Kiberbiztonsági konferenciát tartott a KiberPajzs és a kiberbiztonsági szakambereket tömörítő Cyber Islands csütörtökön. A háttérbeszélgetésen a csalások elleni küzdelem, a darkweb és a deepweb témája, a hackerek működése és a bankok felelőssége is szóba került olyan szakemberek segítségével, mint Ványi Raymond etikus hacker, Marsi Tamás, a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézet főosztályvezetője, vagy éppen Biró Gabriella kiberbiztonsági szakértő.
A kibercsalások elleni küzdelem közös felelősség, ezért a KiberPajzs és a kiberbiztonsági szakembereket tömörítő Cyber Islands a Mastercard támogatásával egy nem mindennapi háttérbeszélgetést szervezett csütörtökön azzal a céllal, hogy az emberek részletesen megismerhessék a kiberbűnözők tevékenységét, szokásait és rutinjait. A KiberPajzs és a Cyber Islands háttérbeszélgetésén volt gyakorló etikus hacker is, aki beavatott minket mindennapi tevékenységébe.
A beszélgetésen részt vett
- Wittinghoff Dániel, a Mastercard kiberbiztonsági megoldások üzletfejlesztési igazgatója,
- Marsi Tamás, a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézet főosztályvezetője,
- Biró Gabriella, kiberbiztonsági szakértő,
- Sütő Ágnes, a Bankszövetség főtitkárhelyettese,
- Ványi Raymond, a Superior Pentest vezérigazgatója, penetration tester.
Az esemény témái között felmerült, hogy miként kell elképzelni a hackereket, akik a digitális csalások mögött állnak; milyen szervezett módon dolgoznak; mivel kereskednek a darkweben, és mennyi különböző adatbázist használnak ahhoz, hogy előkészítsék az átverős csalásokat.
Demisztifikáció
Sütő Ágnes köszöntőjében elmondta, nagyon jónak tartja a kezdeményezést, hiszen „kell egy hely, ahol a jófiúk is össze tudnak jönni”. Az összedolgozás pedig az alapja a kiberbűnözés elleni harcnak, hiszen a bűnözők vérszemet kaptak, és ha találnak egyetlen kiskaput is, akkor máris veszélyben vannak a felhasználók. „Mindannyian célponttá válhatunk”, hiszen a bűnöző távolról, technológiai eszközökkel tud „eredményt elérni”.
Csertán Ákos házigazda a Cyber Islands kezdeményezésről elmondta, szükség van arra, hogy a legtöbbször kisebb, zárt rendszerben működő, kiberbiztonsággal foglalkozó emberek össze tudjanak jönni, és meg tudják osztani egymással a tapasztalataikat.
A kiberbiztonsági világot demisztifikáljuk, és elérhetővé tesszük az emberek számára – foglalta össze a tevékenységüket.
A darkweb és a deepweb különbségéről elmondta, hogy míg előbbi az internet nem látható, nem indexelt részét jelenti, utóbbi ennek csak egy része, olyan hálózatok formájában, amelyekhez általában anonim hozzáférés szükséges. De ettől függetlenül pontosan ugyanolyan, mint az internet. A fizetés pont úgy működik, mint a PayPalnél, még call center is van, ha esetleg az áru nem érkezett meg – igen, a darkwebről. Ez lehet lopott iPhone-tól kezdve kábítószereken át akár fegyver is. Gyakorlatilag bármi.
Ma már nagyon alacsony a belépési küszöb, hogy valaki rosszindulatú hackerré vagy scamerré (megtévesztővé, átverővé) váljon. A legnagyobb veszélye pedig az, hogy már szinte ugyanúgy működik, mint a rendes internet és a rendes világ, tehát egyre nehezebb kiszűrni őket – foglalta össze. Biró Gabriella hozzátette, hogy alapjában véve Tor böngészőt használni – amivel a darkweb és a deepweb elérhető – nem illegális, viszont elképesztően sok illegális dolgot lehet ott találni, ezért senkinek nem ajánlják, hogy kipróbálja otthon.
A hackerek világa
Ványi Raymond arról beszélt, hogy 13 éve etikus hackerkedik, vagyis olyanokat hackel meg, akik erre engedélyt adtak, majd utána beavatja őket abba, hogyan is csinálta az egészet. Viszont nem minden hacker etikus, sőt a legtöbb nem az. Motivációjuk közé tartozik az anyagi haszonszerzés, a politikai vagy ideológiai alapú betörés, de vannak, akik csak szimplán azért törnek fel valamit, hogy bizonyítsák, hogy meg tudják csinálni.
Marsi Tamás azzal egészítette ki, hogy a versenyeken a 16–18 éves gyerekek simán „elkenik a 30–40 évesek száját”.
Ványi a hackercsoportokra kitérve arról szólt, hogy egy támadás külön részfeladataira simán lehet külön csapatokat felbérelni, így nem kell mindent egyedül csinálnia valakinek. Ez feladattól függően pár száztól több ezer dollárig terjedhet, ráadásul még a visszajelzés is kötelező az oldalon, mind a megbízó, mind a megbízott részéről, hogy mennyire volt elégedett a másikkal. „Tiszta Amazon az egész” – mondta.
Az államok által üzemeltetett hackercsoportok témakörét is érintette. Elmondta, hogy a nagyobb országok (Észak-Korea, Egyesült Államok, Kína, Ukrajna, Oroszország) mind rendelkeznek ilyen csoportokkal, de egyre több ország lép be ebbe a klubba. Biró Gabriella szerint ezeket nagyon nehéz visszakövetni, lehetetlen száz százalékosan megmondani, hogy melyik országból történt a támadás, a fenyegetés. Marsi Tamás szerint aki ehhez ért, az simán el tudja hitetni, hogy, mondjuk, „Ukrajna tört be a magyar szerverekre, közben egyáltalán nem biztos, hogy tényleg ők voltak”.
Felelősség
Biró Gabriella a bankszektor visszaélési adatairól beszélt – ugyanis az MNB közzétette a 2025 első negyedéves adatokat –, kiemelve, hogy ebből a konkrét pénzlopás elenyésző, néha 0 százalékot tesz ki évente. Ám az elvitathatatlan, hogy a cél mindig a pénz, csak kerülőutakon (romantikus átverések, unokázós csalások, hamis bitcoinos eladások stb.). Viszont kiemelte, a legfontosabb, hogy azonnal jelentsük a csalást a banknak és a rendőrségen is, mert úgy kerül rögzítésre minden adat.
A bekövetkezett károk költségeinek 98 százalékát az ügyfél viseli
– emelte ki, hiszen ez általában az ügyfél gondatlanságából adódik, mivel megtörténik a kétfaktoros azonosítás. Az MNB szigorításokat tervez, tehát ha például nem volt kétfaktoros hitelesítés – ez manapság már nagyon ritka –, vagy a bank nevében hívták fel az ügyfelet, akkor a bank viselje a költségeket. Ez azonban egyelőre még csak tervezet.
Sütő Ágnes szerint a súlyos gondatlanság határa egy mozgó mezsgye – és mindig is az marad –, tehát pontosan belőni azt, hogy hol végződik az ügyfél, és hol kezdődik a bank felelőssége, nagyon nehéz. Ám az közös érdek, hogy minél több védelmi vonal legyen, viszont ha valaki kinyitja az ajtót, akkor mi hiába húzunk fel kerítéseket – fogalmazott. Marsi Tamás hozzátette, ha az ember egy pillanatra is elhiszi, hogy a csalás valósággá válik, akkor 99 százalék, hogy végig is viszik vele az adathalászatot, így a legfontosabb aspektus igazából az, hogy „az emberek hogyan ne higgyék el, hogy ez így van”. Ványi szerint ez pszichológiai probléma és nem technológiai, ezt pedig egy bank, egy applikáció nem tudja megfogni. Sütő véleménye az, hogy az első lépés az átverés és a hiszékenység, a bank csak a másodikban lép be a csalásba.
Humánfaktor
Az OTP és a CIB informatikai szakemberei arról beszéltek, hogy bankot „face to face” nem lehet feltörni – legalábbis szinte lehetetlen –, így az ügyfél a könnyebb célpont. A kiberbiztonsági szabályozás szigorítása a bankoknál a legerősebb, nekik felelősségük van abban, hogy „a lehetőségekhez képest a legtöbbet megtegyék”, azonban a másik felet semmilyen szabályozás nem köti.
Ezért löki az MNB és az európai szabályozás a bankok felé a mérleg nyelvét, mert az ügyfeleknek nincs ennyi forrása – szúrta közbe Biró Gabriella. Sütő Ágnes viszont kiemelte, hogy mindenkinek az a legfontosabb, hogy az ügyfélnek a pénze a számláján maradjon.
A szakemberek arról is szóltak, hogy a monitoringrendszer szintén a bankok egyik protokollja, tehát a csalások tapasztalatait beépítik a védekezésbe, és ha hasonló utalásra kapnak meghatalmazást, akkor akár fel is függeszthetik a tranzakciót. A bankok védelmi rendszerei teljesen biztonságosak, a legfőbb veszélyforrás a humánfaktor.
Csertán Ákos azzal egészítette ki, hogy a csalások legnagyobb része sablon, ugyanazokat a szcenáriókat vetik be újra és újra több tízezer embernél, azonban annyira gyorsan változtatják a módszereiket, hogy nagyon nehéz ezekre előre felkészíteni az ügyfeleket. A trendekhez igazodnak, tehát könnyen lehet, hogy két hét múlva már teljesen más sablonból indulnak ki. „A csalók szkriptekből dolgoznak, tehát ki lehet szúrni az apró jeleket, de nagyon oda kell figyelni” – fogalmazott.
egy friss kutatás szerint a magyar kkv-k 34 százaléka be sem jelentené, ha meghackelnék, így pedig nehéz segíteni.
A biztonság illúziója
Wittinghoff Dániel azzal kezdte, hogy „van edukációnk, tudásunk és technológiánk, és ezek mindegyikét fel kell használni, hogy reziliensek legyünk”. A mesterséges intelligencia (AI) szerepét is behozta, hiszen az teljesen lebontja a határokat mindkét (támadó és védekező) oldalon, a fejlődése pedig egyszerű polgárként szinte követhetetlen.
Kitért arra is, hogy egy vállalatnál, amelyet egyszer már meghekkeltek, 60 százalék feletti az esély arra, hogy egy éven belül újra feltörjék a rendszereit. Ennek egyik oka, hogy az adatai kikerülnek a darkwebre, másrészt kap egy információt a hacker, hogy ezt a céget lehet támadni, mert nincs olyan felkészültségi szinten, hogy ellent tudjon állni.
Mi is monitorozzuk a darkwebet is, hogy kiszivárogtak-e kártyaadatok, személyes adatok. Az identitásbiztonság a legfontosabb – mondta.
Végül a legfrissebb kutatási eredményekből kiderült, hogy a fiatalok 90,5 százaléka felkészültnek érzi magát a támadások ellen, ehhez képest mindössze a 12 százalékuk ismerte fel a csalókat egy kísérletben. „Ez a biztonság illúziója” – mondta Wittinghoff.
Tovább a cikkre: Index.hu
