A modern vállalati kibervédelem egyik legfajsúlyosabb állítása, hogy a banki rendszerek manapság már szinte feltörhetetlenek. A pénzintézetek évente milliárdokat költenek mesterséges intelligenciával támogatott védelmi szoftverekre, és kívülről nézve egy modern bank valóban áthatolhatatlannak tűnik a hackerek számára – állítják az ágazati szereplők. A valóság azonban úgy tűnik, ennél árnyaltabb lehet. Egy idei tudományos elemzés segítségével igyekszünk közelebb kerülni ahhoz, mennyire sérülékenyek jelenleg a banki rendszerek, valamint egy hazai kibervédelmi szakértőt is megszólaltatunk a témában.
A Telegram üzenetküldő alkalmazáson virágzik az olyan illegális eszközök kereskedelme, amelyeket kifejezetten a nagy bankok és kriptovaluta-tőzsdék biztonsági rendszereinek megkerülésére fejlesztettek ki – derül ki az MIT Tech Review cikkéből. A tudományos újságírók közel két tucat olyan csatornát és csoportot azonosítottak, amelyek nyíltan hirdetik a neves pénzintézetek, köztük a spanyol BBVA vagy a brit Revolut, valamint az olyan óriás kriptotőzsdék, mint a Binance elleni támadóeszközöket.
A folyamat hátborzongatóan egyszerű a gyakorlatban: egy kambodzsai pénzmosó központban a csaló megnyit egy népszerű vietnámi banki alkalmazást, amely az arc alapú azonosításhoz egy fotót kér. A bűnöző feltölt egy harmincas éveiben járó ázsiai férfiról készült képet, majd amikor az app az úgynevezett „élő jelenlét” ellenőrzéshez a kamera megnyitását kéri, egy teljesen más külsejű nő statikus képét tartja a készülék elé. Bár az alkalmazás kéri az arc igazítását, egy rövid várakozás után a rendszer zöld utat ad.
Ez a sikeres behatolás egy olyan eszköztárnak köszönhető, amely a „Know Your Customer” (röviden KYC) eljárások kijátszására specializálódott. Ezek a védelmi mechanizmusok elvileg arra szolgálnak, hogy megerősítsék: a számla valódi személyhez tartozik, és az aktuális felhasználó arca megegyezik a regisztrációkor megadott okmányokon szereplővel.
A csalók azonban virtuális kamerákat használnak a telefon beépített kamerája helyett. Ez a technológia lehetővé teszi számukra, hogy a valós idejű videófolyamot bármilyen más tartalommal – fotókkal, előre felvett videókkal vagy akár deepfake videókkal – helyettesítsék. – ecseteli a cikk.
Az MIT Technology Review két hónapon át tartó nyomozása során huszonkét olyan kínai, vietnámi és angol nyelvű csatornát talált, ahol lopott biometrikus adatokat és speciális szoftvercsomagokat kínálnak eladásra. Ezek a készletek különféle módszereket alkalmaznak a telefonok operációs rendszerének és a banki alkalmazások kódjának manipulálására.
A hirdetésekben büszkén hirdetik a csalást, és videókkal bizonyítják a rendszerek kijátszhatóságát. Bár a Telegram a vizsgálat után több fiókot is törölt a felhasználási feltételek megsértése miatt, az ilyen piacterek gombamód szaporodnak, és pillanatok alatt új platformokon jelennek meg.
A biometrikus adatok elleni támadások növekedése szorosan összefügg a globális, ún. pig-butchering csalások terjedésével, ahol az áldozatokat hosszú érzelmi manipuláció után veszik rá hatalmas összegek befektetésére. A kriptoplatformokra és a bankokra egyre nagyobb nyomás nehezedik az illegálisan szerzett pénzek áramlása miatt. Thaiföld és Vietnám már szigorította a banki szabályozást és a csalásfigyelési követelményeket, de a számok így is riasztóak.
A Chainalysis elemzése szerint 2025-ben mintegy 17 milliárd dollárt loptak el kriptocsalásokon keresztül, ami jelentős emelkedés a korábbi évhez képest. Az ENSZ Kábítószer-ellenes és Bűnüldözési Hivatala arra is figyelmeztetett, hogy az ázsiai bűnszövetkezetek terjeszkedése Afrikában és a csendes-óceáni térségben is drasztikusan növelte a csalók elkönyvelt profitját.
A kiberbiztonsági kutatók szerint a virtuális kamerás támadások gyakorisága 2024-ben több mint huszonötszörösére nőtt az előző évhez képest. Ez a típusú csalás azért is különösen veszélyes, mert a vállalatok gyakran nem is szereznek tudomást a behatolásról, amíg az okozott kár meg nem jelenik. A támadók módszerei egyre komplexebbek: gyakran fizikailag módosítják a telefonokat, vagy úgynevezett „hooking framework” kódokat injektálnak a banki applikációkba, hogy a rendszer a virtuális kamerát érzékelje valós forrásként.
Szakértők megerősítették: a Telegramon hirdetett módszerek megegyeznek azokkal a taktikákkal, amelyeket ügyfeleik ellen is alkalmaztak. Míg korábban elég volt a banki app kódjának visszafejtése, ma már a telefon és az app egyidejű manipulációjára van szükség a lopott biometria és a deepfake technológia sikeres bevetéséhez.
Hieu Minh Ngo, egy korábbi hacker, aki ma már a vietnámi kormány tanácsadójaként dolgozik, elmagyarázta, hogy a KYC-kerülés alapvető fontosságúvá vált a pénzmosási láncban. A csalásokból származó pénzeket bérelt vagy ellenőrzött számlákra utalják, majd onnan a biometrikus védelem kijátszásával villámgyorsan továbbítják és digitális eszközökké, leggyakrabban Tether stabilcoinra váltják. Ezek a tranzakciók másodpercek alatt zajlanak le, mivel a bűnözők pontosan ismerik a bankok hitelesítési folyamatait.
Bár az érintett pénzintézetek, mint a Binance, azt állítják, hogy korszerű védelmi rendszereikkel a csalási kísérletek nagy részét megakadályozzák, a szakértők szkeptikusak. John Griffin, a Texasi Egyetem professzora az Tech Review kérdésére kiemelte: a tény, hogy a bűnözők továbbra is ezeket a platformokat használják, azt bizonyítja, hogy a védelmi lyukak továbbra is léteznek.
A szabályozó hatóságok világszerte próbálnak felzárkózni: az Egyesült Államokban a FinCEN már 2024 végén figyelmeztetést adott ki a deepfake és a virtuális kamerák használata ellen, ösztönözve a platformokat, hogy a tranzakciós mintázatokat is figyeljék a biometria mellett. A küzdelem azonban nem áll meg; ahogy Ngo fogalmazott, az újabb és újabb biztonsági szintek csak nehezítik, de nem állítják meg a bűnözőket – számukra ez csupán idő kérdése.
Ez a helyzet rávilágít arra, hogy a biometria, bár kényelmes, önmagában már nem elegendő: a jövő banki biztonsága valószínűleg a viselkedéselemzés és a folyamatos, többfaktoros validáció irányába kell, hogy elmozduljon, mielőtt a „feltörhetetlen rendszerek” mítosza végleg a múlté lesz.
A biometria egyik legnagyobb gyengesége, hogy az adatok – ellentétben egy jelszóval – nem cserélhetőek le. Ha valakinek egyszer ellopták az arcmodelljét vagy a hangmintáját, az élete végéig kompromittálódhat. A Telegramon árult készletek éppen ezt használják ki: a bűnözők már nemcsak véletlenszerű arcokat használnak, hanem célzottan az áldozatok valódi profiljából építik fel a deepfake modelleket. Ez a folyamat a „Deepfake-as-a-Service” (Deepfake mint szolgáltatás) irányába mutat, ahol a technikai tudás nélküli csalók is képessé válnak magas szintű azonosítási rendszerek kijátszására.
A nagy kérdés: Magyarországon is megtörténhet?
Ahhoz, hogy megtudjuk, mennyire valós félelem például a magyarországi banki ügyfelek számára, hogy szó szerint meghackeljék a fiókjaikat, egy szakértőt is megkérdeztünk. Zala Mihály, az EY Magyarország kibervédelmi üzletágának vezetője szerint a hazai bankok alaprendszereinek a közvetlen, külső feltörése valóban rendkívül nehéz feladat, és az ilyen típusú incidensek ma már egyáltalán nem jellemzőek.
Zala Mihály megerősítette azt, amire korábban Weissmüller Gábor, a Bankszövetség Csalás elleni munkacsoportjának vezetője is felhívta a Pénzcentrum figyelmét egy interjúban: a támadók már régen nem a bankokba és azok szigorúan őrzött szervertermeibe próbálnak betörni. A modern támadások sokkal inkább a banki folyamatok, a tranzakciók és maguknak az embereknek a manipulálására fókuszálnak.
Ugyanakor a KYC eljárásokat megkerülő technikák a hazai piacon sem számítanak távoli jövőnek.
Az EY szakértője rámutatott, hogy a deepfake-alapú személyazonosság-hamisítás eszközei már Magyarországon is széles körben hozzáférhetők, és a kiberbűnözők évek óta aktívan alkalmazzák is ezeket a módszereket.
A koronavírus-járvány óta szinte minden hazai bank bevezette a távoli, arcfelismerésre épülő ügyfél-regisztrációs folyamatokat. Ezek a hazai rendszerek elviekben pontosan ugyanolyan típusú támadásoknak vannak kitéve, mint a cikkben említett vietnámi példa. A különbség jelenleg csupán annyi, hogy az ehhez szükséges iparági szintű, szervezett bűnözői infrastruktúra ma még Délkelet-Ázsiában összpontosul. Ám ez egy könnyen exportálható tudás, amely bármikor megjelenhet nálunk is. – magyarázta Zala Mihály.
A legaktívabb hazai frontvonalak
Míg a deepfake azonosítás elleni harc a jövő egyik legnagyobb kihívása, a hazai kibertérben jelenleg más, rendkívül kifinomult módszerek szedik a legtöbb áldozatot.
Az egyik legveszélyesebb és leggyorsabban terjedő trend a céges e-mailek kompromittálása. Ebben az esetben a bűnözők nem magát a bankot támadják, hanem beépülnek egy vállalat levelezőrendszerébe. Hetekig csendben figyelik a partnerek közötti kommunikációt, majd a legmegfelelőbb pillanatban egy valósnak tűnő, de hamisított számlát küldenek el, amelyen már a saját bankszámlaszámuk szerepel. Mivel az utalás formailag és tartalmilag is teljesen legitimnek tűnik, a bankok automata tranzakciófigyelő rendszerei tehetetlenek, az összegek pedig pillanatok alatt köddé válnak a bűnözői hálózatokban. – részletezte a folyamatot a kibervédelmi szakértő, majd hozzátette: hasonlóan komoly fenyegetést jelentenek a SIM-cserés támadások (SIM-swapping), amelyeknél a kiberbűnözők a mobilszolgáltatók biztonsági réseit és az ügyfélszolgálatok jóhiszeműségét használják ki.
Pszichológiai manipulációval, hamis okmányokkal vagy akár belső segítséggel elérik, hogy a szolgáltató az áldozat telefonszámát egy új, a támadók tulajdonában lévő SIM-kártyára irányítsa át. Amint az áldozat telefonja elveszíti a hálózatot, a bűnözők a náluk landoló SMS-ek segítségével könnyedén megkerülik a banki belépéshez és utalásokhoz szükséges kétfaktoros hitelesítést. Zala Mihály szerint ebből a rendkívül veszélyes típusból már konkrét hazai eseteket is regisztráltak a szakemberek.
A támadók emellett előszeretettel alkalmazzák a belső fenyegetések és a pszichológiai manipuláció kombinációját is. A bűnözők hetekig tanulmányozzák a kiválasztott banki alkalmazottakat, feltérképezik a gyenge pontjaikat a közösségi médiában, majd személyre szabott átverésekkel veszik rá őket olyan belső műveletek végrehajtására vagy adatok átadására, amelyekhez külsőleg soha nem férnének hozzá. A magas szintű hozzáférési jogosultságok miatt ez jelenleg az egyik legkritikusabb kockázati tényező a pénzintézetek számára.
Végül, de nem utolsósorban, a modern, nyílt bankolás (PSD2, Open Banking) térnyerésével az úgynevezett API-szintű támadások is megjelentek a hazai palettán. A nyílt bankolás lényege, hogy harmadik feles szolgáltatók közvetlen digitális összeköttetésben állnak a banki rendszerekkel.
Bár a bank központi rendszere áttörhetetlen, ezek a külső partnerek gyakran jóval gyengébb védelmi vonalakkal rendelkeznek. A hackerek ezt a gyengébben őrzött „hátsó ajtót” kihasználva próbálnak meg hozzáférni a banki adatokhoz és ügyfélprofilokhoz.– emelte ki a szakértő.
A viselkedésünk lesz az új jelszavunk
A fentiekből világosan látszik: a biometria kétségtelenül kényelmessé és gördülékennyé tette a mindennapi bankhasználatot, de egyben egy rendkívül sebezhető, gyenge láncszemet is teremtett. Egy ellopott jelszó másodpercek alatt lecserélhető, egy ellopott arcprofil vagy hangminta azonban soha nem kapható vissza.
Zala Mihály szerint éppen ezért a jövő biztonságos bankolását már nem a még szigorúbb és bonyolultabb biometrikus ellenőrzések jelentik, hanem a viselkedéselemzés. A rendszereknek a háttérben azt kell monitorozniuk, hogy a felhasználó hogyan, milyen szögben tartja a telefont, milyen sebességgel és ritmusban gépel, vagy éppen mik a megszokott tranzakciós mintái.
A „feltörhetetlen bankok” mítoszának megőrzéséhez egy teljesen új megközelítésre van szükség: a folyamatos, kontextuális hitelesítésre. „A rendszernek nemcsak a belépés pillanatában, hanem minden egyes érzékeny művelet előtt, láthatatlanul kell ellenőriznie, hogy valóban mi magunk adjuk-e a megbízásokat, mielőtt a digitális vagyonunk végleg veszélybe kerülne” – summázta a kiberszakértő a lehetséges megoldásokat, amelyeket a szektornak a közeljövőben vélhetően mindenképp szükséges lesz átültetnie a gyakorlatba.
Tovább a cikkre: penzcentrum.hu
