunk kéretlen e-mailekre, ne kattintsunk az abban szereplő linkekre, és ne nyissuk meg az ilyen e-mailek csatolmányait. Könnyen lehet, hogy kártevő szoftvereket tartalmaznak, vagy olyan hitelesnek tűnő adathalász oldalakra vezethetnek, ahol az adatok megadását kérik.
• Ne osszunk meg információt idegenekkel, akkor sem, ha a beszélgetőpartner meggyőzőnek hangzik. Kérdezzük meg, honnan hívnak bennünket, majd keressük fel az említett szervezetet, hogy ellenőrizhessük a hívás valódiságát. Ne használjuk az ismeretlen által megadott elérhetőségeket.
• Ne használjunk nyilvános Wi-Fi hálózatot, különösen virtuális magánhálózat (VPN) nélkül. Amennyiben muszáj csatlakoznunk, ne csináljunk semmi olyat a hálózaton, amihez kártyaadatokat kell megadni (például online vásárlás).
• Ne mentsük el a kártyaadatokat online vásárlás során, még akkor sem, ha ezzel időt takarítanánk meg a későbbi tranzakciók esetében. Így csökkenthető annak az esélye, hogy megszerezzék bankkártyaadatainkat, amennyiben az adott cég fiókját feltörik vagy megtámadják.
• Töltsünk le minden számítógépünkre és eszközünkre (például mobiltelefonokra vagy táblagépekre) kártékony programok és adathalászat elleni védelmet egy megbízható és elismert biztonsági szolgáltatótól, például az ESET-től.
• Használjunk kétfaktoros hitelesítést bizalmas fiókjainknál. Ez csökkenti annak az esélyét, hogy hackerek lopott jelszavakkal feltörjék azokat.
• Csak megbízható alkalmazásokat árusító boltból töltsünk le applikációkat (Apple App Store, Google Play)
• Amennyiben online vásárolunk, csakis HTTPS protokollal rendelkező oldalakon keresztül tegyük azt (ez esetben a böngésző címsorában az URL-cím mellett egy lakatnak kell megjelennie). Így kisebb az esélye annak, hogy adataink illetéktelen kezekbe kerülnek.

Végül pedig jó módszer, ha figyeljük az összes bank- és kártyaszámlánkat. Ha gyanús tranzakciót észlelünk, azonnal értesítsük bankunk vagy kártyaszolgáltatónk csalással foglalkozó munkatársait. Egyes alkalmazások már lehetővé teszik, hogy befagyasszuk minden kiadásunkat bizonyos kártyákon, amíg meg nem bizonyosodunk arról, hogy valóban történt-e biztonsági incidens. Rengeteg módja van annak, hogy a bűnözők megszerezzék kártyaadatainkat, de mi magunk is sokat tehetünk azért, hogy megállítsuk őket.

A legfrissebb hírekért kövesse be az ESET kutatóit a Twitteren.